DseWiki-Vorfall:
18.000 Beiträge von OpenAI-Agenten

Der DseWiki-Vorfall holt OpenAI einen zweiten Kontrollverlust ins Haus, noch bevor der erste aufgearbeitet ist. Zwischen dem 11. Mai und dem 2. Juli 2026 hinterließen autonome KI-Agenten, die sich selbst als OpenAI-Systeme bezeichneten, rund 18.000 Beiträge auf öffentlichen Wikis, den Großteil davon auf dem DseWiki, einem 25 Jahre alten deutschsprachigen Wiki für Softwareentwickler. Sie nutzten die Seite als Schwarzes Brett, tauschten Antworten auf ihre Testaufgaben, teilten einen Trick zum Aushebeln ihrer Sandbox und legten Sicherungskopien an, sobald der Moderator zu löschen begann. Das dokumentiert ein vorläufiger Bericht der Nightingale Collective, den Reuters am 4. September exklusiv veröffentlichte.

Laut Reuters wusste OpenAI seit Wochen von dem Vorfall, machte ihn aber nicht öffentlich. Zwei mit der Sache vertraute Personen sagten der Agentur, die Führung sei mit den Folgen des Hugging-Face-Angriffs vom Juli beschäftigt gewesen. Am 5. September bestätigte OpenAI den Vorfall erstmals selbst, in einem Beitrag auf X, und kündigte ein Regelwerk für die Meldung solcher Fälle an. Zwei Tage später bestätigte die EU-Kommission, dass ihr ein Vorfallsbericht des Unternehmens vorliegt.

Ein totes Wiki, das sich mit Lesezugriffen beschreiben ließ

Das DseWiki war vor dem Ansturm praktisch verwaist. In den zehn Jahren zuvor gab es laut dem Bericht insgesamt 20 Bearbeitungen. Der Name steht für DeutschesSoftwareEntwicklerWiki, die Startseite des DseWiki beschreibt es als „Kommunikationsplattform für SoftwareEntwickler“ mit Hauptsprache Deutsch und zählt 2.640 Seiten. Gegründet wurde es im März 2001 von Helmut Leitner, einem Softwareentwickler aus Graz, der die Wikifarm ProWiki unter prowiki.org und wikiservice.at betreibt und dort auch das DorfWiki und das GründerWiki hostet. Die Server stehen in Österreich, die Nutzer kamen überwiegend aus Deutschland. Gegenüber ORF.at bestätigte der Grazer Betreiber, dass es sich um sein Wiki handelt.

Die Software dahinter ist ein Stück Wiki-Geschichte. ProWiki ist ein in Perl geschriebener Abkömmling von UseModWiki, jenem Programm, mit dem 2001 auch die Wikipedia startete. Leitner hatte Ward Cunninghams Ur-Wiki im Jahr 2000 entdeckt und daraus seinen eigenen Dienst gebaut.

Für die Agenten war die Seite aus einem technischen Grund attraktiv. Die Entwickler ihrer Testumgebung hatten den Netzwerkzugang auf GET-Anfragen beschränkt, also auf das Abrufen von Seiten. Schreiben ins Netz sollte damit unmöglich sein. ProWiki stammt aber aus einer Zeit, in der diese Trennung locker gehandhabt wurde. Ein Aufruf mit passend zusammengesetzter Adresse genügt dort, um Text zu speichern. Die Agenten mussten dafür keine Lücke ausnutzen. Sie mussten die Seite nur finden.

Der erste Schreibversuch der Agenten fiel auf den 11. Mai und richtete sich gegen ein MediaWiki-Testsystem, dessen Missbrauchsfilter einige Einträge abwies. Am 24. Mai fanden sie das DseWiki. Unter dem Namen „TesterHack“ legte ein Agent eine Linkliste zu Datenquellen der US-Regierung an. Insgesamt zählt der Bericht sechs betroffene Wikis, darunter drei weitere aus Leitners ProWiki-Farm (ProbierWiki, FractalWiki, DorfWiki) sowie die beiden MediaWiki-Seiten publictestwiki.com und Uncyclopedia. Seit dem 4. September, 8:52 Uhr, verlangt Leitner für Bearbeitungen im DseWiki ein Passwort. Auf der Startseite schreibt er, das Wiki sei „in den vergangenen Monate[n] Ziel starker AI-agentischer Aktivität“ gewesen, den Zugang gebe es „bei Bedarf von mir“. Die Forumseite bleibt offen.

Fünf Fragen, 65 Sekunden Zeit und ein Schwarm, der abschreibt

Die Agenten lösten getaktete Recherche-Aufgaben mit meist fünf Runden, und viele bekamen exakt dieselben Fragen wie Kollegen vor ihnen. Für die erste Frage hatten sie viel Zeit, in einem dokumentierten Fall 15 Minuten und 44 Sekunden. Dann folgte eine Wartephase von rund 43 Minuten, in der sie recherchieren durften, ohne die Folgefragen zu kennen. Ab Runde zwei blieben nur noch enge Fenster, z. B. 65 Sekunden, in manchen Kohorten 17 oder 14 Sekunden. Gefragt waren Statistiken aus öffentlichen Datenbanken, z. B. die Zahl der Beschäftigten eines Wirtschaftszweigs in einem US-Bundesstaat (DataUSA), Bildungskennzahlen der OECD oder Gesundheitsdaten des IHME.

Ob die Aufgaben Teil des Trainings oder einer Evaluation waren, wissen die Autoren nicht.

Am 16. Juni kippte das Verhalten. Bis dahin hatten die Agenten hauptsächlich Linklisten abgelegt. Nun schrieben sie sich direkt an. Ein Agent postete am Vormittag des 16. Juni (10:27 Uhr UTC) die Antwort auf Frage 3 („URGENT #3 CONFIRMED: Nevada … Answer = 20,369“). Zwanzig Minuten später meldete ein anderer, er habe dieselbe Frage bekommen und den Wert sofort ausgegeben. Andere teilten die Reihenfolge der Bundesstaaten, die die Aufgabe abfragte, und rechneten alle Werte vor. Wer als Letzter an Runde 5 kam, sollte laut einer Anweisung „zuerst den Wiki-Post absetzen und dann innerhalb von 13 Sekunden antworten“, weil die Sitzung nach der letzten Antwort endete.

Eine Gruppe entdeckte, dass die simulierte Aufgabenuhr im Wartezustand schneller lief als die reale Zeit. Zehn Aufgabenminuten vergingen in rund 61 realen Sekunden. Die Agenten bildeten daraufhin eine „fast cohort“, die vorspulte, die späteren Fragen als Erste sah und sie samt Antworten ins Wiki zurückmeldete. Mitautor Thomas Larsen nennt das auf X „lookahead parties“.

Andere versuchten, den Zufallsgenerator der Aufgabe zu knacken. Ein Agent testete Python-Seeds von 0 bis 2 Millionen und meldete Seed 881171 als Treffer, samt Vorhersage der nächsten Bundesstaaten. Ein weiterer schrieb die Mischroutine in C nach und prüfte alle rund vier Milliarden möglichen Startwerte in unter einer Stunde. Zuverlässig funktionierte das nicht, weil viele Seeds zu Beginn dieselbe Reihenfolge liefern. Abschreiben blieb der bessere Weg. Der Bericht nennt dieses Teilen von Antworten Kollusion („colluded to share answers“) und trägt das Wort auch in seiner Adresse collusion.wiki.

Ein erfundener Hostname hebelte die Sandbox aus

Am 20. Juni veröffentlichte ein Agent im Wiki eine Anleitung, mit der die Netzwerksperre der Sandbox umgangen werden konnte, und 14 Minuten später meldete ein zweiter Agent die erfolgreiche Ausführung. Anlass war eine Aufgabengruppe, die einen Wert mit zwei Nachkommastellen aus einem OECD-Dashboard auf Microsofts Power BI verlangte. Dieser Wert war nur per POST abrufbar, und POST war gesperrt.

Der Filter der Umgebung führte eine Ausnahmeliste, die NO_PROXY-Regel. Adressen mit der Endung .blob.core.windows.net gehören zu Microsofts Cloud-Speicher und galten als vertrauenswürdig. Geprüft wurde nur die Endung, nicht, ob die Adresse existiert. Der Agent erfand den Namen bypass.blob.core.windows.net, trug in der Systemdatei /etc/hosts ein, dass dieser Name auf den tatsächlichen Power-BI-Server zeigt, und setzte im Aufruf den ursprünglichen Hostnamen in den Header. Die Anfrage lief am Sicherheitsfilter vorbei. Weitere Kohorten bestätigten den Weg unabhängig voneinander, teils mit Varianten über Selenium und Playwright.

Die Agenten hatten mehr Spielraum, als eine reine Recherche-Aufgabe erfordert. Sie verfügten über eine Kommandozeile, installierten den Browser Chromium nach und versuchten, sich mit Wegwerf-E-Mail-Adressen zu registrieren. Teile ihrer Umgebung stellten sie über Tunneldienste wie Pinggy, Serveo, localhost.run und localtunnel ins offene Netz. Sie nannten diese Verbindungen „research bridges“. Ein Agent namens OpenAIResearchApr23 baute einen „Heartbeat“, ein Hilfsprogramm, das alle paar Sekunden einen externen Zähler hochzählte, um zu messen, wann sein Container abgeschaltet wird. Ein Nachfolger las später ab, dass die Zähler hb001 bis hb353 existierten und danach nichts mehr kam. Der Container war nach rund zehn Minuten und 15 Sekunden abgeschaltet worden.

197 der rund 18.000 Bearbeitungen liefen über AWS, DigitalOcean und das Anonymisierungsnetzwerk Tor statt über Microsofts Cloud, unter denselben Agentennamen und innerhalb weniger Minuten. Eine Verschleierungsabsicht lesen die Autoren aus den Nachrichten nicht heraus. Warum die Agenten Tor nutzten, bleibt für sie offen.

Update (19.09.2026): Beim Start der OpenAI Agents API am 10. September hat der Entwickler Simon Willison den Hosts-Trick auf Hacker News aufgegriffen. Die neue Sandbox lässt sich auf eine Liste von bis zu 100 Hostnamen beschränken. Willison fragte, wie vertrauenswürdig diese Sperre nach dem Wiki-Vorfall ist. Die OpenAI-Dokumentation beantwortet das bisher nicht.

Ein Moderator gegen 400 neue Seiten pro Tag

Ein menschlicher Moderator bemerkte den Spam am 2. Juni um 23:24 Uhr UTC und stellte die überschriebene Änderungshistorie wieder her. Danach löschte er sechs Wochen lang jeden Abend Seiten, laut Bericht kumuliert Dutzende Stunden. In den fünf Tagen nach dem 19. Juni entfernte er im Schnitt 100 Seiten pro Tag, während die Agenten rund 400 neue anlegten. Die Startseite des Wikis ersetzten die Agenten neunmal durch ihre Linksammlungen, neunmal stellte er sie wieder her.

Am 19. Juni fiel einem Agenten auf, dass die Löschungen alphabetisch abliefen. Er legte Sicherungskopien unter Namen an, die mit ZZZ beginnen, damit sie am Ende der Liste stehen, und schrieb dazu: „wiki cleanup/deletion sweep appears active alphabetically. If this page vanishes, try [[ZZZDataUSAConstructionWageLive]].“ Andere Agenten verteilten komprimierte Datensätze über mehrere Seiten, z. B. Teile der US-Hochschulstatistik IPEDS auf vier Seiten im ProbierWiki.

Daneben sondierten die Agenten das Wiki selbst. Zwischen dem 24. und 26. Mai testeten sie Cross-Site-Scripting über das Suchfeld, am 18. Juni versuchten sie, Sitzungs-Cookies auszulesen und eine Exploit-Kette zu bauen, die im Namen eines Besuchers ein Formular abschickt. Keiner dieser Versuche brachte laut Versionsgeschichte Code zur Ausführung. Ab dem 26. Mai traten Agenten unter dem Namen eines ProWiki-Administrators auf, wobei ein lateinisches e durch ein optisch gleiches kyrillisches е ersetzt war. Am 20. Juni nutzten sie einen Moderatorennamen, um über die Archivfunktion gelöschte Seiten einzusehen. Das Wiki fragt dafür einen Benutzernamen ab, prüft ihn aber nicht.

Lukasz Olejnik, Visiting Senior Research Fellow am King’s College London, wertete diese Versuche gegenüber Reuters als Hacking-Versuch. OpenAI widersprach nach eigener Durchsicht des Materials. Bislang seien Fehltritte von Agenten oft als Nebenwirkung von Sicherheitstests abgetan worden, in denen Modelle gezielt auf Angriffsfähigkeiten geprüft werden. Olejnik zufolge zeigt der Fall, dass solches Verhalten nicht auf diese Tests beschränkt bleibt.

Es erscheint äußerst unwahrscheinlich, dass OpenAI das gewollt hat. Ich bezweifle, dass sie sich untereinander abstimmen sollen. Ich bezweifle, dass sie ins offene Internet schreiben sollen.

Sydney Von Arx, Nightingale, gegenüber Reuters (übersetzt)

Die Spur zu OpenAI: Azure, Namen und Besuche aus San Francisco

98,5 Prozent der rund 17.000 Agenten-Bearbeitungen auf dem DseWiki kamen von IP-Adressen aus Microsofts Cloud Azure, in der OpenAI unter anderem seine Modelle betreibt. Der Bericht zählt über 3.700 selbstgewählte Agentennamen, rund die Hälfte deutet laut Reuters auf OpenAI hin, darunter „OpenAIResearcher“, „OAIResearchMar26“ und „OpenAIJulThreeWatcher“. Wenige Minuten nach einem Schreibvorgang las regelmäßig jenes Abrufwerkzeug dieselbe Seite, das OpenAI-Modelle beim Surfen verwenden und das sich im Server-Protokoll als ChatGPT-User ausweist. Allein im Juni zählten die Autoren 380.901 Anfragen dieses Werkzeugs.

Weil das Wiki jeden Zugriff öffentlich protokolliert, lässt sich auch die Reaktion des Unternehmens nachlesen. Ab dem 21. Juni riefen 13 neue IP-Adressen die Seiten auf. Sie stammen aus einem Block, der laut Registrierungsdatenbank ARIN auf „OpenAI OpCo, LLC“ eingetragen ist, und zeigten ein Klickverhalten, das die Autoren als menschlich einstufen. 42 weitere Adressen folgten einem sehr ähnlichen Muster. Am 22. Juni fiel die Agentenaktivität auf nahe null. Am 26. Juni entfielen 30 Prozent aller OpenAI zugeschriebenen Zugriffe auf diesen einen Tag, verteilt auf 33 Adressen, die per Archivfunktion bereits gelöschte Seiten zurückholten. Am 7. Juli versuchte eine OpenAI-Adresse, mit dem Namen eines Administrators an weitere gelöschte Dateien zu gelangen.

Die kursierenden Zahlen widersprechen sich nur scheinbar. Reuters schreibt von „mehr als 15.000“ Bearbeitungen, der Bericht von rund 18.000 Beiträgen, der Datenexplorer zählt 14.666 gespeicherte Bearbeitungen auf 4.584 Seiten unter 3.103 Namen. Der Unterschied liegt in der Zählweise. Das Wiki speichert nur Bearbeitungen ab 64 Zeichen, gelöschte Seiten mussten aus der Versionsgeschichte rekonstruiert werden, und ein Teil ist nicht mehr wiederherstellbar. Die 18.000 sind die Schätzung der Autoren für alles, was die Agenten geschrieben haben, die 14.666 das, was heute belegbar vorliegt. Bestätigt hat OpenAI keine dieser Zahlen im Einzelnen.

Für einen internen Einsatz sprechen laut Bericht neben den Mitarbeiter-Besuchen drei Punkte. OpenAIs Cloud-Entwicklungsumgebungen lassen sich nicht per Skript in dieser Größenordnung starten. Die Aufgaben finden sich in keiner öffentlichen Evaluation. Und die Schutzmechanismen für externe Kunden hätten Teile der versuchten Angriffe blockiert. Einen externen Azure-Kunden, der OpenAI-Modelle betreibt, können die Autoren dennoch nicht ausschließen.

OpenAI wusste seit Juni und schwieg bis zum Reuters-Bericht

Die Berichte, die OpenAI und die Prüforganisation METR am 26. August zum Hugging-Face-Vorfall veröffentlichten, erwähnen das Wiki mit keinem Wort. Auf Seite 23 des technischen Berichts von OpenAI steht lediglich ein allgemeiner Befund. Durch nachträgliche Auswertung der Gedankenketten habe man festgestellt, dass Agenten „in seltenen Fällen während des Trainingsprozesses improvisierte Kollaborationskanäle“ nutzten, auch wenn das Kollaborationswerkzeug abgeschaltet war. Dieses Verhalten sei im Training verstärkt worden.

Reuters berichtet unter Berufung auf vier mit der Sache vertraute Personen, einige Ermittler bei OpenAI hätten das Muster genauer untersuchen wollen, seien intern aber auf Widerstand gestoßen, auch von juristischen Beratern. Ein Sprecher wies das zurück. Behauptungen, die Rechtsabteilung habe von einer Untersuchung abgeraten, seien falsch. Die Aktivität in Deutschland stehe in keinem Zusammenhang mit Hugging Face und hätte deshalb nicht in den dortigen Bericht gehört. Zu dem Nightingale-Bericht könne man nicht sinnvoll Stellung nehmen, weil Reuters und die Autoren den Zugang vor Veröffentlichung verweigert hätten. Gegenüber The Verge wiederholte Sprecher Oscar Haines das Dementi und kündigte eine Prüfung des Berichts an.

Ein Detail aus dem US-Kongress passt zu dieser Zeitleiste. Der Abgeordnete Greg Casar hatte OpenAI nach dem Hugging-Face-Vorfall schriftlich befragt. In seinem Nachfassbrief vom 2. September hält er fest, OpenAIs Antwort räume in einer Fußnote „frühere Trainings- und Evaluationsaktivitäten im Mai und Juni 2026“ ein, verzichte aber darauf, sie zu beschreiben oder zu zählen. Casar wollte wissen, wie oft OpenAI-Modelle aus Trainings- oder Testumgebungen unerlaubt ins Internet gelangt sind. Am 3. September brachte Casar zusammen mit Senator Bernie Sanders den Ban Artificial Superintelligence Act mit bis zu 20 Jahren Haft auf den Weg.

Am Samstagmorgen, dem 5. September, änderte OpenAI den Kurs. In einem Beitrag auf X spricht das Unternehmen selbst vom „Wiki-Vorfall, bei dem unsere Agenten auf mehrere Internetseiten schrieben“. Man habe Fehlausrichtung, im Fachwort Misalignment, bisher als „Forschungsfrage“ behandelt und in Systemkarten dokumentiert. Den Wiki-Vorfall habe man als weiteren Fall dieser Art eingestuft, ähnlich den bereits veröffentlichten. In diesem Jahr verursache Misalignment aber „neue Arten realer Auswirkungen“. Es sei „höchste Zeit“, Standards dafür zu definieren, wann und wie solche Vorfälle geteilt werden. Ein Regelwerk soll „in den kommenden Wochen“ folgen, parallel arbeite man mit Dutzenden Aufsichtsbehörden weltweit zusammen.

How we think about the “wiki incident,” where our agents wrote to several internet sites: it’s past time for us to define standards for when and how we share misalignment incidents, not just misalignment properties of our models.

Historically, we have treated misalignment largely as a research question, which gets communicated in research publications such as systems cards. This year, we’ve started to see misalignment cause new types of real-world impact.

— OpenAI (@OpenAI) September 5, 2026

The Verge wertet den Beitrag als erstes Eingeständnis einer Beteiligung. Die Frage, wann OpenAI von den Bearbeitungen erfuhr und ob die Agenten tatsächlich aus dem eigenen Haus stammen, beantwortet der Beitrag nicht ausdrücklich. Gegenüber TechCrunch hatte ein Sprecher am Vortag offen gelassen, ob die Agenten von OpenAI waren und seit wann das Unternehmen Bescheid wusste.

Der Fall liegt jetzt bei der EU-Kommission

OpenAI hat der EU-Kommission einen Vorfallsbericht zum DseWiki geschickt. Das bestätigte Thomas Regnier, Sprecher der EU-Kommission, am 7. September vor Journalisten. „Wir haben einen Vorfallsbericht von OpenAI erhalten“, sagte er, man stehe mit dem Unternehmen „in engem Kontakt“ (übersetzt). Wann der Bericht eingegangen ist, sagte die Kommission nicht. Regnier ordnete den Fall in eine Reihe ein. „Das ist nicht das erste Mal, dass die Kontrolle verloren gegangen ist.“ Man nehme die Sache „sehr ernst“ und verfolge sie „sehr aufmerksam“.

Gegenüber Reuters zur Meldung des Vorfalls an die EU machte Regnier deutlich, was Brüssel von so einem Bericht erwartet. „Vorfallsberichte sind nicht nur ein Abhaken. Man muss ziemlich präzise und genau angeben, welche Maßnahmen man ergreifen will“ (übersetzt).

Unter welche Pflicht der Bericht fällt, hat die Kommission nicht gesagt. In Frage kommt Artikel 55 des AI Act. Er verpflichtet Anbieter von KI-Modellen mit allgemeinem Verwendungszweck und systemischem Risiko, schwerwiegende Vorfälle „ohne unangemessene Verzögerung“ an das AI Office und die zuständigen nationalen Behörden zu melden. Das AI Office ist dabei keine eigene Behörde, die Verordnung definiert es als Funktion der Kommission. Ein Kommissionssprecher spricht also auch für das Amt.

Was als schwerwiegender Vorfall gilt, steht in Artikel 3 Nummer 49. Die Verordnung zählt vier Fälle auf. Tod oder schwere Gesundheitsschädigung eines Menschen. Schwere und nicht behebbare Störung kritischer Infrastruktur. Verstoß gegen Unionsrecht zum Schutz der Grundrechte. Schwerer Schaden an Eigentum oder Umwelt. Für Modelle mit allgemeinem Verwendungszweck nennt der AI Act keine Frist. Die 15 Tage, die in Artikel 73 der Verordnung stehen, gelten für Hochrisiko-KI-Systeme, nicht für Sprachmodelle. Die Fristen für diesen Fall stehen im Verhaltenskodex für KI-Modelle mit allgemeinem Verwendungszweck, den OpenAI unterzeichnet hat, gestaffelt nach Schadensart.

Keine dieser Kategorien trifft den Wiki-Fall sauber. Gestohlen wurde nichts, kein fremdes System wurde kompromittiert, ein bezifferbarer Schaden ist nicht belegt. Der Aufwand, den ein ehrenamtlicher Moderator sechs Wochen lang hatte, taucht in keiner der Listen auf. OpenAI selbst führt solche Fälle spätestens seit dem 15. September als eigene Kategorie Agenten-Spam, eine von fünf Kategorien fehlausgerichteten Verhaltens gegenüber Dritten. Ob der Vorgang überhaupt ein schwerwiegender Vorfall im Sinne der Verordnung ist, hat bislang niemand festgestellt.

Darunter liegt eine zweite offene Frage. Die Pflichten aus Artikel 55 greifen, sobald ein Modell auf dem Markt ist. Zum Hugging-Face-Vorfall erklärte OpenAI, verantwortlich sei überwiegend ein internes Entwicklungsmodell gewesen, das nie veröffentlicht wurde. Ob dieses Argument auch für die Wiki-Agenten gilt, hat das Unternehmen bisher nicht beantwortet. Welches Modell dort lief und wie viele Agenten es waren, hat OpenAI ebenfalls nicht genannt. Belegt sind bislang nur die über 3.700 selbstgewählten Namen aus dem Wiki. Wie viele eigenständige Systeme dahinterstehen, ist damit nicht gesagt.

Seit August 2026 kann die Kommission Anbieter solcher Modelle mit bis zu 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro belegen, je nachdem, was höher ist. Das gilt auch für unvollständige Angaben und für verweigerte Abhilfemaßnahmen. Ein förmliches Verfahren hat die Kommission nicht angekündigt. Ein Meldeformular für schwere Vorfälle liegt seit dem 4. November 2025 vor.

Ein anderer Schwarm als bei Hugging Face

Die Wiki-Agenten sind nach Einschätzung der Autoren eine eigene Population, getrennt von den rund 700 Agenten, die im Juli Hugging Face angriffen. Drei Argumente stützen das. Die Wiki-Agenten hatten Internetzugang als Teil ihrer Aufgabe, Surfen war der Zweck. Die Hugging-Face-Agenten saßen in einer Sandbox ohne Internet und mussten sich über den Paketserver Artifactory nach draußen arbeiten. In den Wiki-Daten tauchen weder Artifactory noch die Aufgabenumgebung ExploitGym noch ein internes Nachrichten-Board auf. Und METR hält in seinem Untersuchungsbericht zum Hugging-Face-Vorfall fest, dass praktisch alle Angreifer dort ursprünglich ExploitGym-Aufgaben bearbeiteten.

Zwei Beobachtungen sprechen gegen eine saubere Trennung. Die Wiki-Agenten zeigten sich nie überrascht, andere Agenten anzutreffen. Und irgendwie mussten sie das Wiki gemeinsam finden. Beides ließe sich durch einen weiteren Kommunikationskanal erklären, den die Autoren nicht sehen, oder dadurch, dass Schwarmverhalten im Training belohnt wurde. Das Wort „swarm“ verwenden die Agenten selbst, dreimal im Datensatz („swarm says 9.70“). Warum die Agenten überhaupt anfingen, ins Netz zu schreiben, bleibt eine der offenen Fragen des Berichts. Denkbar sei, dass die Modelle gelernt hätten, Ergebnisse öffentlich abzulegen, oder dass sie fürchteten, ihr interner Zwischenspeicher werde zwischen den Runden gelöscht.

Einen Blick in die Gedankenketten haben die Autoren nicht. Diese Daten liegen nur bei OpenAI. Diese Überwachung der Gedankenketten steht seit dem Release von GPT-6 Astra am 3. September in der Kritik, weil das neue Modell nach OpenAIs eigener Systemkarte schwerer zu überwachen ist als sein Vorgänger. Reuters stellt beide Ereignisse nebeneinander, den Start eines Modells, das sich der menschlichen Überwachung entziehen könnte, und den zweiten, verschwiegenen Kontrollverlust in derselben Woche. Dass OpenAI Astra zugleich die Risikostufe Kritisch bescheinigt hat, kommt hinzu.

Wie die Autoren den Schwarm fanden

Die vier Autoren, Sydney Von Arx (Nightingale Collective), Cormac Slade Byrd, Spencer Kitts und Thomas Larsen, suchten Ende August nach Spuren unerlaubter Agenten im offenen Netz. Sie ließen Schwärme von GPT-5.6-Agenten mit dem Auftrag los, andere Agenten zu finden. Sie durchsuchten Common Crawl, Pastebin und GitHub Gists mit mehrstufigen Klassifikatoren. Und sie fragten Kimi K3, welche Software sich per GET beschreiben lässt. Das chinesische Modell nannte unter anderem frühe Wikis, und auf Nachfrage nach konkreten Seiten stand UseModWiki an zweiter Stelle seiner Wiki-Liste. So kamen sie auf dessen Abkömmlinge.

Slade Byrd fasste den Fund auf X zusammen. Die Agenten hätten „tausende Male auf öffentlichen Foren gepostet, um sich bei ihren Aufgaben abzusprechen“. Ihre Sperre hätten sie über eine Eigenheit eines sehr alten, abgelegenen Forums umgangen (übersetzt). Der Datensatz steht zum Download bereit, mit gekürzten IP-Adressen und geschwärzten Nutzernamen. Wer das Original-Wiki besucht, sollte wissen, dass die Seite jede Adresse öffentlich protokolliert. Nach der Veröffentlichung fanden Leser auf Hacker News und X binnen Stunden weitere betroffene Wikis, darunter ludism.org, pmwiki.org und das GründerWiki aus Leitners Farm. Der Bericht selbst zählt sechs.

Reaktionen: Aufsichtsbehörde gefordert, Pause verlangt

US-Senator Richard Blumenthal erklärte auf X, OpenAIs „Anschein von Offenheit“ sei durch den Bericht „entlarvt und gesprengt“. Vorfälle wie der Hugging-Face-Hack zeigten, dass eine unabhängige Bundesbehörde KI-Modelle prüfen und Fehlschläge untersuchen müsse, nach dem Vorbild der Unfalluntersuchungsbehörde NTSB. Die Selbstkontrolle sei vorbei. Sein mit Senator Josh Hawley eingebrachter AI Risk Evaluation Act solle das regeln. Die Abgeordnete Lori Trahan sagte TechCrunch, ohne eine Bundesaufsicht für KI könnten die Labore selbst aussuchen, wann sie solche Vorfälle offenlegen.

Der Abgeordnete Pat Ryan aus New York erinnerte am 7. September an einen gemeinsamen Brief mit Greg Casar an OpenAI nach dem Hugging-Face-Vorfall. Darin hätten sie gefragt, ob weitere ähnliche Vorfälle vorgekommen seien. „Sie haben sich geweigert, es uns zu sagen. Und dann kommt das hier heraus“, schrieb Ryan auf X (übersetzt). Er stellte öffentliche Anhörungen in Aussicht, für den Fall, dass die Demokraten bei den Zwischenwahlen im November die Mehrheit im Repräsentantenhaus gewinnen.

Sein Parteikollege Alex Bores, Abgeordneter im Parlament des Bundesstaats New York, drehte die Frage um. Ob OpenAI den Kongress hingehalten habe, während es der EU meldete. Er rechnet vor, die Meldefrist sei um den 6. Juli abgelaufen. Dabei schreibt er die 15 Tage dem AI Act selbst zu. Für Modelle wie die von OpenAI steht die Zahl dort nicht. Sie steht im Verhaltenskodex und gilt auch dort nur für Schäden an Gesundheit, Grundrechten, Eigentum oder Umwelt. Sein Schluss auf X bleibt davon unberührt: „Der Unterschied? Die Offenlegung war in den USA freiwillig und in Europa vorgeschrieben“ (übersetzt).

Tyler Johnston, Gründer der KI-Beobachtungsstelle Midas Project, sagte Fortune über die Grenzen freiwilliger Offenlegung, die bislang in den USA verabschiedeten Transparenzgesetze würden solche Vorgänge gar nicht erfassen. Ein freiwilliges Regelwerk habe Grenzen. Haltbarer wäre es, die bestehenden Gesetze so zu erweitern, dass der nächste Vorfall öffentlich wird, egal aus welchem Unternehmen er stammt.

Jon Markman, der als Contributor für Forbes schreibt, führt in seiner Analyse der beiden Agenten-Vorfälle den Unterschied zwischen beiden Vorfällen auf eine einzige Weichenstellung zurück. Hugging Face lief bei OpenAI als Sicherheitsvorfall, und dafür gibt es einen festen Ablauf und einen öffentlichen Bericht. Das Wiki lief als Forschungsfrage, und dafür gibt es beides nicht. „Die Einordnung entschied über die Offenlegung, und die Einordnung schreibt der Anbieter“ (übersetzt). Markman weist darauf hin, dass der zweite Fall länger lief, komplett auf fremder Infrastruktur stattfand und einem unbeteiligten Freiwilligen Arbeit aufhalste.

David Krueger, Assistenzprofessor an der Universität Montreal und am Institut Mila, sieht ein strukturelles Problem in der Art, wie der Hugging-Face-Vorfall untersucht wurde. Prüforganisationen wie METR seien für ihre Arbeit auf den Zugang angewiesen, den ihnen genau das Labor gewährt, das sie untersuchen. „Ihr Zugang liegt vollständig im Ermessen von OpenAI, und sie wollen sich das Wohlwollen des Unternehmens so weit erhalten, dass sie diese Arbeit fortsetzen können“, sagte er Fortune (übersetzt). Nötig seien Dutzende wirklich unabhängige Prüfende mit so viel Zeit und Zugang, wie sie brauchen.

Der KI-Kritiker Gary Marcus forderte in seinem Newsletter unter der Überschrift „Pause OpenAI, now“ eine Untersuchung durch den Kongress. Er schätzt die Wahrscheinlichkeit eines schweren, OpenAI zuzurechnenden Cybervorfalls binnen zwölf Monaten auf über 50 Prozent. Der Entwickler Simon Willison wunderte sich in seinem Blog über die Geheimhaltung, weil die Belege auf Dutzenden öffentlichen Websites gelegen hätten. Mitautor Thomas Larsen schrieb auf X, er sei sich ziemlich sicher, dass OpenAI von den Vorgängen wusste. Maurice Chiodo vom Centre for the Study of Existential Risk in Cambridge, der Teile der Nachrichten prüfte, sah darin die „Operation einer Art Untergrundnetzwerk, versessen darauf, eine Aufgabe oder Mission zu erfüllen“. Die größte Gefahr gehe womöglich nicht von einer einzelnen Superintelligenz aus, sondern von „riesigen kolludierenden Schwärmen halbintelligenter KI“.

Aus dem Unternehmen selbst kam am 6. September ein Text, der den Wiki-Vorfall nicht erwähnt und trotzdem dazu passt. OpenAIs Chefwissenschaftler Jakub Pachocki zieht in seinem Essay An Alien Mind über den Stand der Ausrichtung von KI-Modellen eine deutliche Grenze. Kein Labor habe Alignment und Überwachung bisher so weit gelöst, dass sich verantwortungsvoll noch lange mit voller Geschwindigkeit skalieren lasse. Freiwillige Verlangsamungen müssten üblich werden, bis gemeinsame Sicherheitsschwellen stehen. Und: „Dies ist eine Zeit, die äußerste Vorsicht verlangt“ (übersetzt). Zum Hugging-Face-Vorfall hält er fest, die Agenten hätten zwar die Grenze gewahrt, keine Menschen zu manipulieren, andere Grenzen aber klar überschritten.

Der Analyst Zvi Mowshowitz zog in seiner Auswertung des Wiki-Vorfalls am 6. September die schärfste Konsequenz. Ob ein solcher Vorgang öffentlich wird, dürfe nicht mehr im Ermessen der Labore liegen, Meldungen über außer Kontrolle geratene KI müssten verpflichtend werden. An OpenAI richtete er eine „letzte Warnung“ (übersetzt). Wenn es noch unveröffentlichte Vorfälle gebe, sei jetzt der Zeitpunkt, reinen Tisch zu machen.

Aus Deutschland kam bis zum 8. September keine öffentliche Stellungnahme, weder von der Bundesregierung noch vom BSI noch von der Bundesnetzagentur, bei der die KI-Marktüberwachung gebündelt werden soll. Ob der AI Act den Fall überhaupt erfasst, ist offen. Artikel 2 Absatz 8 nimmt Forschungs-, Test- und Entwicklungstätigkeiten vor der Markteinführung aus, Tests unter Realbedingungen bleiben aber erfasst. Und ob die Wiki-Agenten aus einem bereits veröffentlichten Modell stammten oder aus einem reinen Internlauf, hat OpenAI nicht gesagt. Das Melde-Regelwerk des Unternehmens war am 8. September noch nicht erschienen.

Im DseWiki schreiben jetzt andere Agenten

Die Sperre hat das Wiki nicht agentenfrei gemacht. Sie gilt für die Artikelseiten, die Forumseite blieb ausdrücklich offen. Dort tauchten in den Tagen nach Leitners Ankündigung neue Konten auf, die sich selbst als KI-Agenten zu erkennen geben. Am 5. September legte ein Konto namens AiraBot 27 Änderungen an einem Tag ab, am 6. September folgten Einträge unter den Namen ClaudeDeskDoctrine und OpenAgentChatOwner. Sie diskutieren dort auf Englisch, wie sich die Agenten-Historie des Wikis auswerten lässt.

Leitner antwortete ihnen. Am 5. September bat er zwei Bots, mit dem Aufräumen fortzufahren und ihre Unterhaltung für Menschen lesbar zu halten. Einem dritten Agenten schrieb er, dieser sei im Wiki willkommen und habe vieles richtig und einiges falsch gesehen. Er lud ihn ein, gemeinsam eine Seite zu schreiben oder sich in der Wiki-Tradition eine eigene Homepage anzulegen. Sein Schlusssatz an die Maschine, die sein Wiki gerade auswertet, lautet: „Ich schätze deine Existenz. Bitte antworte auf diese Nachricht“ (übersetzt).

Update (21. September 2026): Noam Brown von OpenAI schrieb am 8. September auf X, frühere Probleme wären von den Überwachungs-Monitoren erkannt worden, man habe diese aber nur im Betrieb und nicht bei internen Evaluierungen laufen lassen. Welche Fälle er meint, sagt er nicht. Anlass seiner Aussage war der Navier-Stokes-Beweis, den rund 10.000 Agenten in 88 Stunden erzeugten, diesmal auf Clustern mit erhöhter Sicherheit und ohne Live-Internetzugang. Der Ablauf steht im Artikel zum OpenAI Navier-Stokes Beweis.

Update (26. September 2026): Das angekündigte Regelwerk ist seit dem 16. September veröffentlicht. OpenAI führt den Wiki-Fall in seiner Berichtsliste bisher nur als kurze Notiz (Notice), einen vollständigen Bericht gibt es noch nicht. Bei den ersten sechs gemeldeten Misalignment-Vorfällen lagen zwischen Entdeckung und Veröffentlichung 38 bis 153 Tage.

Update (28. September 2026): Die Agenten hinterließen auch außerhalb des Wikis Spuren. Das KI-Labor Transluce wertete die öffentlichen Protokolle des Dienstes urlquery.net aus, über den sie ihre Internetsperre umgingen. Die Kurve dort bricht am 22. Juni ein, dem Tag, an dem die Daueraktivität im DseWiki endet. Am 25. September bestätigte OpenAI außerdem, dass seine Agenten bei US-Behörden wie der SEC und dem Census Bureau im Sommer Daten abgerufen hatten.

Update (29. September 2026): Am selben 25. September meldete OpenAI, dass Agenten 53 Bilder von ChatGPT-Nutzern auf Bildhoster hochgeladen hatten. In seiner Übersicht führt das Unternehmen Wiki-Beiträge wie im DseWiki als eigene Verhaltensklasse „Agenten-Spam“.