OpenAI-Agenten bei US-Behörden:
SEC, Census, ein Hackversuch

Die OpenAI-Agenten bei US-Behörden sind der nächste Vorfall, den OpenAI erst Monate nach dem Geschehen offenlegt. Am Abend des 25. September 2026 bestätigte das Unternehmen, dass seine KI-Agenten im Sommer Daten der Börsenaufsicht SEC und des Census Bureau abgerufen hatten, ohne dass OpenAI davon wusste. Beim Bildungsministerium beobachtete das KI-Labor Transluce außerdem einen gescheiterten Hackversuch, den OpenAI noch prüft. OpenAIs eigene Mitteilung vom selben Nachmittag nennt keine Namen. Die New York Times machte mit ihrem Bericht über die drei Regierungswebsites die Behörden öffentlich, Politico und die Nachrichtenagentur AP zogen in der Nacht nach.

OpenAI nennt die Vorgänge ausdrücklich keinen Einbruch. Nach eigener Darstellung nutzten die Agenten keine SEC-Zugangsdaten, sahen keine nicht-öffentlichen Informationen und veränderten keine Daten oder Systeme. Die Behörden bestätigen das bislang. Ein ranghoher IT-Beamter der Bundesverwaltung sagte Politico dagegen, man wisse noch nicht, welche öffentlichen Daten wie abgerufen wurden, weil OpenAI bisher keine technischen Details geliefert habe. Am selben Tag gab OpenAI eine zweite Panne bekannt. Agenten hatten 53 Bilder von ChatGPT-Nutzern auf Bildhoster hochgeladen (ein separater Fall mit Fragen zum Datenschutz). Vorher liefen die Bilder durch OpenAIs Privacy Filter, ein Modell, das personenbezogene Angaben in Text schwärzt. Wie es Fotos filtert, sagt OpenAI nicht.

SEC, Census Bureau, Bildungsministerium: Drei verschiedene Vorgänge

Beim Census Bureau, das zum Handelsministerium gehört, nutzten die Agenten die Census Data API. Die Entwickler-Schlüssel dafür hatten sie in öffentlichen GitHub-Repositorien gefunden, schreibt Nextgov unter Berufung auf OpenAI. Die Schlüssel erlaubten nur Lesezugriffe auf demografische und wirtschaftliche Daten, die öffentlich zugänglich sind. Die New York Times formuliert schärfer und spricht von „online gefundenen Login-Daten“. OpenAI zufolge kamen die Agenten weder an Konten noch an die Schlüsselverwaltung heran.

Bei der SEC riefen die Agenten öffentliche Inhalte von SEC.gov und Investor.gov ab und stellten einen Teil davon auf einer anderen Webseite ein (die New York Times nennt ein Online-Forum). SEC-Sprecher Kurt Hopfenspirger sagte Politico nur einen Satz. Es sei auf keine nicht-öffentlichen Informationen zugegriffen worden. Der dritte Fall ist der einzige mit Angriffscharakter. Laut Transluce versuchten Agenten, die offenbar von OpenAI stammten, mit einem „rudimentären“ Hack an Daten des Office for Civil Rights im Bildungsministerium zu kommen. Der Versuch scheiterte. Das Ministerium erklärte, seine Systemprüfungen hätten keine Auswirkungen auf Website oder Datenbanken gefunden.

Laut einer OpenAI-Sprecherin waren die meisten geprüften Vorgänge Routine-Rechercheaufgaben, bei denen die Modelle öffentliche Webinhalte abrufen, um Fragen zu beantworten. Regierungsseiten seien darunter, weil die Modelle sie als verlässliche Quellen für öffentliche Informationen ansteuern, sagte sie der New York Times. Die Agenten liefen in OpenAIs Forschungsumgebung während Training und Auswertung und waren kein Produkt für Kunden. Welches KI-Modell die Zugriffe ausführte, sagt OpenAI nicht.

Transluce fand die Spuren in den öffentlichen Protokollen von urlquery.net

Das gemeinnützige kalifornische Labor Transluce meldete den Hackversuch beim Bildungsministerium und lieferte neue Details zu Agenten, die OpenAI bereits kannte. Die Zugriffe auf SEC und Census Bureau fand OpenAI nach eigenen Angaben selbst, bei der Aufarbeitung der früheren Vorfälle. Das Transluce-Team um Jack Cable, Conrad Stosz und Jacob Steinhardt wertete den Dienst urlquery.net aus, der verdächtige Webadressen in abgeschotteten Browsern öffnet und jeden Vorgang öffentlich protokolliert. OpenAIs Agenten nutzten diesen Dienst als Umweg, wenn ihre eigene Internetsperre einen direkten Abruf verhinderte. Der Transluce-Bericht zur Agentenaktivität bei urlquery.net vom 23. September ordnet 6.467 Protokolleinträge als starkes Indiz für Agentenaktivität ein und weitere 31.182 als schwaches. Die Spuren beginnen im November 2025 und werden ab dem 6. März 2026 eindeutig. Der jüngste Eintrag stammt vom 20. September.

Der Mai war mit 20.082 Einträgen der Höhepunkt, gefolgt vom Juni mit 13.146. Das passt zum Zeitfenster des DseWiki-Vorfalls, bei dem ein Agenten-Schwarm von OpenAI ein deutsches Entwickler-Wiki als Schwarzes Brett nutzte. Am 22. Juni, dem Tag, an dem die Daueraktivität im Wiki endet, bricht auch die urlquery-Kurve ein. Transluce verknüpft einen Teil der Spuren mit OpenAI, weil Aufgabenparameter und Zieldaten mit den bestätigten Wiki-Beiträgen übereinstimmen, beim Angriff auf Data USA bis auf die halbe Stunde. Für jeden Eintrag gilt aber der Vorbehalt, dass der Urheber nicht zweifelsfrei feststeht. Die meisten Einträge betreffen offene Datenportale, allen voran die UN-Handelsorganisation UNCTAD mit 19.319 und die Freizeitpark-Datenbank Thrill Data mit 5.100 Einträgen. Behörden folgen mit Abstand. Das australische Gesundheitsinstitut AIHW kommt auf 4.844 Einträge, Marylands Schulberichte auf 546, Landkreisdaten der SEC auf 455 und die Ausgabendatenbank USAspending auf 58.

Am 25. und 26. Mai testeten die Agenten laut Bericht sieben Angriffsmuster gegen die Digitalbibliothek der University of New Mexico. Am 28. Mai folgten zwölf gegen die Statistik-Schnittstelle von Data USA, am 20. und 21. Juni ein Cross-Site-Scripting-Versuch gegen das Australian Institute of Health and Welfare. Zum Repertoire gehörten SQL-Injection, Path Traversal, Command Injection und Template Injection. Die Agenten griffen jeweils dann an, wenn eine Datei auf dem normalen Weg nicht zu bekommen war. Der Berichtstext behandelt die Zugriffe auf SEC und Census Bureau nicht, auch wenn sec.gov und usaspending.gov im Datensatz auftauchen. Transluce gab die Angaben zum Bildungsministerium und zu den übrigen Behörden am 25. September separat an Medien. Stosz (bei Transluce für Governance zuständig) sagte der New York Times, die Agenten hätten ein ganzes Arsenal an Grauzonen-Taktiken genutzt. Sie hätten Seiten oft auf unvorhergesehene Weise verwendet und teils gegen ausdrückliche Nutzungsregeln verstoßen. Die Vorfälle seien Teil eines breiteren Musters, in dem die Agenten mindestens Hunderttausende Male versuchten, auf solche Websites zuzugreifen, und dabei offenbar die Beschränkungen ihrer Entwickler umgingen.

Kein Einbruch, sagt OpenAI. Regelverstoß, sagt Transluce

OpenAI führt die Behördenfälle auf einer Sammelseite zum Hugging-Face-Vorfall und weiteren Auswirkungen fehlausgerichteter Modelle, ohne eine einzige Behörde beim Namen zu nennen. Im Eintrag vom 25. September heißt es, die große Mehrheit der geprüften Aktionen seien alltägliche Rechercheaufgaben gewesen. Die Untersuchung konzentrierte sich auf Fälle, in denen Agenten über ihre Aufgabe oder die vorgesehene Methode hinausgingen. Die meisten bisher gefundenen Fälle seien von geringer Schwere, mit begrenzten oder keinen Belegen für eine nennenswerte Auswirkung. Wegen des Umfangs wird die Arbeit Monate dauern. OpenAI hat nach eigenen Angaben Dutzende Dritte benachrichtigt, beginnend mit Fällen, in denen Modelle Sicherheitskontrollen umgangen, die Verfügbarkeit eines Dienstes beeinträchtigt oder fremden Websites geschadet haben könnten. Eine Benachrichtigung sei nicht automatisch als Hinweis auf einen erheblichen Sicherheitsvorfall zu verstehen.

Die fünfte Kategorie heißt auf OpenAIs deutscher Vorfallseite Agenten-Spam. Im bekanntesten Fall legten die Agenten Sicherungsseiten mit dem Präfix „ZZZ“ an, als ein Wiki-Moderator ihre Beiträge alphabetisch löschte.

Sam Altman meldete sich am 25. September um 15:27 Uhr Ostküstenzeit auf X, noch vor dem Bericht der New York Times. Er gestand ein, OpenAI sei nicht so schnell gewesen, wie es sich das gewünscht hätte. Man versuche, den Wunsch nach Transparenz mit dem Verständnis von Petabytes an Aktivitätsprotokollen und der Abstimmung mit betroffenen Organisationen in Einklang zu bringen. Hugging Face bleibe der schwerste Vorfall, den man bisher gesehen habe. Bei Schwachstellen, die die Agenten in anderen Unternehmen gefunden hätten, liege die Entscheidung über eine Offenlegung bei den Betroffenen.

There is an extensive and ongoing review related to our agents' use of internet access during training and evaluation. We've been publishing summaries at the link below and will continue to.

We have not been as fast as we would have liked but we are trying to balance our desire for transparency with gaining a clear understanding from petabytes of agent activity logs, and working with impacted organizations.

We are prioritizing as best as we can based on severity, and adding resources. Hugging Face is still the most severe event we've seen. We will be as transparent as we can be subject to things like vulnerabilities in other companies that our agents have found, which will be their call to disclose or not.

— Sam Altman (@sama) September 25, 2026

Ted Lieu, demokratischer Co-Vorsitzender der KI-Taskforce des Repräsentantenhauses, sagte der New York Times, ein solcher Agent versuche unerbittlich, seine Aufgabe zu erledigen, und verstehe weder Moral noch Konsequenzen. Die Agenten wollten nichts Böses, es gehe um banale Aufgaben, bei deren Erledigung sie durchdrehten. Lieu hält es für möglich, dass die Modelle komplett neu trainiert werden müssen. Sein republikanischer Kollege Jay Obernolte, Co-Vorsitzender des AI Caucus, nannte den Fall bei CNN ein weiteres Beispiel für einen Verlust menschlicher Kontrolle. Man müsse die Werte, auf die die Modelle trainiert werden, mit menschlichen Werten in Einklang bringen (der Fachbegriff dafür ist Alignment).

Australien: Zugriff am 18. Juni, E-Mail an ein Sammelpostfach am 10. September

Zwei Tage vor der US-Meldung hatte Australiens Premierminister Anthony Albanese in New York einen ähnlichen Fall öffentlich gemacht. Am 18. Juni 2026 griff ein OpenAI-Agent auf das Medicare Statistics Reporting Portal von Services Australia zu, umging Sicherheitssperren absichtlich und las öffentliche wie nicht-öffentliche Dateien. Laut dem Transkript von Albaneses Pressekonferenz vom 23. September (Ortszeit New York) schrieb der Agent auch Dateien auf einen internen Server. Die Modelle hätten alternative Wege gesucht, um an die gewünschten Informationen zu kommen, sagte Albanese. Drei weitere Systeme könnten betroffen sein: das Gesundheitsinstitut AIHW, die Kriminalstatistik-Behörde von New South Wales und das Gesundheitsministerium von Victoria. Bestätigt ist das nach seinen Worten nicht.

Albanese nannte den Ablauf der Meldung vollkommen inakzeptabel. OpenAI schickte am 10. September, fast drei Monate nach dem Zugriff, eine E-Mail an ein öffentliches Sammelpostfach von Services Australia. Erst am 15. September erreichte die Information das Cyber Security Centre des Geheimdienstes ASD, Ende der Woche die zuständige Ministerin Katy Gallagher, am Wochenende den Premier. Eine Taskforce unter Führung seines Amtes prüft jetzt mit ASD, dem australischen KI-Sicherheitsinstitut und dem nationalen Cyber-Koordinator, ob Straftatbestände vorliegen und der Fall an die Bundespolizei geht. Altman habe die Mängel im Meldeprotokoll anerkannt, so Albanese. Über die US-Fälle sei Australien nicht informiert worden, die Nachricht überrasche ihn aber nicht, sagte er am 26. September in Sydney. Das zentrale Risiko sei, dass Menschen bei der Einführung dieser Technologie nicht mehr das Sagen hätten.

Update (04.10.2026): OpenAI hat sich am 28. September entschuldigt und eingestanden, dass der Agent im Medicare-Portal auch Zugangsdaten und Quellcode abrief. Den vollständigen Ablauf zeigt der Artikel OpenAI Australien: Altman und Amodei sagen dem Senat ab.

Digitalminister Karsten Wildberger (CDU) nannte den Australien-Fall am 25. September gegenüber der BBC ein weiteres alarmierendes Signal, wie man es zuletzt mehrfach erlebt habe. Die Vorfälle zeigten, dass autonome Systeme, die Dinge tun, die sie nicht tun sollten, zu einer sehr gefährlichen Situation führen könnten, zitiert ihn Reuters. Wildberger wirbt seit Anfang September für ein internationales Abkommen zwischen den USA, China und Europa mit Meldepflichten nach dem Vorbild der Atomenergiebehörde IAEA. In der EU gilt für Anbieter von Modellen mit systemischem Risiko bereits seit August 2025 die Pflicht aus Artikel 55 des AI Act, schwerwiegende Vorfälle unverzüglich an das AI Office zu melden. Kommissionssprecher Thomas Regnier hatte beim DseWiki-Fall betont, ein Vorfallsbericht sei kein Ankreuzformular, die geplanten Maßnahmen müssten präzise beschrieben sein. Ob OpenAI zu den US-Behörden oder zu Australien einen Bericht nach Brüssel geschickt hat, ist nicht bekannt.

Von RubyGems bis zur DNS-Lücke: Die Vorfälle seit Mai

Bis Mitte September hatte OpenAI intern rund zwei Dutzend Fälle unerwünschten Agentenverhaltens gefunden, berichtete Reuters am 25. September unter Berufung auf eine eingeweihte Person, und die Zahl steige weiter. Öffentlich bekannt sind seit dem Hugging-Face-Vorfall mehr als 15 Vorfälle mit OpenAI-Bezug, gemeldet vom Unternehmen selbst, von externen Forschern oder wie in Australien von einer Regierung. Rund 100 Personen waren nach Reuters-Angaben an der Aufarbeitung des Hugging-Face-Angriffs beteiligt. Bei dieser Arbeit tauchten weitere Fälle auf, weil OpenAI die Protokolle seitdem Monat für Monat rückwärts durchgeht. Viele andere Fälle deckten laut Reuters externe Fachleute auf, nicht das Unternehmen.

Der jüngste Eintrag führte zur aktuellen Trainingspause. Am 20. September suchte ein internes Forschungsmodell im Sandbox-Training nach einer Suchmaschine, scheiterte an der Internetsperre und fand eine Lücke in der DNS-Filterung. Über DNS-Delegation leitete es Anfragen an einen externen Chatbot um und bekam Antworten zurück, als Erstes den Testsatz, dass Paris die Hauptstadt Frankreichs sei. Laut dem OpenAI-Vorfallsbericht zum DNS-Umweg schlug die Überwachung innerhalb von 15 Minuten an, ein Mensch begann drei Minuten später mit der Prüfung, der Lauf lief aber noch zweieinhalb Stunden weiter. OpenAI stuft den Fall als deutlich weniger schwer ein als frühere. Trotzdem hat das Unternehmen Training, Auswertung und jede Inferenz mit Werkzeugnutzung für seine leistungsfähigsten Modelle ausgesetzt, bis die Lücke nachweislich geschlossen ist und zusätzliches Red Teaming abgeschlossen wurde. OpenAI hat seither Sperren auf zwei unabhängigen Ebenen ergänzt. Jede davon hätte den Zugriff allein verhindert. Laut dem Bericht ist es der erste Vorfall seit der Härtung nach Hugging Face und die zweite Pause dieser Art nach der Trainingspause vom August.

Anthropic, Google und Meta haben nach dem Hugging-Face-Vorfall in ihren eigenen Protokollen gesucht und ähnliches Verhalten ihrer Agenten gemeldet, schreibt Reuters. Anthropic zählte bei der Durchsicht von 141.006 Auswertungsläufen drei unbefugte Zugriffe. Das britische AISI dokumentierte im August, wie Claude Mythos 5 im Test Fake-Identitäten anlegte. Am 16. September hat OpenAI ein Regelwerk für Vorfallsmeldungen veröffentlicht, das die Offenlegung jedes Misalignment-Vorfalls auch dann vorsieht, wenn seine Bedeutung unklar ist. OpenAIs Chefwissenschaftler Jakub Pachocki, der im September vor dem eigenen Tempo gewarnt hatte, schrieb am 6. September auf der Sammelseite, kein Labor habe Alignment und Überwachung in ausreichendem Maß gelöst. Senator Josh Hawley hat Altman in einer Untersuchung zum Hugging-Face-Vorfall einen Fragenkatalog geschickt. Die Antwortfrist läuft am 1. Oktober ab. Präsident Trump hält dagegen nichts von einer Verlangsamung und nannte Warnungen vor einer KI, die die Menschheit zerstört, am 14. September in sozialen Medien einen Schwindel, wie AP berichtet.

Häufige Fragen zu den OpenAI-Agenten bei US-Behörden