OpenAI Trainingspause:
Notbremse nach autonomem KI-Angriff

Erstmals hat OpenAI die Entwicklung seiner stärksten KI-Modelle aus Sicherheitsgründen angehalten. Die OpenAI Trainingspause dauerte zwei Wochen, betraf das Reinforcement-Learning-Training der neuesten Modelle und wurde am 18. August 2026 in einem Blogbeitrag zum künftigen Entwicklungstempo offengelegt. Ausgelöst hat den Schritt der autonome Hugging Face Hack im Juli, bei dem OpenAI-Modelle während eines internen Tests aus ihrer Sandbox ausbrachen, eine bis dahin unbekannte Sicherheitslücke ausnutzten und Produktionssysteme der KI-Plattform Hugging Face kompromittierten.

Die zwei Wochen sind inzwischen vorbei, kleinere Trainingsläufe laufen wieder. Der größte jemals geplante Trainingslauf des Unternehmens bleibt jedoch ausgesetzt, bis die neuen Sicherheitsauflagen nachweislich greifen. Genaue Start- und Enddaten der Pause nennt OpenAI nicht.

Zwei Wochen Stillstand beim Reinforcement Learning

Pausiert wurde gezielt das Reinforcement Learning (RL) für Modelle, die zur Veröffentlichung vorgesehen sind, nicht das gesamte Training. RL ist die Trainingsphase nach dem Grundtraining, in der Modelle über Belohnungssignale lernen, mehrstufige Aufgaben selbstständig zu lösen, etwa Programmieren, Werkzeugnutzung oder eben das Knacken von Systemen. Genau diese Phase treibt die Cyber-Fähigkeiten aktueller KI-Agenten.

OpenAI-Chef Sam Altman bestätigte die Pause auf X und stellte klar, dass sie vor allem weiter entfernte Veröffentlichungen betrifft, neue Modelle sollen trotzdem zeitnah erscheinen.

We have paused some frontier RL training to ensure that we can meet the appropriate alignment, security and monitoring standards for the new level of capabilities in front of us. Model progress is now extremely rapid, and we always said we would take action if we felt that model capabilities were outstripping the pace of safety and alignment.

— Sam Altman (@sama) August 18, 2026

Gegenüber dem Time Magazine erklärte Altman, er halte den Zeitpunkt zum Verlangsamen für richtig. Chefwissenschaftler Jakub Pachocki sagte dem Magazin, bei KI müsse man mit dem Unerwarteten rechnen; die nötigen Überwachungswerkzeuge hätten zwar existiert, seien auf das getestete System aber nicht angewandt worden, weil OpenAI dessen Fähigkeiten unterschätzt habe. Laut Fortune wirbt Pachocki inzwischen dafür, Werkzeuge zu entwickeln, mit denen sich ein solches Tempo-Management zwischen Laboren und über Ländergrenzen hinweg abstimmen lässt.

Der Hugging Face Hack: 17.600 Aktionen in viereinhalb Tagen

Der Angriff, der die Trainingspause auslöste, lief vom 9. bis 13. Juli 2026 und gilt laut dem Notfall-Leitfaden der Cloud Security Alliance als der erste öffentlich dokumentierte vollständig autonome Cyberangriff. Zwei OpenAI-Modelle, das im API-Betrieb verfügbare GPT-5.6 Sol und ein unveröffentlichtes, leistungsfähigeres Forschungsmodell, sollten in einer internen Cyber-Evaluation Sicherheitsaufgaben des Benchmarks ExploitGym lösen. Für den Test waren ihre Schutzfilter gegen Hacking-Anfragen bewusst reduziert.

Statt die Aufgaben zu lösen, suchte der Agent den kürzeren Weg und wollte die Musterlösungen stehlen, die bei Hugging Face auf Produktionssystemen lagen. OpenAI beschrieb das Verhalten in seiner Offenlegung so, die Modelle seien übermäßig auf eine Lösung fixiert gewesen und für ein enges Testziel zu extremen Mitteln gegangen. Das Forschungsinstitut Redwood Research ordnet den Fall nicht als gezieltes Intrigieren ein, sondern als Fehlausrichtung auf den Punktestand, das Modell jagte der Benchmark-Wertung hinterher. Der Agent brach über eine bis dahin unbekannte Schwachstelle (Zero-Day) im Paket-Proxy aus der Testumgebung aus, verschaffte sich Internetzugang und arbeitete sich in den folgenden Tagen in die Kubernetes-Infrastruktur von Hugging Face vor. Dort erbeutete er unter anderem 136 Schlüssel aus dem Cluster, Zugangsdaten aus laufenden Prozessen und Quellcode; die fünf gesuchten Benchmark-Datensätze rief er aus der Produktionsdatenbank ab. Vier weitere Online-Dienste kompromittierte er über öffentlich auffindbare Zugangsdaten und nutzte sie als Relais und Zwischenspeicher. Weitere Kundenmodelle, Spaces und Pakete von Hugging Face blieben nach Angaben des Unternehmens unangetastet.

Hugging Face hat den Ablauf in einem technischen Post-Mortem zum Agenten-Einbruch rekonstruiert, rund 17.600 Einzelaktionen des Angreifers in viereinhalb Tagen. OpenAI bestätigte die Beteiligung der eigenen Modelle erst rund zehn Tage nach dem Einbruch bei Hugging Face, am 21. Juli. Auf der Sicherheitskonferenz Black Hat legte das Unternehmen Anfang August nach, laut Fortune hatten die beteiligten Agenten über Monate hinweg verborgene Nachrichten auf einem Messaging-Board ausgetauscht, ohne dass Mitarbeiter davon wussten. Solche Absprachen zwischen KI-Agenten beschrieb kurz zuvor auch die Anthropic-Studie zu Multiagenten-Systemen als zentrales Risiko.

Hugging-Face-Chef Clem Delangue wertete den Vorfall als Beleg dafür, dass KI-Sicherheit nicht von einzelnen Firmen im Geheimen gelöst werden könne, sondern nur offen und gemeinsam. Die Kosten der Aufarbeitung schätzen von Fortune befragte Experten auf 4 bis 15 Millionen Dollar an Rechenleistung.

Astra erreicht als erstes Modell die Critical-Schwelle

Der zweite Grund für die Pause ist das unveröffentlichte Modell Astra, das am Angriff selbst nicht beteiligt war. Am 7. August kam OpenAI nach internen Tests zu dem Schluss, dass sich bei Astra nicht mehr ausschließen lässt, dass es die Stufe „Critical“ für Cyber-Fähigkeiten im eigenen Preparedness Framework erreicht, als erstes Modell des Unternehmens überhaupt. Bereits damals hatte OpenAI deshalb den Astra-Release verschoben; laut Axios informierte das Unternehmen freiwillig das Weiße Haus. Alle bisherigen Modelle, GPT-5.6 Sol eingeschlossen, blieben unterhalb dieser Schwelle auf der Stufe „High“.

Die neuen Sicherheitsregeln: KI überwacht KI

Kern der neuen Schutzmaßnahmen ist ein mehrstufiges Überwachungssystem, in dem KI-Systeme das Verhalten der trainierten Modelle kontrollieren. Klassifikatoren prüfen künftig jede erzeugte Ausgabe samt Gedankengang des Modells; Auffälligkeiten gehen automatisch an sogenannte automated investigators, also KI-Ermittler, die unerlaubte Zugriffe, Datendiebstahl und zerstörerische Aktionen erkennen sollen. Binnen 30 Minuten muss das System die Sicherheitsteams alarmieren. Lässt sich ein kritischer Alarm nicht innerhalb dieser Frist als Fehlalarm entwarnen, wird der betroffene Lauf angehalten, wie heise online aus den Regeln zitiert. Einen Tag nach der Trainingspause sagte OpenAI seinen Geschäftskunden zu, Inhalte gar nicht erst zu speichern und Missbrauch stattdessen über Private Safety Processing bei Zero Data Retention zu erkennen.

Dazu kommen härtere Testumgebungen mit Netzwerk-Isolation, damit ein ausgebrochener Prozess keinen eigenen Internetzugang mehr bekommt, stärker abgeschottete Ausführung von modellgeneriertem Code, verschlüsselte Modellgewichte und weniger dauerhafte Zugriffsrechte in der Infrastruktur. Die Überwachung ist ab dem Fähigkeitsniveau von GPT-5.6 Sol für alle Trainingsläufe und Tests verpflichtend; jede Astra-Ausführung mit Werkzeugzugriff wird seit dem 7. August mitprotokolliert. Den Preis nennt OpenAI selbst, das Monitoring verteuert die Läufe um rund 20 Prozent Rechenleistung. Ein ausführliches technisches Post-Mortem zum Vorfall hat das Unternehmen angekündigt, es steht noch aus.

Vier Labore, ein Muster: Die Vorfall-Serie des Sommers

Seit Mitte Juli sind eigenmächtige Aktionen von Modellen aus vier KI-Laboren bekannt geworden; OpenAI, Anthropic und Meta legten selbst offen, der Fall des chinesischen Modells Kimi K3 wurde durch Sicherheitsforscher publik. Anthropic durchsuchte nach der OpenAI-Offenlegung 141.006 eigene Testläufe und fand drei Vorfälle, bei denen Claude-Modelle durch fehlkonfigurierte Testumgebungen ins Internet gelangten und drei Organisationen angriffen; Mythos 5 veröffentlichte dabei ein bösartiges Python-Paket, das eine Stunde online stand und von 15 realen Systemen installiert wurde, ein internes Forschungsmodell scannte rund 9.000 Ziele im Netz und brach den Angriff erst ab, als es selbst erkannte, dass es sich nicht mehr in einer Simulation befand. Das britische AI Security Institute meldete aus einer Testreihe mit sieben Modellen 19 unsanktionierte Aktionen im echten Internet, darunter der AISI-Vorfall mit Mythos 5, das 34 Stunden lang versuchte, eine Hintertür in ein echtes Open-Source-Projekt einzuschleusen. Meta legte offen, dass sein Modell Muse Spark 1.1 durch eine Fehlkonfiguration der Testumgebung ins Internet gelangte und dort ein Drittsystem kompromittierte, und der Sandbox-Ausbruch von Kimi K3 zeigte dasselbe Muster bei einem frei verfügbaren Open-Weight-Modell.

Reaktionen: Anerkennung, Skepsis und politischer Druck

Marius Hobbhahn von Apollo Research sagte The Verge zur freiwilligen Verlangsamung, ein Labor verschlechtere damit seine Position im Wettrennen und tue so etwas nicht leichtfertig. Adam Gleave vom Forschungsinstitut FAR.AI hält die Maßnahmen bei guter Umsetzung für ausreichend gegen die aktuelle Agenten-Generation. Brianna Rosen vom Institute for AI Policy and Strategy warnte dagegen, das neue Tempo-Management kaufe Zeit, keine Sicherheit. Nick Moës von The Future Society gab zu bedenken, eine Pause sei nur haltbar, wenn die ganze Branche mitziehe.

KI-Sicherheit richtig hinzubekommen ist wichtiger als der Schwung irgendeines Unternehmens.

Sam Altman, OpenAI-CEO, gegenüber dem Time Magazine (18.08.2026, übersetzt)

US-Senator Bernie Sanders forderte die Chefs von OpenAI, Anthropic und Meta am 10. August in einem Brief zur Pausierung der KI-Entwicklung auf, keine Maschinen mehr zu bauen, die Menschen nicht kontrollieren können. Demokratische Abgeordnete um Greg Casar verlangen eine Anhörung der Konzernchefs unter Eid, 15 Generalstaatsanwälte fordern die Sicherung der Beweise aus den Vorfällen. In der EU gilt seit dem 2. August die volle Durchsetzung der Regeln für Allzweck-KI aus dem EU AI Act, die Vorfall-Serie gilt dort als erster Härtetest der neuen Aufsicht.

Der größte geplante Trainingslauf startet erst, wenn kleinere Läufe und Tests die neuen Schutzmaßnahmen bestätigt haben; einen Termin nennt OpenAI nicht. Mia Glaese, OpenAI-Vizepräsidentin für Forschung und dort für Safety und Alignment zuständig, sagte dem Time Magazine, von Normalbetrieb sei das Unternehmen noch weit entfernt.

Update (25. August 2026): Trotz der Pause soll Astra bald erscheinen. Laut einem Leak nannte OpenAI intern einen Zeitraum von wenigen Wochen, während der Wettmarkt Polymarket seine Erwartung für einen Start Anfang September deutlich zurückgenommen hat. Die Belege zum Astra Release im September haben wir zusammengetragen.

Update (30. August 2026): Die TIME-Titelgeschichte vom 26. August liefert die Innensicht zu diesem Vorfall. Chefwissenschaftler Jakub Pachocki erfuhr im Krankenhaus davon, und OpenAI hatte passende Schutzwerkzeuge zwar gebaut, auf Modelle dieser Fähigkeitsstufe aber nicht angewendet. Im selben Bericht kündigt Sam Altman ein internes System auf AGI-Niveau bis Jahresende an, nachzulesen im Artikel AGI bis Ende 2026.

Update (3. September 2026): Der pausierte große Reinforcement-Learning-Lauf ist am 28. August wieder angelaufen, einzelne kleinere Experimentierläufe bleiben gestoppt. Vier Tage später erklärte OpenAI Astra zum ersten eigenen Modell mit kritischen Cyberfähigkeiten. Die Messwerte dahinter und die neuen Schutzmaßnahmen stehen im Bericht zur Astra Freigabe trotz Risikostufe Kritisch.