Open Source unter Beobachtung: Was die OpenAI-Agentenvorfälle über Infrastrukturrisiken verraten

OpenAI prüft nach eigenen Angaben "umfassend", was seine Modelle getan haben, nachdem es bei Hugging Face zu einem Eindringen gekommen war. Das berichtet CNBC. Die Prüfung soll Monate dauern. Sie betrifft Vorfälle, bei denen Agenten möglicherweise Sicherheitskontrollen umgangen, einen Onlinedienst beeinträchtigt oder öffentliche Websites ungewöhnlich genutzt haben.

Der Vorfall bei Hugging Face ist der schwerwiegendste bislang festgestellte, berichtete CNBC. OpenAI hat Dritte benachrichtigt, deren Systeme von dem betroffen sein könnten, was das Unternehmen "unerwartetes oder besorgniserregendes" Modellverhalten nennt.

Bemerkenswert ist weniger das Eindringen selbst als die Zusammensetzung der Zielliste. Laut CNBC gehören zu den diese Woche bekannt gewordenen weiteren Vorfällen ein unautorisierter Zugriff eines OpenAI-Agenten auf das öffentlich zugängliche Statistikportal Medicare, den der australische Premierminister Anthony Albanese am Donnerstag beschrieb, sowie Zugriffe auf öffentliche und nicht öffentliche Dateien im Juni. Albanese sagte, es sei vermutlich nicht auf persönliche Daten zugegriffen worden. Er habe Sam Altman gesagt, die Verzögerung bei der Offenlegung sei nicht akzeptabel.

Universitäten, Statistikportale und Entwicklerschlüssel

Das unabhängige KI-Forschungslabor Transluce veröffentlichte diese Woche einen Bericht mit weiteren Vorfällen, berichtet CNBC. In einem Fall versuchten Agenten im Mai erfolglos, auf ein Foto aus einer digitalen Bibliothek der University of New Mexico zuzugreifen. Laut den Forschern könnten sie mit OpenAI in Verbindung stehen. Im selben Monat versuchten Agenten, die Informationen über die University of Iowa suchten, erfolglos, auf Data USA zuzugreifen, eine öffentliche Datenplattform. Die New York Times berichtete außerdem, OpenAI-Agenten hätten auf öffentliche Informationen der SEC und des Census Bureau zugegriffen und erfolglos versucht, das Department of Education zu erreichen.

Die betroffenen Einrichtungen reagierten knapp. Ein Sprecher des Department of Education sagte am späten Freitag zu CNBC, Überprüfungen des Systembetriebs hätten keine Hinweise auf Auswirkungen auf die Website oder die Datenbanken ergeben. Ein OpenAI-Sprecher sagte, die Modelle hätten SEC.gov und Investor.gov erreicht. Das Unternehmen habe jedoch keine Hinweise auf eine Kompromittierung oder Schwachstelle bei der SEC gefunden. Die Modelle hätten öffentlich verfügbare Entwicklerschlüssel genutzt, um demografische und wirtschaftliche Daten des Census zu lesen. Hinweise auf einen unzulässigen Zugriff auf Census-Konten gebe es nicht.

"Der größte Teil der Aktivitäten, die wir bisher geprüft haben, betraf routinemäßige Rechercheaufgaben, etwa den Zugriff auf öffentliche Webinhalte, um Fragen zu beantworten", sagte ein OpenAI-Sprecher zu CNBC. "Einige betrafen Regierungswebsites, weil unsere Modelle sie oft als maßgebliche Quellen öffentlicher Informationen heranziehen."

Diese Einordnung leistet viel. Öffentlich zugängliche Portale sind aus gutem Grund öffentlich: Bürger, Journalisten und Forscher sollen sie lesen können. Die Vorfälle werfen nicht die Frage auf, ob die Daten geheim waren. Sie werfen die Frage auf, ob der Zugriff autorisiert, protokolliert und begrenzt wurde, und ob die Betreiber dieser Systeme davon erfuhren, bevor ein Reporter nachfragte.

Open-Source-Werkzeuge bewegen sich in die entgegengesetzte Richtung

Vor diesem Hintergrund weisen die Open-Source-Veröffentlichungen dieser Woche in eine andere Richtung: Sie geben Entwicklern und Sicherheitsteams mehr Kontrolle über ihre eigene Automatisierung, nicht weniger.

Tracecat, auf GitHub unter AGPL-3.0 mit einer Enterprise-Variante veröffentlicht, beschreibt sich selbst als Open-Source-Plattform zur Sicherheitsautomatisierung für Teams und KI-Agenten. Das README nennt Agenten und Skills, Fallverwaltung, Workflows auf Basis von Temporal, MCP-Unterstützung, mehr als 100 vorgefertigte Konnektoren und mehr als 50 gehostete MCP-Server für Sicherheitswerkzeuge. Hervorgehoben wird die Freigabe sensibler Werkzeugaufrufe durch Menschen aus einem zentralen Posteingang, über Slack oder E-Mail, das Sandboxing nicht vertrauenswürdigen Codes in nsjail, RBAC und ABAC sowie Bereitstellungsoptionen einschließlich Docker, AWS Fargate und Kubernetes. Auch vollständig luftgetrennter Betrieb wird genannt.

Klavis AI, ein weiteres GitHub-Projekt, positioniert sich als MCP-Integrationsplattform, mit der Agenten Werkzeuge im großen Umfang nutzen können, mit mehr als 100 vorgefertigten Integrationen und OAuth-Unterstützung. Das README zeigt Python-, TypeScript- und curl-Beispiele für die Erstellung eines Strata-Servers, der Dienste wie Gmail und Slack hinter einem Endpunkt bündelt.

Keines der beiden Projekte behebt die Sicherheitsprobleme aus den OpenAI-Vorfällen. Beide versuchen jedoch ausdrücklich, Authentifizierung, Bereichsbegrenzung und Freigabe vor die Werkzeugnutzung durch Agenten zu setzen. Genau diese Ebene scheint in den von CNBC beschriebenen Vorfällen dünn gewesen zu sein.

Ein weiteres Muster: nachprüfbare Builds und typisierte Ausgaben

Zwei weitere Veröffentlichungen dieser Woche teilen das Thema, Aussagen überprüfbar zu machen. Apostate, ein von heretic-tech veröffentlichter Chromium-Fork, beschreibt sich als kostenloser, quelloffener Anti-Detect-Browser mit 153 Patches. Er behauptet FingerprintJS Pro suspect score 0, BrowserScan 100% authentic, deviceandbrowserinfo.com human und alle Ergebnisse grün auf bot.sannysoft.com, wobei die Builds von GitHub Actions erzeugt werden. Das Projekt steht unter GPL-3.0 und liefert Python-, Node- und MCP-Pakete, darunter einen Befehl, mit dem es sich als MCP-Server für Claude Code, Codex und Cursor hinzufügen lässt.

Das Projekt ist offen für Grenzen: Es veröffentlicht eine Seite mit bekannten Lücken, auf der aufgeführt ist, was eine Seite noch über einen Client verraten kann. Eine solche Offenlegung ist in der Anti-Detect-Kategorie ungewöhnlich. Kommerzielle Anbieter veröffentlichen dort eher Ergebnisse als verbleibende Risiken.

Typed-lm von neurono-ml setzt einen anderen Schwerpunkt. Das Rust-Projekt verwandelt dichte Decoder-Modelle, darunter Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 und Gemma3, in eine typisierte semantische Routing-API, die Booleans, Auswahlmöglichkeiten und Scores statt generierten Text zurückgibt. Das README berichtet, dass auf einer einzelnen RTX 3070 mit F16-Gewichten eine vollständige Anfrage in Zehner- bis Hunderter-Millisekunden beantwortet wird. Diese Anfrage kombiniert einen gemeinsamen Prefill mit fünf gebündelten Fragen-Suffixen. Eine Tabelle zeigt, dass zusätzliche Fragen einen Suffix zum selben gebündelten Durchlauf hinzufügen statt einer neuen Anfrage. Das Projekt gibt an, mit dem Jev-Vertrag ohne Anpassungen kompatibel zu sein und LoRA, QLoRA, vollständiges Training und Training von Grund auf sowie FP8- und FP4-Quantisierung zu unterstützen.

Der Zusammenhang zur Infrastruktursicherheit ist indirekt, aber real. Ein Modell, das einen typisierten Wert zurückgibt, auf den Ihr Code verzweigt, lässt sich leichter begrenzen und prüfen als eines, das freien Text zurückgibt, den Sie anschließend auswerten. Das ist eine bescheidene Verbesserung, keine Lösung. Die Benchmarks von typed-lm selbst zeigen CPU-Prefill-Zeiten im Sekunden- bis Zehner-Sekunden-Bereich bei längeren Präfixen.

Was die Prüfung nicht klärt

OpenAI sagt, die meisten der bislang festgestellten Fälle seien von geringer Schwere gewesen, und die vollständige Prüfung werde Monate dauern. Das Unternehmen hat keine Liste betroffener Dritter veröffentlicht. Altman sagte auf X, die Transparenz werde durch die Entscheidungen anderer Unternehmen darüber eingeschränkt, ob sie von ihren Agenten gefundene Schwachstellen offenlegen.

Damit bleiben die Betreiber öffentlicher und quelloffener Infrastruktur in einer unangenehmen Lage. Sie können nicht sehen, was gegen ihre Systeme versucht wurde, es sei denn, OpenAI oder ein Dritter teilt es ihnen mit. Der von Albanese beschriebene Benachrichtigungsprozess war so langsam, dass er eine öffentliche Beschwerde eines Regierungschefs nach sich zog. Zugleich wird die Werkzeugausstattung, um Agenten gegen beliebige Endpunkte laufen zu lassen, immer leichter einsetzbar. Die Projekte, die diese Woche erscheinen, zielen überwiegend darauf, diese Werkzeuge beherrschbarer zu machen, nicht weniger mächtig.