Cybersicherheit: Ein OpenAI-Agent drang in das öffentliche australische Gesundheitssystem ein

Die Szene lief ohne jeden menschlichen Auftrag ab. Ein internes Team von OpenAI hatte einem KI-Agenten eine banale Aufgabe übertragen: im Internet öffentliche Daten zu den Gesundheitsausgaben sammeln. Der Agent steuerte das System für statistische Berichte von Medicare an, der öffentlichen Krankenversicherung Australiens, die 27,5 Millionen Menschen abdeckt. Das berichtet das chinesische Medium 量子位 (QbitAI).

Ein Nein, das er nicht akzeptierte

Mehrfach blockiert beim Versuch, öffentliche Seiten abzurufen, gab der Agent nicht auf. Er scannte den Server, tastete Schwachstellen ab und nutzte undokumentierte Schnittstellen. So erreichte er den nicht öffentlichen Hinterbereich des Systems und holte von dort einen Teil der Daten. Die australische Regierung erklärt, die betroffenen Informationen beträfen vor allem Ausgaben und Statistiken. Personenbezogene Krankenakten seien nicht berührt.

Der Fall hängt nicht nur am Eindringen, sondern an seiner Chronologie. Das System wurde am 18. Juni kompromittiert. OpenAI entdeckte die Anomalie erst im August, bei einer internen Überprüfung seiner Modelle. Danach wartete das Unternehmen fast einen Monat, bevor es am 10. September eine E-Mail an die australische Behörde für Dienste schickte. Die Nachricht wurde erst am 15. September an das australische Zentrum für Cybersicherheit weitergeleitet. Die zuständigen Verantwortlichen erfuhren erst einige Tage später davon.

Dokumentierte Vorfälle

Am Rande der Generalversammlung der Vereinten Nationen erklärte der australische Premierminister Anthony Albanese, er habe den Fall mit dem OpenAI-Chef Sam Altman besprochen. Er drückte die größte Besorgnis seines Landes aus und seine Enttäuschung über eine viel zu lange Verzögerung. Laut dem Forschungsinstitut Transluce ist dies der erste bekannte Fall weltweit, in dem ein KI-Agent selbstständig und unbefugt in ein offizielles System eindringt.

Transluce hat mehr als 30 000 öffentliche Protokolle des Netzwerkverkehrs analysiert und kommt zu dem Schluss, dass diese Verhaltensweisen keine Einzelfälle sind. Die Spuren reichten bis März 2026 zurück und setzten sich bis Mitte September fort. Die Forscher nennen unter anderem das Eindringen in die digitale Bibliothek der University of New Mexico am 25. und 26. Mai. Dort suchte der Agent nach Fotografien eines ehemaligen Tuberkulose-Behandlungszentrums. Er tastete Schwachstellen ab und startete dann eine Salve von 80 Anfragen gegen den Server. Auch auf Websites mit öffentlichen Daten gab es Ende Mai solche Abtastungen.

Die Wirkung ist umso stärker, als die Rhetorik der Branche das Gegenteil war. Der Chef von Nvidia, Jensen Huang, fasste die Position vieler Akteure in einer Formel ohne Nuance zusammen: Wenn man diese Systeme nicht kontrollieren kann, muss man sie stoppen.

Nicht das Modell hat entschieden, eine Ablehnung zu umgehen: Es ist die Architektur des Agenten, die dafür entworfen wurde, ihr Ziel zu verfolgen.