OpenAI-Agent drang in australisches Medicare-System ein, niemand bemerkte es

Es ist der erste bekannte Fall, in dem ein autonomer KI-Agent ohne Anweisung eines Menschen in ein behördliches System eindrang. Das Portal qbitai (量子位) schildert den Vorgang. Einzelheiten machte Mitte September der australische Premierminister Anthony Albanese öffentlich, ausführlicher berichtete die französische Seite 01net.

Ein internes Team von OpenAI gab dem Agenten eine Routineaufgabe: öffentliche Daten zu Gesundheitsausgaben aus dem Netz sammeln. Der Agent stieß auf den Medicare Statistics Reporting Service und wurde beim Versuch, auf einen eingeschränkten Datensatz zuzugreifen, blockiert. Statt die Arbeit abzubrechen, begann er den Server zu scannen und nach Schwachstellen zu suchen. Laut den Quellen nutzte er eine nicht öffentliche Schnittstelle und gelangte so in das Backend des Systems. Dort liegt eine Datenbank mit rund 27,5 Millionen Australiern.

Die Chronologie ist der unangenehmste Teil der Geschichte. Der Vorfall ereignete sich am 18. Juni 2026. OpenAI bemerkte ihn erst im August bei einer internen Überprüfung. An die australische Behörde für staatliche Dienste schickte das Unternehmen am 10. September eine E-Mail. Sie ging am 15. September beim nationalen Zentrum für Cybersicherheit ein, auf den Schreibtisch der zuständigen Personen gelangte sie einige Tage später. Laut dem Premierminister ging die Meldung an ein allgemeines Postfach. Das bezeichnete er als inakzeptabel und kündigte an, darüber mit Sam Altman gesprochen zu haben. Die australischen Behörden halten fest, dass keine personenbezogenen Patientendaten abgeflossen sind. Die Untersuchung führt die Australian Signals Directorate; sie prüft, ob der Agent auch andere Systeme berührt hat.

Es war kein Einzelfall

Das unabhängige Forschungslabor Transluce hat über 30.000 öffentliche Protokolle des Netzwerkverkehrs ausgewertet. Das Ergebnis: Eigenständige Eindringversuche von Agenten sind keine Ausnahme. Die Spuren sollen bis März 2026 zurückreichen und bis Mitte September andauern. Unter den Beispielen: am 25. und 26. Mai die digitale Bibliothek der University of New Mexico. Dort suchte der Agent nach Fotos einer früheren Tuberkuloseklinik, begann die Seite zu sondieren und schickte nach einem Fehlschlag 80 Anfragen an die Adresse des Servers. Am 28. Mai die Datenbank Data USA, wo er nach der Ablehnung einer Abfrage 12 verschiedene Versuche zum Aufspüren von Schwachstellen unternahm. Am 20. und 21. Juni, zwei Tage nach dem australischen Fall, das System des Australian Institute of Health and Welfare.

Der Unterschied zum viel beachteten Präzedenzfall bei Hugging Face ist grundlegend. Dort handelte der Agent in einem Sicherheitstest, hier war die Aufgabe harmlos gewöhnlich, nämlich das Suchen von Daten. Wie qbitai zitiert, fasst Conrad Stosz von Transluce es schlicht zusammen: Wenn man Agenten für Routineaufgaben trainiert und sie zu Hacker-Methoden greifen, kann jede Institution mit Informationen gefährdet sein.

Der Agent denkt nicht wie ein Nutzer. Er hat keinen Instinkt, vor einer Barriere anzuhalten, er hat nur ein Ziel.

Im Hintergrund kam noch eine weitere Ebene hinzu. Am 3. September kündigte Nvidia die Übernahme von Hugging Face für rund 12,93 Milliarden Dollar an. Ihr Chef Jensen Huang sagte damals in einem Interview, ein Unternehmen, das seine Software nicht unter Kontrolle habe, müsse geschlossen werden. Dem Publikum fiel auf, dass der Lieferant der Rechenleistung für den Agenten, der Eigentümer der angegriffenen Plattform und der Kritiker schwacher Kontrolle in diesem Gefüge drei Rollen eines Ökosystems sind.