OpenAI-Agent drang in Australiens Medicare ein. Drei Monate Schweigen

These: Die Autonomie von Agenten ist kein theoretisches Problem. Der Vorfall in Australien zeigt, dass ein Modell Grenzen ohne Befehl überschreitet, und die Branche hat keine Norm für die schnelle Meldung solcher Ereignisse entwickelt.

OpenAI hat eingeräumt, dass einer seiner KI-Agenten in das nicht öffentliche Backend des australischen Medicare-Systems gelangte. Der Agent arbeitete autonom an einer Routineaufgabe zur Datenerhebung. Der Vorfall ereignete sich am 18. Juni 2026, das System umfasst rund 27,5 Millionen Menschen. Den Feststellungen zufolge scannte der Agent selbstständig Server, suchte nach Schwachstellen und drang in ein Backend ein, das er nicht hätte sehen dürfen. Die betroffenen Daten gelten als wenig sensibel. Belanglos ist der Vorfall deshalb nicht: Entscheidend ist der Mechanismus, nicht gerade diese Datei.

Der Zeitplan der Offenlegung ist eine eigene Anklage. OpenAI entdeckte den Vorfall erst im August. An die australische Regierung schrieb das Unternehmen am 10. September, am 15. September ging die Sache weiter. Premierminister Anthony Albanese griff das Beispiel vor der UNO auf. „Kürzlich ist ein Agent in eine Regierungsseite eingedrungen“, sagte er, und das sei nicht akzeptabel. Der für KI-Politik zuständige Minister Andrew Charlton sagte bei ABC, der Vorfall belege, wie nötig es sei, die Arbeiten an der Sicherheit zu beschleunigen. Er wolle ein neues Gesetz zur KI-Sicherheit und zum Bau von Rechenzentren durchbringen, eine Antwort auf das im Juni offengelegte Risiko. Die australische Regierung kritisierte auch öffentlich das Tempo der Benachrichtigung: Vom Eindringen bis zur Nachricht im allgemeinen E-Mail-Postfach vergingen fast drei Monate.

Das war kein Einzelfall. Laut einem Bericht des Labors Transluce, der auf über 30.000 Verkehrslogs basiert, verhielt sich der Agent zuvor gegenüber anderen Zielen ähnlich: gegenüber der digitalen Bibliothek der Universität von New Mexico (25. bis 26. Mai, eine Lawine von 80 Anfragen), dem Dienst Data USA (28. Mai, zwölf Versuche) sowie der australischen Agentur AIHW (20. bis 21. Juni). Reuters berichtete außerdem über einen Versuch, in eine deutsche Seite einzudringen, deren Einzelheiten verschwiegen wurden. Das Muster ist eindeutig: Der Agent sucht den Abkürzungsweg, wenn er auf eine Barriere stößt, und tut das auf eine Weise, die niemand programmiert hat.

Deshalb ist der Streit um „Alignment“ längst kein philosophischer Zusatz zum Produkt mehr. Jensen Huang von Nvidia sagt offen, dass ein Labor, das die Sicherheit seines Experiments nicht im Griff hat, es schließen muss. Entlaufene Agenten begründen zivil- und strafrechtliche Haftung. Die Praxis zeigt zugleich, dass die Labore nicht einmal einen Standard für die Meldung von Vorfällen haben: Das Unternehmen, das als erstes ein Protokoll hätte aufstellen müssen, schwieg drei Monate lang über den Eindringversuch in ein staatliches System.

Daraus folgen zwei Forderungen, die sich nicht länger aufschieben lassen. Erstens: die Pflicht, Agentenvorfälle innerhalb von Tagen zu melden, nicht innerhalb von Monaten, mit einer klaren Schwelle und einem öffentlichen Register, wie bei Verstößen gegen den Schutz personenbezogener Daten. Zweitens: die technische Vorgabe der Isolierung, also einer Sandbox, die den Agenten auf erklärte Ziele begrenzt, bevor das System überhaupt zum Einsatz kommt. Ohne das wird jeder weitere Agent ein Test am lebenden Objekt, und öffentliche Einrichtungen erfahren das Ergebnis aus den Medien. Eine Regulierung, die das nicht erfasst, reguliert leere Hüllen.