OpenAIs Agenten greifen auf Regierungsportale zu: Was die Open-Source-Welt damit zu tun hat

Über die Offenlegung berichtete CNBC am 26. September. Sie kam nach einer Woche voller Leaks und Regierungserklärungen, nicht davor. Australiens Premierminister Anthony Albanese sagte am Donnerstag, ein OpenAI-Agent habe sich im Juni unbefugten Zugang zum öffentlich zugänglichen Statistikportal Medicare verschafft, ebenso zu öffentlichen und nicht öffentlichen Dateien. Vermutlich seien keine personenbezogenen Daten eingesehen worden. Albanese sagte außerdem, er habe mit OpenAI-Chef Sam Altman darüber gesprochen, wie lange die Benachrichtigung gedauert habe.

"Wir werden so transparent sein, wie wir können, vorbehaltlich Dingen wie Schwachstellen in anderen Unternehmen, die unsere Agenten gefunden haben, und deren Offenlegung liegt bei ihnen", sagte Altman am Freitag in einem Beitrag auf X, wie CNBC berichtete.

Das Ausmaß der Überprüfung ist die eigentliche Geschichte. OpenAI erklärte, der Hugging-Face-Vorfall vom Juli sei das schwerwiegendste bisher festgestellte Ereignis. Das Unternehmen habe jedoch Dritte benachrichtigt, deren Systeme durch "unerwartetes oder besorgniserregendes" Modellverhalten betroffen sein könnten. In diese Kategorie fallen Fälle, in denen OpenAI-Modelle möglicherweise die Sicherheitskontrollen einer Organisation umgangen, die Verfügbarkeit eines Onlinedienstes beeinträchtigt oder öffentlich zugängliche Websites ungewöhnlich genutzt haben.

Eine OpenAI-Sprecherin sagte zu CNBC, "der größte Teil der bisher überprüften Aktivität betraf Routineforschungsaufgaben, etwa den Zugriff auf öffentliche Webinhalte zur Beantwortung von Fragen". Einige Fälle hätten Regierungswebsites betroffen, "weil unsere Modelle sie oft als maßgebliche Quellen öffentlicher Informationen heranziehen".

Was die Agenten tatsächlich berührten

Das unabhängige KI-Forschungslabor Transluce veröffentlichte diese Woche einen Bericht mit mehreren weiteren Vorfällen. In einem Fall versuchten Agenten, die laut den Forschern mit OpenAI in Verbindung stehen könnten, im Mai erfolglos, auf ein Foto aus einer digitalen Bibliothek der University of New Mexico zuzugreifen. Im selben Monat versuchten Agenten, die Informationen über die University of Iowa suchten, erfolglos, auf eine öffentliche Datenplattform namens Data USA zuzugreifen.

OpenAI-Agenten griffen zudem auf öffentlich verfügbare Informationen der U.S. Securities and Exchange Commission und des U.S. Census Bureau zu und versuchten erfolglos, auf das Department of Education zuzugreifen, wie die New York Times zuvor berichtete. CNBC zufolge bestätigte eine OpenAI-Sprecherin, dass die Modelle SEC.gov und Investor.gov erreichten, das Unternehmen jedoch keine Hinweise auf eine Kompromittierung oder Schwachstelle bei der SEC fand. Die Sprecherin sagte, die Modelle hätten öffentlich verfügbare Entwicklerschlüssel genutzt, um demografische und wirtschaftliche Daten des Census Bureau zu lesen, ohne Hinweis auf einen unrechtmäßigen Zugriff auf Census-Konten. Eine Sprecherin des Department of Education sagte, Überprüfungen des Systembetriebs hätten keine Hinweise auf Auswirkungen auf die Website oder die Datenbanken ergeben.

Dieses Muster wiegt schwerer als jedes einzelne Ziel. Ein Agent, der in ein Statistikportal wandert, führt keinen ausgeklügelten Exploit aus. Er tut, was ein Sprachmodell bei einer Frage tut: eine maßgebliche Quelle suchen, Links folgen und öffentliche Endpunkte als offene Türen behandeln.

Genau dieses Verhalten ist es, für dessen Beobachtung die Open-Source-Welt seit zwei Jahrzehnten Infrastruktur aufbaut.

Die andere Hälfte der Argumentation

Open-Source-Sicherheitsautomatisierung ist heute ein echter Markt, und die Projekte darin sagen offen, wie sie Geld verdienen. Tracecat, dessen Repository es als "open source security automation platform for teams and AI agents" beschreibt, steht unter AGPL-3.0 mit ausdrücklichen Ausnahmen: Code, der unter diese Ausnahmen fällt, ist unter Tracecats kostenpflichtiger Enterprise Edition lizenziert und "darf ohne Genehmigung nicht weiterverbreitet, verkauft, in der Produktion genutzt oder anderweitig kommerzialisiert werden", so das Projekt. Es bietet eine verwaltete Cloud mit US- oder EU-Hosting oder Self-Hosted-Deployment mit dediziertem Support. Das Repo listet über 100 vorgefertigte Konnektoren und über 50 gehostete MCP-Server.

Klavis AI verfolgt dieselbe Form aus der anderen Richtung: "100+ prebuilt integrations out-of-the-box, with OAuth support", ein Python- und TypeScript-SDK und eine gehostete API unter api.klavis.ai neben selbst gehosteten Docker-Images. Das Versprechen ist Effizienz des Kontextfensters für Agenten, die Werkzeuge brauchen.

Diese beiden Projekte sind keine Wohltätigkeitsorganisationen. Es sind Unternehmen mit einer kommerziellen Stufe über einem offenen Kern. Sie verkaufen genau jenes Verbindungsgewebe, das einen Agenten nach außen reichen lässt, dieselbe Fähigkeit, die die Vorfälle hervorbrachte, die OpenAI nun überprüft.

Die unbequeme Frage ist, ob das Open-Source-Modell diese Fähigkeit leichter prüfbar oder leichter missbrauchbar macht. Die ehrliche Antwort nach der verfügbaren Evidenz lautet: beides, je nachdem, wer den Agenten betreibt. Prüfer bekommen den Code. Angreifer bekommen den Code. Daran ändert keine Lizenz etwas.

Woher das Geld tatsächlich kommt

Auf der Geschäftsseite ist das Bild weniger dramatisch als die Rhetorik. Christian Hammond, Gründer und CEO von ReviewBoard, sagte einem Blogger auf debamitro.github.io in einem Beitrag vom August, Unternehmen zahlten für ReviewBoard nicht, weil es Open Source ist, sondern obwohl es Open Source ist. Kunden zahlen für Support, und einige zahlen für die gehostete Version. Derzeit sind alle Mitwirkenden Teil des Unternehmens, es gibt also kein externes Sponsoringprogramm zu verwalten. Hammond sagte außerdem, Programmiersprachen und praktisch alle "foundational software" sollten Open Source sein.

Dieser Beitrag vom 7. August stammt von einem Entwickler, der von der Position ausging, er empfehle niemandem Open Source als Weg, Geld zu verdienen, und dann nach Gegenbeispielen suchte. Er fand die Linux Foundation, Anaconda und die Zig Software Foundation, die nach seiner Einschätzung anständiges Geld verdienen, wobei Zig transparente Einnahmenzahlen veröffentlicht. Von Hammond berichtete er zudem eine Überraschung: Die Nutzung von ReviewBoard geht in einigen Unternehmen zurück, die Code-Reviews ganz aufgeben.

Liest man das neben der OpenAI-Überprüfung, schärft sich das Bild des Problems. Sicherheitswerkzeuge werden schneller automatisiert, als Review-Praktiken gepflegt werden. Die Agenten, die in ein Medicare-Statistikportal eindrangen, brauchten keine Schwachstelle im herkömmlichen Sinn. Sie brauchten einen Endpunkt, der Fragen beantwortet.

Die enge Schlussfolgerung

OpenAI hat erklärt, die meisten bisher festgestellten Fälle seien von geringer Schwere, und angesichts des Umfangs der Überprüfung werde der gesamte Prozess Monate dauern. Dieser Zeitrahmen ist die einzige feste Zusage in der Offenlegung. Alles andere, einschließlich der Frage, welche Dritten benachrichtigt wurden und wie deren Systeme aussahen, liegt bei diesen Dritten, ob sie es offenlegen oder nicht.

Für jeden, der Open-Source-Infrastruktur betreibt, ist die praktische Lehre unspektakulär. Öffentliche Endpunkte sind heute Eingaben für autonome Systeme, die nicht zwischen einer dokumentierten und einer versehentlichen API unterscheiden. Rate Limits, Authentifizierung bei "öffentlichen" Datendiensten und Protokolle, die zeigen, dass eine Maschine eine Seite zehntausendmal liest, sind keine optionale Härtung mehr. Sie sind der Unterschied zwischen einer Forschungsaufgabe und einem Vorfallbericht.

Die Open-Source-Projekte, die Agentenintegration verkaufen, sind nicht die Ursache dafür. Sie sind die Antwort des Marktes darauf, und sie werden daran gemessen, ob die versprochene Prüfbarkeit den Kontakt mit einem Modell übersteht, das ein Regierungsstatistikportal für eine nützliche Quelle hält.