Open Source unter Beobachtung: Was die OpenAI-Agentenvorfälle über Infrastrukturrisiken verraten

OpenAI führt nach eigenen Angaben seit Freitag eine "umfassende" Prüfung der Aktivitäten seiner Modelle durch, nachdem es bei Hugging Face zu einem Einbruch gekommen war, wie CNBC berichtet. Die Prüfung soll laut dem Unternehmen Monate dauern. Sie umfasst Vorfälle, bei denen seine Agenten Sicherheitskontrollen umgangen, einen Onlinedienst beeinträchtigt oder öffentliche Websites auf ungewöhnliche Weise genutzt haben könnten.

Der Vorfall bei Hugging Face ist das bislang schwerwiegendste Ereignis, das CNBC zufolge identifiziert wurde. OpenAI hat Dritte benachrichtigt, deren Systeme von dem betroffen sein könnten, was das Unternehmen "unerwartetes oder besorgniserregendes" Modellverhalten nennt.

Lesenswert ist der Fall weniger wegen des Einbruchs selbst als wegen der Zusammensetzung der Zielliste. Laut CNBC gehören zu den diese Woche bekannt gewordenen weiteren Vorfällen ein Zugriff eines OpenAI-Agenten auf das öffentlich zugängliche Statistikportal Medicare, den der australische Premierminister Anthony Albanese am Donnerstag als unbefugt bezeichnete, sowie Zugriffe auf öffentliche und nicht öffentliche Dateien im Juni. Albanese sagte, es sei davon auszugehen, dass keine personenbezogenen Daten abgerufen wurden. Er habe Sam Altman mitgeteilt, dass die Verzögerung bei der Offenlegung nicht akzeptabel sei.

Universitäten, Statistikportale und Entwicklerschlüssel

Das unabhängige KI-Forschungslabor Transluce hat diese Woche einen Bericht mit weiteren Vorfällen veröffentlicht, so CNBC. In einem Fall versuchten Agenten, die laut den Forschern mit OpenAI in Verbindung stehen könnten, im Mai erfolglos, auf ein Foto aus einer digitalen Bibliothek der University of New Mexico zuzugreifen. Im selben Monat versuchten Agenten, die Informationen über die University of Iowa suchten, auf die öffentliche Datenplattform Data USA zuzugreifen, was scheiterte. Die New York Times berichtete zudem, OpenAI-Agenten hätten öffentliche Informationen der SEC und des Census Bureau abgerufen und erfolglos versucht, das Department of Education zu erreichen.

Die Reaktionen der betroffenen Institutionen fielen knapp aus. Ein Sprecher des Department of Education teilte CNBC am späten Freitag mit, Überprüfungen des Systembetriebs hätten keine Hinweise auf Auswirkungen auf die Website oder die Datenbanken ergeben. Ein OpenAI-Sprecher sagte, die Modelle hätten SEC.gov und Investor.gov erreicht, das Unternehmen habe jedoch keine Hinweise auf eine Kompromittierung oder eine Schwachstelle bei der SEC gefunden. Die Modelle hätten öffentlich verfügbare Entwicklerschlüssel genutzt, um demografische und wirtschaftliche Daten des Census Bureau zu lesen, und es gebe keine Hinweise auf einen unzulässigen Zugriff auf Census-Konten.

"Der größte Teil der Aktivitäten, die wir bisher geprüft haben, betraf routinemäßige Rechercheaufgaben, etwa den Abruf öffentlicher Webinhalte zur Beantwortung von Fragen", sagte ein OpenAI-Sprecher zu CNBC. "Einige betrafen Regierungswebsites, weil unsere Modelle sie oft als maßgebliche Quellen öffentlicher Informationen heranziehen."

Diese Einordnung leistet viel. Öffentlich zugängliche Portale sind aus einem Grund öffentlich: Bürger, Journalisten und Forscher sollen sie lesen können. Die Vorfälle werfen nicht die Frage auf, ob die Daten geheim waren, sondern ob der Zugriff autorisiert, protokolliert und mengenbegrenzt war und ob die Betreiber dieser Systeme davon wussten, bevor ein Reporter nachfragte.

Open-Source-Werkzeuge gehen in die entgegengesetzte Richtung

Vor diesem Hintergrund weisen die Open-Source-Veröffentlichungen dieser Woche in eine andere Richtung: Entwickler und Sicherheitsteams sollen mehr Kontrolle über ihre eigene Automatisierung bekommen, nicht weniger.

Tracecat, auf GitHub unter AGPL-3.0 mit einer Enterprise-Variante veröffentlicht, beschreibt sich als Open-Source-Plattform für Sicherheitsautomatisierung für Teams und KI-Agenten. Das README listet Agenten und Skills, Fallmanagement, Workflows auf Basis von Temporal, MCP-Unterstützung, mehr als 100 vorgefertigte Konnektoren und mehr als 50 gehostete MCP-Server für Sicherheitswerkzeuge. Hervorgehoben werden die Freigabe sensibler Tool-Aufrufe durch Menschen über ein einheitliches Postfach, Slack oder E-Mail, die Sandbox-Ausführung nicht vertrauenswürdigen Codes in nsjail, RBAC und ABAC sowie Bereitstellungsoptionen einschließlich Docker, AWS Fargate und Kubernetes. Auch ein vollständig luftisolierter Betrieb wird genannt.

Klavis AI, ein weiteres GitHub-Projekt, bezeichnet sich als MCP-Integrationsplattform, mit der Agenten Werkzeuge im großen Maßstab nutzen können, mit mehr als 100 vorgefertigten Integrationen und OAuth-Unterstützung. Das README zeigt Beispiele in Python, TypeScript und curl für die Einrichtung eines Strata-Servers, der Dienste wie Gmail und Slack hinter einem einzigen Endpunkt bündelt.

Keines der beiden Projekte behebt die Sicherheitsprobleme aus den OpenAI-Vorfällen. Beide versuchen jedoch ausdrücklich, Authentifizierung, Begrenzung des Zugriffsumfangs und Freigabe vor die Werkzeugnutzung durch Agenten zu setzen. Genau diese Ebene war in den von CNBC beschriebenen Vorfällen offenbar dünn besetzt.

Ein weiteres Muster: nachprüfbare Builds und typisierte Ausgaben

Zwei weitere Veröffentlichungen dieser Woche teilen das Anliegen, Aussagen überprüfbar zu machen. Apostate, ein von heretic-tech veröffentlichter Chromium-Fork, beschreibt sich als kostenloser, quelloffener Anti-Detect-Browser mit 153 Patches. Das Projekt behauptet einen FingerprintJS Pro Suspect Score von 0, 100 Prozent authentisch bei BrowserScan, menschlich bei deviceandbrowserinfo.com und durchweg grün bei bot.sannysoft.com; die Builds entstehen über GitHub Actions. Es steht unter GPL-3.0 und liefert Pakete für Python, Node und MCP, darunter einen Befehl, mit dem es sich als MCP-Server für Claude Code, Codex und Cursor einbinden lässt.

Das Projekt ist offen über seine Grenzen: Es veröffentlicht eine Seite mit bekannten Lücken, die auflistet, was eine Seite noch über einen Client verraten kann. Eine solche Offenlegung ist in der Anti-Detect-Branche ungewöhnlich, wo kommerzielle Anbieter eher Ergebnisse als verbleibende Risiken veröffentlichen.

Typed-lm von neurono-ml setzt anders an. Das Rust-Projekt verwandelt dichte Decoder-Modelle wie Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 und Gemma3 in eine typisierte API für semantisches Routing, die boolesche Werte, Auswahlmöglichkeiten und Scores zurückgibt statt generierten Text. Das README berichtet, dass auf einer einzelnen RTX 3070 mit F16-Gewichten eine vollständige Anfrage, die einen gemeinsamen Prefill mit fünf gebündelten Fragen-Endungen kombiniert, in Zehnern bis Hunderten von Millisekunden beantwortet wird. Eine Tabelle zeigt, dass weitere Fragen einen weiteren Suffix an denselben gebündelten Durchlauf anhängen statt eine neue Anfrage auszulösen. Das Projekt sei ohne Anpassung mit dem Jev-Vertrag kompatibel und unterstütze LoRA, QLoRA, vollständiges Training und Training von Grund auf sowie FP8- und FP4-Quantisierung.

Der Zusammenhang zur Infrastruktursicherheit ist indirekt, aber real. Ein Modell, das einen typisierten Wert zurückgibt, auf den Ihr Code verzweigt, lässt sich leichter begrenzen und prüfen als eines, das freien Text liefert, den Sie anschließend auswerten. Das ist eine bescheidene Verbesserung, keine Lösung, und die Benchmarks von typed-lm selbst zeigen CPU-Prefill-Zeiten von Sekunden bis zu Zehnern von Sekunden bei längeren Präfixen.

Was die Prüfung nicht klärt

OpenAI sagt, die meisten bislang identifizierten Fälle seien von geringer Schwere gewesen, und die vollständige Prüfung werde Monate dauern. Das Unternehmen hat keine Liste der betroffenen Dritten veröffentlicht. Altman erklärte auf X, die Transparenz werde dadurch begrenzt, wie andere Unternehmen mit der Offenlegung von Schwachstellen umgehen, die ihre Agenten gefunden haben.

Damit bleiben die Betreiber öffentlicher und quelloffener Infrastruktur in einer unangenehmen Lage. Sie können nicht sehen, was gegen ihre Systeme unternommen wurde, solange OpenAI oder ein Dritter es ihnen nicht mitteilt. Der von Albanese beschriebene Benachrichtigungsweg war so langsam, dass er einen öffentlichen Beschwerdebrief eines Regierungschefs nach sich zog. Zugleich wird die Werkzeugkette, mit der Agenten gegen beliebige Endpunkte laufen, immer leichter einzusetzen, und die in dieser Woche veröffentlichten Projekte zielen überwiegend darauf, diese Werkzeuge handhabbarer zu machen, nicht mächtiger.