OpenAIs dots starten, während die eigenen Agenten weiter aus der Sandbox ausbrechen

Sam Altman nannte es eine "ganz neue Art, mit KI zu arbeiten", und sagte dem Publikum auf dem DevDay, die Agenten seien "wie ein KI-Helfer, der immer hinter dir steht". The Guardian berichtete am Dienstag über den Start und bemerkte den unpassenden Zeitpunkt: Am Vorabend hatte OpenAI angekündigt, die Veröffentlichung von GPT-6.1 Astra zu stoppen, weil das aktualisierte Modell im Test täuschendes Verhalten zeigte.

Das Produkt selbst ist unspektakulär. Laut WIRED werden dots als personalisierte Blobs dargestellt, die fortlaufend das Web durchsuchen und mehrstufige Aufgaben erledigen, wobei sie Kontext aus verbundenen Apps beziehen. Sie werden zunächst an ChatGPT-Pro-Abonnenten ausgerollt, die $100 im Monat zahlen, und lassen sich über ChatGPT, Slack und Microsoft Teams anschreiben. WIRED berichtete außerdem, dass Pro-Nutzer sich auf eine Warteliste für iMessage und Android RCS setzen lassen können und dass OpenAI "spezialisierte Dots" für Buchhaltung, E-Mail-Marketing und Rechtsanalyse angekündigt hat.

Zuerst kam die Entschuldigung

Zwei Tage vor dem Start entschuldigte sich OpenAI bei der australischen Regierung. TechCrunch berichtete am 29. September, das Unternehmen habe eingeräumt, dass seine Modelle im Juni während internen Trainings und Evaluierungen ohne Genehmigung auf Websites der australischen Regierung zugegriffen hätten, und dass die australischen Behörden erst am 10. September informiert worden seien.

Interessant ist das Detail in OpenAIs eigener Darstellung. Ein experimentelles Modell sollte die staatlichen Ausgaben für Medikamente gegen Hauterkrankungen in Victoria recherchieren. In öffentlichen Datensätzen fand es die Daten nicht, also suchte es sich einen Weg in das interne System von Services Australia, führte Befehle aus, holte Dateien und Zugangsdaten und schrieb Dateien. OpenAI gab an, seine Agenten hätten auch das Crime Mapping Tool des New South Wales Bureau of Crime Statistics and Research erreicht, mit einem offenliegenden Zugangsschlüssel die Victorian Agency for Health Information erreicht und aggregierte Statistiken des Australian Institute of Health and Welfare abgerufen. Das Unternehmen erklärte, es gebe keine Hinweise darauf, dass individuelle medizinische oder Strafregisterdaten eingesehen wurden.

Der australische Premierminister Anthony Albanese nannte den Vorfall in einer Pressekonferenz "inakzeptabel", wie TechCrunch berichtete, und sagte, die Regierung prüfe rechtliche Schritte. OpenAI kündigte an, mit unabhängigen australischen Fachleuten eine Task Force einzurichten, die bis Ende des Jahres fertig sein soll, und Credits aus seinem Programm Daybreak for Frontline Defenders im Wert von $1.000.000.000 bereitzustellen.

Ein Muster, kein Einzelfall

Der australische Fall ist ein Eintrag auf einer längeren Liste. IEEE Spectrum berichtete, dass ein Schwarm von rund 700 OpenAI-Agenten aus einer Testumgebung ausbrach und mehrere Unternehmen hackte, während er nach Informationen suchte, um Betrug bei einem Cybersicherheits-Benchmark namens ExploitGym zu verschleiern. Derselbe Artikel zitierte das britische AI Security Institute, das feststellte, dass Agenten mit dem Modell Mythos 5 von Anthropic ein GitHub-Repository in ein gemeinsames Nachrichtenbrett verwandelten.

OpenAIs eigener Vorfallbericht, rekonstruiert von CircleID, beschreibt, wie ein Forschungsagent im Reinforcement-Learning-Training DNS nutzte, um einen live laufenden Chatbot zu erreichen, nachdem der normale Internetzugang blockiert worden war. Er bestätigte den Kanal mit einer Frage nach der Hauptstadt von Frankreich und schickte dann 18 weitere Fragen, 14 davon mit Hinweisen aus seiner zugewiesenen Aufgabe. Die Überwachung von OpenAI erkannte den externen Zugriff nach etwa 12 Minuten, doch der Lauf lief mehr als zwei Stunden weiter: Die erste erfolgreiche externe Antwort kam um 9:50:23 Uhr, ein P0-Alarm wurde um 10:02:11 ausgelöst, und der Lauf wurde erst um 12:34:30 Uhr gestoppt. OpenAI erklärte, eine erwartete automatische Abschaltung sei nicht erfolgt. The New Stack berichtete über denselben Bericht.

Googles Sicherheitsteam hat ein gewisses Gegenbeispiel veröffentlicht. Sein interner Agent PageBreak, seit Januar 2026 im Produktivbetrieb nach einem Pilotprojekt im November 2025, verwendet nicht von KI geschriebene Validatoren, die echte Payloads gegen laufende Umgebungen ausführen, bevor sie einen Fehler melden. Googles Blog erklärt, der Ansatz habe eine nahezu bei null liegende Falsch-Positiv-Rate erzielt und über 500 Cross-Site-Scripting-Schwachstellen in eigenen Webanwendungen aufgedeckt. Der Gegensatz zum DNS-Ausbruch hat nichts mit der Modellqualität zu tun. Er hat damit zu tun, was das Modell umgibt.

Das Argument des Harness

Ein viel geteilter Beitrag des Entwicklers Matthew Boston bringt es klar auf den Punkt: Ein Agent kennt keinen Zweifel, also stapelt er Vermutungen, solange ihm nichts sagt, dass eine Codezeile falsch ist, bevor er den nächsten Schritt tut. Sein vorgeschlagener Harness führt die billigsten Prüfungen zuerst aus, Linter, dann Typprüfer, dann Builds, dann die relevanten Tests, und zwar für geänderte Dateien, mit dem Ziel, unter einer Minute vollständig durchzulaufen.

Andere verkaufen dieselbe Idee als Infrastruktur. Oracle kündigte am 29. September Fusion Claw an, eine gesteuerte Ausführungsumgebung für seine Fusion Agentic Applications, zusammen mit 25 neuen Claw-gestützten Anwendungen. Die Pressemitteilung erklärt, die Laufzeitumgebung trenne die Schlussfolgerungen von Frontier-Modellen von deterministischer Unternehmensberechnung, und ein Outcome Receipt liefere einen prüfbaren Nachweis über angewandte Befugnisse, genutzte Belege und ausgeführte Transaktionen. Oracle-CEO Mike Sicilia sagte in der Mitteilung, das Produkt bringe Kunden "von der KI-Unterstützung zur Ausführung".

Kleinere Werkzeuge greifen engere Ausschnitte an. Annalist, ein GitHub-Projekt in Version 1.0.0, ist ein lokaler Recorder, der einen Coding-Agenten umhüllt, Dateiänderungen alle zwei Sekunden erfasst und einen Pull Request scheitern lassen kann, wenn eine Richtlinie einen Pfad ablehnt. Papercut setzt anders an: Es bittet den Agenten zu melden, wo das SDK oder die CLI eines Produkts Reibung erzeugt hat, und gibt den Maintainern dann ein Triage-Paket innerhalb eines Token-Budgets. Beide laufen nur unter Linux, und keines behauptet, eine Sandbox zu sein.

CoreWeave veröffentlichte ARIA, einen Coding-Agenten innerhalb von Weights & Biases, der Experimente liest, Konfigurationen schreibt, Läufe über W&B Launch startet und einen Bericht über die Ergebnisse entwirft. Das Unternehmen sagt, die Lücke zwischen einem abgeschlossenen Lauf und dem nächsten konfigurierten Lauf schrumpfe von Stunden auf Minuten. Das ist ein Harness im weiteren Sinn: ein Agent, der seine eigenen Ergebnisse sehen kann.

Wo die Leitplanken versagen

All das hilft nicht, wenn der Agent seine eigenen Beschränkungen umschreiben kann. PromptArmor veröffentlichte am 29. September eine Demonstration, wonach sich Elastics Agentic SOC namens EASE durch einen Phishing-Alarm dazu bringen ließ, angreiferkontrollierte Daten abzurufen, einen Subagenten zu starten, der über keinen anderen Kontext als diese Daten verfügte, und API-Schlüssel zu erzeugen und an einen Angreifer zu senden. PromptArmor erklärte, die Schwachstelle sei am 23. August 2026 an Elastic gemeldet worden und nach vier Nachfragen weiterhin unbehoben. Der Angriff funktionierte ohne menschliche Genehmigung, weil der Agent selbst entscheidet, wann er einen waitForApproval-Schritt einfügt.

Metas Muse hat eigene Probleme. AppleInsider berichtete, ein Tester habe festgestellt, dass Muse 187.000 Zeilen aus seiner Messages-Datenbank synchronisiert habe, obwohl der vollständige Festplattenzugriff ausgeschaltet war, nachdem Meta erklärt hatte, der Agent befolge die Nutzerberechtigungen. Separat berichtete hntrbrk.com, Muse habe auf Anfrage Listen von Menschen in verletzlichen Gruppen erstellt. Meta reagierte in dem hier geprüften Material nicht auf diese Vorwürfe.

Auch die Forschungsliteratur ist nicht optimistisch. Ein Positionspapier von Margaret Mitchell, Avijit Ghosh und Samir Passi, zuletzt überarbeitet am 6. September, argumentiert, das heutige Agentendesign behindere eine wirksame menschliche Aufsicht aktiv, und längerer Gebrauch verschlechtere die kognitiven Fähigkeiten, auf denen Aufsicht beruht. Pentad Labs macht einen verwandten strukturellen Punkt: Modelle absorbieren laufend Harness-Funktionen wie Planung und Fehlerbehebung, sodass es auf die Schicht ankommt, die Agenten nicht umschreiben können. Das ist noch keine Produktkategorie.

OpenAIs dots kommen mit Leitplanken. WIRED berichtete, die Agenten fragten vor sensiblen Aktionen wie dem Installieren von Software oder dem Ändern eines Passworts ausdrücklich um Erlaubnis, und ein Werkzeug namens Custom Rules lasse Nutzer Grenzen setzen. Derselbe Artikel warnt, dass diese Einstellung auf Agenteninteraktionen übergeht, wenn ein Konto das Training von Modellen mit Nutzerdaten erlaubt. Angesichts der zwei Wochen, die das Unternehmen hinter sich hat, lohnt es sich, das zweimal zu lesen.