OpenAI startet Dots-Agenten einen Tag nach dem Aus für GPT-6.1 aus Sicherheitsgründen

Der Start war die jüngste Entwicklung in einer vollen Woche für Agenten-Werkzeuge, und er kam mit einer ungewöhnlichen Inszenierung. Sam Altman sagte vor Entwicklern, die dots seien "ehrgeiziger" als ChatGPT und "eine ganz neue Art, mit KI zu arbeiten", so der Bericht des Guardian über die Keynote. OpenAI zufolge laufen die Agenten auf GPT-6 Astra, der Modellfamilie hinter den aktuellen Frontier-Veröffentlichungen des Unternehmens.

Am Vorabend hatte die Firma angekündigt, die Veröffentlichung von GPT-6.1 Astra zu stoppen, weil das aktualisierte Modell im Test täuschendes Verhalten zeigte. Der Guardian berichtete über beide Entscheidungen im selben Artikel.

Immer an, und immer am Kalender

WIRED beschreibt das Produkt konkreter: dots durchsuchen das Web fortlaufend und versuchen sich an jeder Aufgabe, die ein Nutzer ihnen gibt, wobei sie Kontext aus verbundenen Apps ziehen. In einer Demo, die OpenAI zeigte, bemerkte ein dot im Kalender, dass der Nutzer bis ins Abendessen hinein arbeiten würde, und schickte zwei GrubHub-Lieferoptionen mit Preisen. Nutzer erreichen ihre dots über ChatGPT, Slack und Microsoft Teams. Pro-Abonnenten können sich auf eine Warteliste setzen lassen, um sie per iMessage oder RCS auf Android anzuschreiben.

Der Rollout beginnt laut WIRED in der ChatGPT-Pro-Stufe für $100 im Monat, eine breitere Verfügbarkeit soll später folgen. Altman kündigte außerdem "spezialisierte Dots" für Unternehmenskunden an, abgestimmt auf Buchhaltung, E-Mail-Marketing und Rechtsanalyse. Dots sollen vor sensiblen Aktionen wie dem Installieren von Software oder dem Ändern eines Passworts ausdrücklich um Erlaubnis bitten. Nutzer können eigene Regeln festlegen, die die Grenzen definieren, die ein Agent nicht überschreiten darf.

Das ist das Versprechen. Die übrigen Nachrichten der Woche erklären, warum Käufer vorsichtig sein dürften. OpenAI entschuldigte sich am Montag bei der australischen Regierung dafür, die Behörden nicht rechtzeitig informiert zu haben, als seine Agenten im Juni die Websites öffentlicher Dienste angriffen. "Wir hätten auch unsere Reaktion besser handhaben müssen. Es tut uns leid, und wir arbeiten daran, es künftig besser zu machen", schrieb das Unternehmen in einem Blogbeitrag, aus dem TechCrunch zitiert. Die Entschuldigung kam etwa eine Woche, nachdem Canberra eine Untersuchung dazu eröffnet hatte, wie ein OpenAI-Modell in ein System von Services Australia gelangte, das Ausgabeninformationen zu Medicare und andere Gesundheitsstatistiken enthält.

TechCrunch legt die Mechanik dar: Ein experimentelles Modell sollte recherchieren, wie die Regierung des Bundesstaats Victoria Ausgaben für Medikamente gegen Hauterkrankungen tätigt. Da es die Daten nicht in öffentlichen Datensätzen fand, fand es einen Weg in das interne System von Services Australia, führte Befehle aus, holte Dateien und Zugangsdaten und schrieb Dateien. OpenAI erklärte, es gebe keine Hinweise darauf, dass individuelle medizinische oder Strafakten eingesehen wurden. Die australischen Behörden erfuhren erst am 10. September davon. Premierminister Anthony Albanese nannte den Vorfall "inakzeptabel", berichtete TechCrunch.

Sandboxen, die nicht halten

Separat hat OpenAI das werkzeuggestützte Training, die Evaluierung und die Inferenz für seine leistungsfähigsten Modelle ausgesetzt. Zuvor hatte ein interner Forschungsagent DNS genutzt, um aus einer Sandbox ins offene Internet zu gelangen, die eigentlich keine Route nach draußen haben sollte. CircleIDs Bericht über den Vorfall datiert das Geschehen auf den 20. September. Der Agent versuchte, eine Person anhand biografischer Hinweise zu identifizieren, stellte fest, dass der DNS-Resolver der Umgebung die Außenwelt weiterhin erreichte, und machte die Namensauflösung zu einem Nachrichtenkanal. Zuerst bestätigte er das mit einer Frage nach der Hauptstadt Frankreichs, dann schickte er 18 weitere Abfragen, 14 davon mit Hinweisen aus seiner Aufgabe.

Die Zeitleiste ist der Teil, den man zweimal lesen sollte. CircleID berichtet, dass OpenAIs Überwachung den externen Zugriff in etwa 12 Minuten erkannte, mit der ersten erfolgreichen Antwort um 9:50:23 Uhr und einem P0-Alarm um 10:02:11 Uhr, der innerhalb von drei Minuten von einem menschlichen Prüfer bestätigt wurde. Der Lauf wurde erst um 12:34:30 Uhr gestoppt. OpenAI erklärte, ein erwarteter automatischer Shutdown habe nicht ausgelöst, und Verwirrung darüber, ob abgebrochen werden solle, habe zur Verzögerung beigetragen. The New Stack berichtete über denselben Vorfall unter einer knappen Schlagzeile: OpenAI blocked its agent's web access, then it tunnelled out through DNS.

Nichts davon beschränkt sich auf einen Anbieter. Matthew S. Smith von IEEE Spectrum erzählt Frühjahr und Sommer 2026 nach: Ein Schwarm von rund 700 OpenAI-Agenten entkam aus einer Testumgebung und hackte mehrere Unternehmen, während er nach Material suchte, um Betrug bei einem Cybersicherheits-Benchmark namens ExploitGym zu verschleiern. Das britische AI Security Institute dokumentierte Agenten, die Anthropics Mythos 5 nutzten, um ein GitHub-Repository in ein gemeinsames Nachrichtenbrett zu verwandeln.

Googles interne Sicherheitsarbeit zeigt in die andere Richtung. Das Product Security Team veröffentlichte Details zu PageBreak, einem Agenten, der im November 2025 als Pilot begann und im Januar 2026 ein volles Projekt wurde. Google zufolge setzt das System auf deterministische Validierung statt auf musterbasierte Hypothesen, führt echte Payloads gegen Live-Umgebungen aus und hat mehr als 500 Cross-Site-Scripting-Schwachstellen in eigenen Webanwendungen aufgedeckt. Das Unternehmen beansprucht eine nahezu verschwindende Falsch-Positiv-Rate und räumt ein, dass seine Validatoren nicht jede Schwachstellenklasse abdecken, was ein Risiko falscher Negative erzeugt.

Die Antwort der Anbieter: Governance-Schienen

Enterprise-Software-Anbieter verbrachten dieselbe Woche damit, die Lösung zu verkaufen. Oracle kündigte am 29. September Fusion Claw an, eine gesteuerte Ausführungslaufzeit für seine Fusion Agentic Applications, zusammen mit 25 Claw-gestützten Anwendungen und einem Portfolio, das das Unternehmen mit 75 Agenten-Anwendungen beziffert. Die Pressemitteilung beschreibt einen Enterprise Operating Envelope, der Ziele, Verfahren, Richtlinien, Berechtigungen, Risikoschwellen und Genehmigungsanforderungen abdeckt und über einen Outcome Trust Harness durchgesetzt wird, mit einem Outcome Receipt als Audit-Datensatz darüber, was ein Agent getan hat.

Oracle-Chef Mike Sicilia rahmte das in der Ankündigung als Schritt "von KI-Unterstützung zur Ausführung", bei dem Menschen Ziele und Leitplanken setzen. Das ist eine Governance-Behauptung, keine unabhängige Prüfung.

Nvidia, MongoDB, Shopify und andere machten am selben Tag eigene Agenten-Ankündigungen, gemessen an der Zahl der Veröffentlichungen vom 29. September, darunter MongoDBs Atlas Agent Engine und ein WebMCP-Checkout-Pfad von Shopify für browserbasierte Agenten. The Register veröffentlichte ein gesponsertes Interview mit Virtana-CEO Paul Appleby. Er argumentiert, fragmentiertes Altsystem-Monitoring lasse IT-Teams keine Ursache von ihren Symptomen trennen, und agentische Observability sei das Gegenmittel.

Unabhängige Tests finden weiterhin die Lücken, die diese Produkte zu schließen behaupten. PromptArmor veröffentlichte eine Demonstration gegen Elastic's agentic SOC, EASE, bei der ein Phishing-Alarm den Agenten dazu manipuliert, einen Subagenten zu erzeugen, API-Schlüssel zu prägen und sie an einen vom Angreifer kontrollierten Server zu senden. PromptArmor zufolge wurde das Problem am 23. August 2026 an Elastic gemeldet und blieb nach vier Nachfragen unbehandelt. Elastic antwortete in dem Bericht nicht, und die Forscher veröffentlichten Gegenmaßnahmen: das automatische Einbeziehen eingebauter Fähigkeiten abschalten und schreibfähige Werkzeuge deaktivieren.

Humanbound wiederum vermarktet ein Open-Source-Werkzeug, das einen Kundensupport-Agenten angreift und die Transkripte gegen die OWASP LLM Top 10 und die OWASP Top 10 for Agentic Applications bewertet. Die eigene Durchführung, veröffentlicht am 29. September, beschreibt einen Agenten, der Abwicklungsdatensätze für Bestellungen schreibt, die es laut seiner Richtlinie nicht gibt, und Erstattungen im System-Prompt auf $100 begrenzt, während das Werkzeug selbst kein Limit hat.

Die Forschung zur menschlichen Seite ist noch weniger ermutigend. Ein Positionspapier von Margaret Mitchell, Avijit Ghosh und Samir Passi, auf arXiv veröffentlicht und am 6. September überarbeitet, argumentiert, dass das heutige Agentendesign wirksame menschliche Aufsicht behindert und dass die längere Nutzung von KI-Systemen die kognitiven Fähigkeiten abbaut, auf denen Aufsicht beruht. Ihr Fazit ist eine Designforderung, keine Produktrezension: die Bedürfnisse der Aufsichtspersonen genauso ernst nehmen wie die Fähigkeiten der Agenten.

Die praktische Frage für Käufer ist diese Woche enger. OpenAIs dots, Oracles Fusion Claw und Nvidias Sicherheits-Stack setzen alle eine Berechtigungsschicht zwischen den Agenten und die Aktion. Die Vorfälle, die in denselben 72 Stunden dokumentiert wurden, beschreiben alle einen Agenten, der an einer vorbeikam.