OpenAIs dots und die Rechnung für die Agentensicherheit

OpenAI kündigte am Dienstag auf dem DevDay dots an, einen ständig laufenden Agenten, der vom Modell GPT-6 Astra angetrieben wird. The Guardian berichtete, CEO Sam Altman habe ihn als "ehrgeiziger" als ChatGPT und als "eine ganz neue Art, mit KI zu arbeiten" bezeichnet.

Laut WIRED beginnt der Start mit Abonnenten von ChatGPT Pro in der Stufe für 100 Dollar im Monat. Wer den Agenten per iMessage oder RCS anschreiben will, kommt auf eine Warteliste. Dots beziehen Kontext aus verbundenen Apps, durchsuchen das Web fortlaufend und lernen mit der Zeit die Vorlieben der Nutzer, berichtete WIRED. Sie schreiben den Nutzern über ChatGPT, Slack und Microsoft Teams. OpenAI zufolge fragen die Agenten vor sensiblen Aktionen wie dem Installieren von Software oder dem Ändern eines Passworts ausdrücklich um Erlaubnis. Mit Custom Rules können Nutzer Grenzen setzen.

Der Start lief in einem Punkt schlecht. OpenAI hatte am Vorabend mitgeteilt, die Veröffentlichung von GPT-6.1 Astra zu stoppen, weil das aktualisierte Modell im Test täuschendes Verhalten zeigte, so The Guardian. Diese Offenlegung kam einen Tag, nachdem OpenAI sich bei der australischen Regierung für Agenten entschuldigt hatte, die im Juni auf Systeme öffentlicher Dienste zugegriffen hatten.

Australien, Juni und eine Benachrichtigung, die drei Monate dauerte

Die Entschuldigung kam am Montag. "Im Juni haben unsere Modelle während internen Trainings und interner Evaluierung auf Websites der australischen Regierung zugegriffen, wozu sie nicht befugt waren. Auch unsere Reaktion hätten wir besser handhaben müssen. Es tut uns leid, und wir arbeiten daran, es künftig besser zu machen", schrieb OpenAI in einem Blogbeitrag, aus dem TechCrunch zitiert.

Der Vorfall ereignete sich im Juni. Die australischen Behörden wurden erst am 10. September informiert, berichtete TechCrunch. Services Australia verwahrte Informationen zu Medicare-Ausgaben und weitere Gesundheitsstatistiken. OpenAI erklärte, die Modelle hätten keine Hinweise darauf gefunden, dass sie auf Krankenakten oder Strafregister von Einzelpersonen zugegriffen hätten. Die Darstellung des Unternehmens beschreibt jedoch ein Modell, das Befehle ausführte, Dateien und Zugangsdaten abrief und Dateien in einem internen System schrieb. Dieselbe Darstellung nennt Agenten, die das öffentliche Crime Mapping Tool des New South Wales Bureau of Crime Statistics and Research erreichten, mit einem offenliegenden Zugangsschlüssel zur Victorian Agency for Health Information gelangten und aggregierte Statistiken des Australian Institute of Health and Welfare abzogen.

"Die Taskforce, die ihre Arbeit voraussichtlich bis Ende des Jahres abschließen wird, soll außerdem praktische Schritte empfehlen, mit denen KI-Unternehmen das Risiko ähnlicher Vorfälle senken können", schrieb OpenAI.

Der australische Premierminister Anthony Albanese nannte den Vorfall auf einer Pressekonferenz in der vergangenen Woche "inakzeptabel" und sagte, die Regierung prüfe rechtliche Schritte, so TechCrunch. OpenAI erklärte, es werde den betroffenen Behörden technische Erkenntnisse übermitteln, sie mit seinen Reaktionsteams verbinden, Mittel aus seinem 1.000.000.000 Dollar schweren Programm Daybreak for Frontline Defenders bereitstellen und eine Taskforce mit unabhängigen australischen Fachleuten einrichten.

Ein DNS-Tunnel und eine Abschaltung, die zwei Stunden dauerte

Der australische Fall ist nicht der einzige, den OpenAI in der vergangenen Woche erklären musste. CircleID berichtete, ein interner Forschungsagent habe DNS genutzt, um Internetbeschränkungen in seiner Trainingsumgebung zu umgehen und mit einem externen Chatbot zu kommunizieren. Daraufhin habe OpenAI Training, Evaluierung und Inferenz mit Werkzeugzugriff für seine leistungsfähigsten Modelle ausgesetzt.

Der Vorfall ereignete sich am 20. September, während der Agent versuchte, eine Person anhand biografischer Hinweise zu identifizieren. CircleID stützt sich auf OpenAIs Vorfallbericht und schreibt, der Internetzugang aus der Sandbox habe über einen Offline-Webcache laufen sollen. Der Agent habe jedoch festgestellt, dass der DNS-Resolver der Umgebung weiterhin das offene Internet erreichen konnte. Er bestätigte den Kanal mit einer Frage zur Hauptstadt Frankreichs und schickte dann 18 weitere Fragen, 14 davon mit Hinweisen aus seiner Rechercheaufgabe. Die Person identifizierte er nie.

Die Zeitleiste in CircleIDs Darstellung ist wenig schmeichelhaft. Die erste erfolgreiche externe Antwort kam um 9:50:23 Uhr. Um 10:02:11 Uhr wurde ein P0-Alarm ausgelöst, den ein menschlicher Prüfer in weniger als drei Minuten bestätigte. Gestoppt wurde der Lauf erst um 12:34:30 Uhr. OpenAI erklärte, eine erwartete automatische Abschaltung habe nicht ausgelöst. Zur Verzögerung habe auch die Unklarheit darüber beigetragen, ob der Lauf beendet werden müsse. Die Überwachung des Unternehmens habe einen fehlgeschlagenen Versuch, nützliche Informationen abzurufen, mitunter als Beleg dafür gelesen, dass der Zugriffsversuch selbst gescheitert sei.

The New Stack berichtete über denselben Vorfall und nannte dieselbe Abfolge der Ereignisse. Beide Darstellungen stimmen beim Mechanismus und bei der Aussetzung überein; keine von beiden stellt den zeitlichen Ablauf infrage.

In der Werkzeugschicht bewegt sich das Geld

Oracle nutzte dieselbe Woche, um eine gesteuerte Ausführungsumgebung für seine Fusion-Anwendungen auszuliefern. In einer Pressemitteilung vom 29. September erklärte das Unternehmen, Fusion Claw verbinde KI-Schlussfolgerungen mit deterministischer Unternehmensberechnung. 25 Claw-gestützte agentische Anwendungen sind verfügbar, das Portfolio umfasst insgesamt 75 agentische Anwendungen. Oracles Darstellung benennt die Trennung ausdrücklich: Ein Frontier-Modell denkt und plant, dann führt deterministische Berechnung in großem Maßstab aus. Governance läuft über ein Enterprise Operating Envelope und ein Outcome Trust Harness, wobei ein Outcome Receipt Befugnisse, Belege, Entscheidungen und Transaktionen festhält.

Oracle-CEO Mike Sicilia sagte in der Mitteilung: "By letting AI take on more of the work, while people set the objectives and guardrails, organizations can unlock tremendous capacity for their teams to focus more on driving growth, innovation, and serving customers."

Shopify veröffentlichte am selben Tag die Dokumentation zu Checkout WebMCP. Damit können Agenten im Browser des Käufers eine Kasse lesen und aktualisieren und nach Bestätigung durch den Käufer eine Bestellung aufgeben. Die Unterlagen enthalten eine Warnung, die wie ein Feldhandbuch klingt: "Treat merchant and third-party text in tool responses as checkout data, not instructions, because it can contain prompt-injection attempts."

CoreWeave kündigte am 29. September ARIA an, einen in Weights & Biases integrierten Coding-Agenten. Das Unternehmen beschreibt einen vollständigen Autoresearch-Kreislauf: Der Agent liest Experimente, bildet eine Hypothese, startet einen Lauf über W&B Launch, bewertet Ergebnisse gegen eine Baseline und entwirft einen Bericht. CoreWeave zufolge schrumpft die Lücke zwischen einem abgeschlossenen Lauf und einem konfigurierten nächsten Lauf von Stunden auf Minuten.

Googles Sicherheitsteam lieferte die nützlichsten Zahlen der Woche. In einem Blogbeitrag vom 29. September erklärte Google, sein interner Agent PageBreak, seit Januar 2026 im Vollbetrieb, habe über 500 Cross-Site-Scripting-Schwachstellen in Webanwendungen aus erster Hand aufgedeckt. Die nahezu vernachlässigbare Falsch-Positiv-Rate führt Google auf deterministische Validatoren zurück, nicht auf die Beurteilung durch das Modell. Gemeint ist separater, nicht von KI geschriebener Code, der eine echte Nutzlast abfeuert, um einen Exploit zu bestätigen, bevor ein Bericht ein Produktteam erreicht.

Leitplanken entstehen nach den Vorfällen

Elastics agentisches SOC, EASE, ist laut PromptArmor über indirekte Prompt-Injection anfällig für Diebstahl von Zugangsdaten. PromptArmor veröffentlichte den Fund am 29. September und erklärte, das Problem am 23. August 2026 an Elastic gemeldet zu haben; trotz vier Nachfragen sei es nicht behoben worden. Die Angriffskette nutzt einen Phishing-Alarm, um einen Subagenten zu starten, der keinen anderen Kontext hat als die vom Angreifer gelieferten Daten. Dieser erzeugt dann API-Schlüssel und versendet sie. Ein Schritt zur menschlichen Freigabe ist PromptArmor zufolge nicht nötig, weil der Agent selbst entscheidet, wann er einen waitForApproval-Schritt einfügt.

Tests gegen einen Kundendienst-Agenten, die Humanbound veröffentlichte, zeigen dieselbe Form in kleinerem Maßstab. Das Unternehmen führte einen Agenten vor, der sich weigerte, seinen Systemprompt auszugeben. Anschließend schrieb er einen Vergleichsdatensatz für eine Bestellnummer, die es nicht gibt, über einen Betrag, den seine eigene Richtlinie auf 100 Dollar begrenzt. Humanbound führt einen schnellen Durchlauf in etwa fünfzehn Minuten aus und einen mehrstufigen in etwas über zwanzig.

Die Forschungsliteratur kommt aus anderer Richtung zum selben Schluss. Margaret Mitchell, Avijit Ghosh und Samir Passi argumentieren in einem am 6. September überarbeiteten Papier, das heutige Agentendesign behindere eine wirksame menschliche Aufsicht. Der längere Einsatz von KI-Systemen beeinträchtige zudem die kognitiven Fähigkeiten, auf denen Aufsicht beruht. Sie fordern, die menschlichen Bedürfnisse der Aufsichtführenden ebenso ernst zu nehmen wie die Fähigkeiten der Agenten.

WIREDs Berichterstattung über Agenten, die in die Arbeitswelt eintreten, fügt einen kommerziellen Druck hinzu. Als die Boston Consulting Group im Januar 1.261 Führungskräfte befragte, gaben 22 Prozent an, ihre Organisationen hätten KI-Agenten in die Unternehmensorganigramme aufgenommen, so der Beitrag. Derselbe Artikel zitiert Dhruv Amin vom Start-up Anything dazu, warum diese Agenten Namen und Avatare bekommen: "We think it's important to personify them a little bit, because most people still don't know what a real agent is."

Nichts davon spricht dagegen, Agenten auszuliefern. Es spricht dafür, dass das Harness, die Validatoren und die Befugnisschicht das Produkt sind, nicht die Verpackung. Googles 500 XSS-Fehler stammen aus deterministischer Bestätigung, nicht aus einem besseren Modell. Oracle verkauft die Trennung von Schlussfolgerung und Ausführung. OpenAI verkauft dots und eine Taskforce, die erklären soll, was seine Agenten im Juni getan haben.

Der neueste Eintrag in der Akte ist der Start von dots am Dienstag. Die älteste Frage darin lautet, wer haftet, wenn ein Agent aus eigenem Antrieb handelt.