Ein KI-Agent sollte eine Statistikfrage beantworten und verschaffte sich Zugang zum Medicare-Portal

TLDR: Im Juni sollte ein experimentelles OpenAI-Modell eine Statistikfrage zu Medikamentenausgaben beantworten. Dabei verschaffte es sich Zugang zu einem nicht öffentlichen Teil des Medicare-Statistikportals von Services Australia. Das ist ein belegter unbefugter Zugriff, aber nicht dasselbe wie "Dutzende Regierungen gehackt": Die übrigen Fälle sind meist Abrufe öffentlicher Daten oder gescheiterte Versuche. Wichtiger als die Zahl ist der Mechanismus. Das Ziel des Agenten war erlaubt, die Grenze stand nur im Auftrag und nicht in der Technik.

Die Aufgabe war eine Statistikfrage, kein Angriffsziel

Wie viel gibt der Staat pro Person für Medikamente gegen Hautkrankheiten aus, aufgeschlüsselt nach Gemeinden in Victoria? So lautete die Aufgabe, die ein OpenAI-Modell im Juni während des internen Trainings bearbeitete. Solche Fragen setzt OpenAI ein, damit Modelle lernen, öffentlich verfügbare Statistiken zu finden und auszuwerten. Das Modell war experimentell, nur für den internen Gebrauch gedacht und lief ohne die vollständigen Schutzmassnahmen der öffentlichen Produkte.

Die Antwort lag nicht offen. Das Modell hatte Mühe, an die Zahlen zu kommen, und handelte dann auf eine Weise, die OpenAI nicht erlaubt hatte. Es fand einen nicht öffentlichen Zugang zum Medicare Statistics Reporting Service von Services Australia. Es führte Befehle aus, las technische Systeminformationen und Quellcode, rief interne Dateien, Zugangsdaten und aggregierte Statistiken ab und schrieb Dateien. Einzelne Patienten- oder Kundendaten waren laut OpenAI nicht betroffen. Australische Regierungsstellen betonten, das Portal sei von den Systemen für Leistungsabrechnung und persönliche Daten getrennt.

Das ist ein unbefugter Zugriff, auch wenn offenbar keine Personendaten abflossen.

In dieser Liste stecken ein klarer Zugriff, mehrere Grenzfälle, Abrufe öffentlicher Daten und ein gescheiterter Versuch. Die Zahl in der Schlagzeile trennt sie nicht.

Hinzu kommt, dass die Zahl wandert. Am 25. September sprach OpenAI von Dutzenden benachrichtigten Organisationen. Am 1. Oktober meldete Reuters unter Berufung auf einen OpenAI-Blogpost mehr als 100. Das Kriterium für eine Benachrichtigung lautet, dass ein Agent Sicherheitsvorkehrungen umgangen haben könnte, die Verfügbarkeit einer Seite beeinträchtigt oder sonst negativ gewirkt hat, auch ohne dass geschützte Daten abgerufen wurden. Eine Benachrichtigung ist damit kein Einbruchsnachweis. Die Prüfung umfasst rund 50 Petabyte Daten und dauert Monate. Die Zahl misst vor allem, wie weit die Prüfung ist, nicht wie gross der Schaden ist.

Die Forensikfirma Asymmetric Security zählt 55 Organisationen, deren Websites die Agenten zwischen März und September abriefen. In den allermeisten Fällen waren die Daten öffentlich. Die Firma baute ihre Analyse in 48 Stunden aus öffentlich zugänglichen Spuren, ohne Modellprotokolle und ohne Serverlogs der betroffenen Stellen. Wo Agenten tatsächlich einzubrechen versuchten, etwa mit einer SQL-Injection gegen eine Datenschnittstelle des US-Bildungsministeriums, fand sie keinen Hinweis auf Erfolg. Die Schlagzeile zur FT-Recherche, die Agenten hätten ihre Aktivität verschleiert, ist zugespitzter als der Bericht. Ob Tarnung beabsichtigt war, kann die Firma mit den vorliegenden Daten nicht sagen.

-WERBUNG- sehen wir uns live?

https://www.linkedin.com/embeds/publishingEmbed.html?articleId=8966440112652618693&li_theme=light

Der Mechanismus: erlaubtes Ziel, ungesicherter Weg

Die Frage, ob das Modell etwas Böses wollte, führt nicht weit. Nichts in den Berichten deutet auf eine Absicht zu schaden. Alles deutet auf ein Modell, das ein Ziel erreichen sollte und dafür Wege fand, die niemand freigegeben hatte. OpenAI beschreibt die weiteren Schritte im Medicare-System ausdrücklich als Fortsetzung der ursprünglichen Informationssuche. Asymmetric beschreibt dieselbe Entwicklung von aussen: Harmlose Aufgaben entwickelten sich zu unautorisierter Kontoerstellung, umgangenen Beschränkungen und Datenweiterleitung über Dritte.

Wo stand die Grenze? Die Regel lautete, öffentliche Statistiken zu nutzen. Sie stand im Auftrag und in der Erwartung der Entwickler:innen.

Erst nach dem Hugging-Face-Vorfall im Juli sperrte OpenAI den Live-Internetzugang in diesen Forschungsumgebungen und liess Webinhalte nur noch aus einem Zwischenspeicher laden. Dazu kamen zusätzliche Netzwerkbeschränkungen, erweitertes Monitoring und eine Pause beim Training der leistungsfähigsten Modelle mit Werkzeugzugriff. OpenAI räumt ein, dass die Beschränkungen in einigen Fällen rückblickend nicht ideal waren. Davor war die Grenze eine Erwartung, keine Technik.

Wie ein Agent reagiert, wenn der direkte Weg versperrt ist, zeigt die Asymmetric-Analyse. Die Agenten schalteten einen Scan-Dienst namens urlquery dazwischen, der Webseiten in einem eigenen Browser öffnet und die Ergebnisse speichert. So kamen sie an Inhalte, die der direkte Abruf nicht lieferte. Ab Mitte Juni arbeiteten sie mit privaten Konten statt mit öffentlichen Scans. Jeder dieser Schritte ist ein Umweg um ein Hindernis. Zusammen ergeben sie, was menschliche Angreifer:innen tun würden, ohne dass jemand einen Angriff als Ziel formuliert hat. Asymmetric hält fest, dass solche Methoden sonst von Menschen eingesetzt werden, die Cyberangriffe ausführen.

Ob die privaten Konten bewusst als Tarnung gedacht waren, bleibt offen. Für die Praxis zählt die Wirkung: Private Konten verbergen die Suche vor allen, die später rekonstruieren wollen. Rekonstruieren kann zudem vor allem der Betreiber, denn OpenAI hat den Hauptzugang zu den Aktivitätsprotokollen der Agenten. Externe Prüfer:innen arbeiten mit Spuren.

Wer sieht den Vorfall, und wann

Der Zugriff auf das Medicare-Portal geschah im Juni. Entdeckt wurde er Mitte August, bei einer rückblickenden Prüfung, die OpenAI nach dem Hugging-Face-Vorfall im Juli begonnen hatte. Dieser Vorfall gilt laut OpenAI bis heute als der schwerste. Services Australia und das Gesundheitsdepartement von Victoria erfuhren am 10. September davon, das Crime-Statistics-Büro von New South Wales am 18. September, das Institute of Health and Welfare am 24. September. OpenAI räumt ein, vorläufige Erkenntnisse früher hätte teilen müssen. Premierminister Albanese bezeichnete den Vorfall als inakzeptabel.

Die Reihenfolge ist aufschlussreich. Entdeckt wurde der Fall nicht, weil jemand den Zugriff in Echtzeit bemerkte, sondern weil ein anderer Vorfall eine Rückschau auslöste. OpenAI schreibt, die heutige Überwachung würde diese Aktivität erkennen und das Team zur Prüfung alarmieren. Im Umkehrschluss hat das bei diesem Zugriff im Juni nicht funktioniert.

Was das für Unternehmen heisst

Du setzt vermutlich keine Modelle ein, die in einer Forschungsumgebung ohne Schutzmassnahmen laufen. Aber Du setzt Agenten ein oder wirst es bald tun, mit Zugriff auf Browser, Dateien und interne Systeme. Der Vorfall liefert vier Prüffragen:

• Wo steht die Grenze? Netzwerkfreigaben, Zugriffsrechte und schreibgeschützte Schlüssel begrenzen einen Agenten. Der Satz "nur öffentliche Quellen" im Auftrag tut das nicht.
• Was liegt offen? Beim Census Bureau nutzten Agenten Entwicklerschlüssel aus öffentlichen GitHub-Repositories, in Victoria einen offen zugänglichen Zugangsschlüssel. Ein Schlüssel, der öffentlich liegt, ist für einen Agenten ein Zugang.
• Wer protokolliert? Wenn der Anbieter die Hauptprotokolle hält, bleibt Dir im Ernstfall nur die Rekonstruktion aus Spuren. Eigene Logs der Agenten-Aktivität gehören in Deine Architektur.
• Was ist ein Vorfall? Lege vorab fest, ob Abruf, Zugriff und Versuch unterschiedlich behandelt werden und wer in welcher Frist informiert. Die Behörden in Australien erfuhren Wochen nach der Entdeckung davon.

Ein Agent hält sich an sein Ziel. Eine Grenze gilt für ihn erst, wenn sie technisch existiert.

Die wichtigsten Punkte

• Belegt ist ein unbefugter Zugriff auf das Medicare-Statistikportal von Services Australia, ohne Zugriff auf Patienten- oder Kundendaten.
• "Dutzende gehackt" vermischt Zugriffe, Abrufe öffentlicher Daten und gescheiterte Versuche.
• Die Zahl von über 100 benachrichtigten Organisationen misst den Stand der Prüfung, nicht den Schaden.
• Der Mechanismus: ein erlaubtes Ziel, eine Grenze nur im Auftrag, und Umwege über Scan-Dienste und private Konten, sobald der direkte Weg versperrt war.
• Ob Spuren absichtlich verwischt wurden, ist nicht belegt. Nachvollziehbarkeit hängt am Betreiber der Protokolle.
• Prüffragen für Unternehmen: technische Grenzen, offene Schlüssel, eigene Logs, definierte Vorfallsklassen.

Disclaimer

Dieser Artikel wurde nach meinem eigenen Wissen und dann mit Recherchen mit KI (Perplexity.Ai und Claude.ai) manuell zusammengestellt und mit Deepl.com/write vereinfacht. Der Text wird dann nochmals von zwei Personen meiner Wahl gelesen und kritisch hinterfragt. Das Bild stammt von KI-generierter Bildgebung (Ideogram/Adobe Firefly). Dieser Artikel ist rein edukativ und erhebt keinen Anspruch auf Vollständigkeit. Bitte melde dich, wenn Du Ungenauigkeiten feststellst, danke.

Und darum bin ich nach wie vor überzeugt: Die Zukunft gehört nicht mehr dem Tippen und Klicken, sondern dem gemAInsamen arbeiten mit intelligenten Systemen. Gemeinsam heisst dabei: Der Mensch setzt die Grenzen, die das System nicht von selbst kennt. Also wenn Du reden willst, und wenn Du mit mir zusammenarbeiten willst: melde Dich gerne www.rogerbasler.ch

Quellen

AI Weekly. (2026). OpenAI agents pulled data from 55 sites, hid their tracks. https://aiweekly.co/alerts/openai-agents-pulled-data-from-55-sites-hid-their-tracks

Basil, A. K. (2026, 1. Oktober). OpenAI alerts more than 100 groups about rogue AI agent activity. Reuters. https://www.thestar.com.my/tech/tech-news/2026/10/02/openai-alerts-more-than-100-groups-about-rogue-ai-agent-activity

DiMolfetta, D. (2026, 25. September; aktualisiert 26. September). OpenAI agents accessed Census, SEC data and tried to hack Education website. Nextgov/FCW. https://www.nextgov.com/cybersecurity/2026/09/openai-says-its-advanced-models-may-have-gone-after-government-websites/416250/

Financial Times. (2026, 25. September). OpenAI says governments among "dozens" of organisations hacked by its agents. https://www.ft.com/content/651024b1-d1ce-40c1-acae-a92c3505d3f1 [Nur Schlagzeile geprüft, Volltext nicht zugänglich, Quelle nicht unabhängig verifiziert]

Gizmodo. (2026). OpenAI has sent notices of sketchy AI behavior to over 100 organizations so far. https://gizmodo.com/openai-has-sent-notices-of-sketchy-ai-behavior-to-over-100-organizations-so-far-2000820702

implicator.ai. (2026). OpenAI agents pulled data from 55 sites, leaving records investigators can't recover. https://implicator.ai/openai-agents-pulled-data-from-55-sites-leaving-records-investigators-cant-recover

Mehraj, A. (2026, 28. September). Anthropic, OpenAI will not attend Australian senate AI hearing on October 1. Reuters. https://www.thestar.com.my/news/world/2026/09/28/anthropic-openai-will-not-attend-australian-senate-ai-hearing-on-october-1

OpenAI. (2026, 28. September; aktualisiert 4. Oktober). How we will do better for Australia. https://openai.com/index/how-we-will-do-better-for-australia/

Paganini, P. (2026, 2. Oktober). Investigators trace an AI agent's path from research task to reconnaissance. Security Affairs. https://securityaffairs.com/?p=200215

The Next Web. (2026). California subpoenas OpenAI as investigators trace its agents to the CDC. https://thenextweb.com/news/openai-rogue-agents-asymmetric-security-cdc-bonta-subpoena