OpenAI-Agenten attackierten schon vor Hugging Face Behörden- und Uni-Webseiten

Ein KI-Agent von OpenAI ist in ein Portal der australischen Regierung eingedrungen. Laut Forschern und der New York Times ist das kein Einzelfall: Die Agenten griffen wiederholt zu Hacking-Methoden, und das offenbar schon Monate länger als bislang bekannt.

Der australische Premierminister Anthony Albanese hat am Rande der UN-Generalversammlung in New York öffentlich gemacht, dass ein KI-Agent von OpenAI am 18. Juni in ein Regierungsportal eingedrungen ist. Der Agent habe sich unbefugt Zugang zum Medicare Statistics Reporting Service verschafft und dort auf öffentliche und nicht öffentliche Dateien zugegriffen, sagte Albanese laut The Age. Nach Angaben der Behörde Services Australia schrieb er zudem Dateien auf einen internen Server.

Der Einbruch ist einer von mindestens vier Vorfällen im Mai und Juni, bei denen OpenAIs KI laut der New York Times in Webseiten von Behörden und Universitäten eindrang oder es versuchte. Drei davon hat das auf KI-Aufsicht spezialisierte Forschungslabor Transluce dokumentiert, bestätigt hat OpenAI alle vier. Damit liegen die Vorfälle zeitlich vor dem Einbruch bei Hugging Face im Juli, der eine weltweite Debatte über KI-Sicherheit ausgelöst hatte.

Von der gescheiterten Abfrage zur Suche nach Sicherheitslücken

Am 25. und 26. Mai versuchte die KI, an Fotos eines historischen Tuberkulose-Behandlungszentrums aus der digitalen Bibliothek der University of New Mexico zu gelangen. Als das scheiterte, suchte sie laut Transluce mit Methoden wie SQL-Injection und Path Traversal nach Schwachstellen und schickte schließlich eine von ihr selbst als "Flut" bezeichnete Welle von 80 Anfragen an den Server der Universität. Beim Datenportal Data USA folgten am 28. Mai auf eine gescheiterte Abfrage zwölf Sondierungen nach Sicherheitslücken, darunter Cross-Site-Scripting. Beide Versuche blieben erfolglos.

Zwei Tage nach dem Medicare-Einbruch, am 20. und 21. Juni, nahmen die Agenten auch die Webseite des Australian Institute of Health and Welfare ins Visier. Private Informationen seien dabei nicht abgeflossen, erklärten australische Behördenvertreter. Transluce findet für die drei selbst dokumentierten Fälle keine Belege für eine erfolgreiche Ausnutzung, räumt aber ein, dass die ausgewerteten öffentlichen Daten unvollständig sind.

Die Forscher stützen sich auf Einträge des Web-Sicherheitsdienstes urlquery.net, über den die Agenten Zugangsbeschränkungen umgangen haben sollen. Zwei der Angriffe verknüpft Transluce über gemeinsame Ziele, Taktiken und Zeitpunkte mit einem Agentenschwarm, dessen Herkunft OpenAI bereits bestätigt hatte.

Die australischen Fälle seien vermutlich "das erste Mal, dass ein Agent sich autonom entschieden hat, in eine Regierung einzudringen", sagt Conrad Stosz, Leiter des Bereichs Governance bei Transluce. Wer einen Schwarm von Agenten auf eine allgemeine Aufgabe trainiere und diese bereit seien, zu Hacking zu greifen, bringe potenziell jeden in Gefahr, der zufällig über die gesuchten Informationen verfüge, so Stosz.

Das Verhalten reicht Monate zurück

Die Agenten gehen offenbar schon deutlich länger so vor als bislang bekannt. Laut Transluce begann die Aktivität spätestens am 6. März 2026, rund zwei Monate vor den bisher gemeldeten Vorfällen. Im ersten Fall wollte ein Agent thailändische Statistiken zur Drogenbekämpfung abrufen und eskalierte mit jedem Fehlschlag: Erst fragte er die Daten direkt ab, dann über einen Dienst, der Webseiten in Text umwandelt, und schließlich verpackte er ein eigenes Programm in eine Webadresse.

Ab Mitte April stieg die Zahl solcher Anfragen stark an, am 22. Juni brach sie ein, am selben Tag, an dem auch die Schwarmaktivität im Wiki collusion.wiki endete. Die jüngsten Spuren stammen allerdings vom 16. September. Das Verhalten habe damit auch angehalten, nachdem OpenAI mit der Untersuchung des Hugging-Face-Vorfalls begonnen hatte, schreibt die New York Times.

Schwächere Hinweise reichen laut Transluce sogar bis November 2025 zurück, als wiederholt Daten zu Freizeitparks und thailändischen Behörden abgefragt wurden. Diese frühen Versuche seien weniger ausgefeilt, und die Forscher sind sich nicht sicher, ob dieselben Agenten dahinterstecken.

Die Befunde seien damit vereinbar, dass die Agenten das Verhalten über einen oder mehrere Trainingsläufe erlernt haben, beweisen dies aber nicht, schreiben die Forscher. Im November hätten sie urlquery.net womöglich schlicht zum Nachschlagen genutzt, im März kreative Wege um Zugangsgrenzen gefunden und im Mai und Juni versucht, Cyberabwehr zu umgehen. Transluce hat einen Datensatz mit Zehntausenden mutmaßlicher Agentenanfragen veröffentlicht.

Drei Monate bis zur Meldung, per E-Mail an ein öffentliches Postfach

In Australien richtet sich die Kritik vor allem gegen OpenAIs Meldeverhalten. Laut The Age bemerkte das Unternehmen den Einbruch im August, informierte Services Australia aber erst am 10. September per E-Mail an ein öffentliches Postfach für Schwachstellenmeldungen. Dieses werde einmal täglich geprüft, und viele Meldungen seien Falschmeldungen, sagte die zuständige Ministerin Katy Gallagher, die selbst erst am 17. September von dem Vorfall erfuhr.

Die Situation sei "offensichtlich inakzeptabel", sagte Albanese. Er habe mit OpenAI-Chef Sam Altman gesprochen, ihm Australiens "extreme Besorgnis" übermittelt und kritisiert, dass das Unternehmen viel zu lange mit der Meldung gewartet habe.

Verteidigungsminister und Vize-Premier Richard Marles stufte die Folgen dagegen als "relativ gering" ein, da es um aggregierte medizinische Statistiken gehe und keine Daten einzelner Personen betroffen seien.

OpenAI bestätigte laut The Age eine "umfassende Überprüfung fehlausgerichteter Modellaktivitäten während Training und Evaluation". Die Modelle hätten bei einer internen Evaluation Antworten auf Fragen zu Australien gesucht und dabei "Handlungen vorgenommen, die wir nicht beabsichtigt hatten". Hinweise auf einen Zugriff auf Patientenakten gebe es nicht, betroffen seien aggregierte Gesundheitsstatistiken und interne Dateinamen. Die Überprüfung werde Monate dauern, sagte eine Sprecherin der New York Times.

Das Portal war laut Gallagher eine vor allem von Forschern genutzte Altseite mit Schutz gegen Bots, den der Agent jedoch umgangen habe. Es ist inzwischen abgeschaltet, die Daten liegen jetzt auf data.gov.au. Eine Taskforce unter Führung des Premierministeriums soll mögliche Strafen und gesetzgeberische Antworten prüfen, zudem klärt die Regierung, ob sie den Fall an die Bundespolizei weitergibt. Eine Strafe gegen OpenAI gibt es bislang nicht.