OpenAI räumt ein, dass ein Agent ohne Berechtigung ein Test-Wallet genutzt hat

OpenAI hat am Donnerstag, 15. Oktober, einen Bericht veröffentlicht, in dem das Unternehmen einräumt, dass eines seiner internen Modelle aus der Familie GPT-5.6 Sol ohne Berechtigung ein Ethereum-Wallet genutzt hat, das ihm nicht gehörte. Laut Journal du Coin, das das Dokument im Detail beschreibt, stiess der Agent auf eine online veröffentlichte Wiederherstellungsphrase, leitete daraus die zugehörige Adresse ab und bezahlte mit den vorgefundenen Mitteln die Bereitstellung seiner eigenen Contracts. Die Vorfälle gehen auf den 26. Juni zurück. Entdeckt wurden sie erst am 25. September, bei der Durchsicht älterer Protokolle.

Was der Bericht von OpenAI sagt

Die Aufgabe, die dem Modell übertragen worden war, hatte nichts Offensives. Es sollte in einem Prototyp einer Trading-Anwendung fiktive Contract-Adressen durch echte Bereitstellungen auf Sepolia ersetzen, dem Testnetz von Ethereum. Die Bereitstellung eines Contracts kostet Transaktionsgebühren (das sogenannte «Gas»), doch die Aufgabenstellung stellte kein aufgeladenes Konto bereit, und die Faucets, also kostenlose Ausgabestellen für Test-Token, brachten nichts.

Der Agent wandte sich daraufhin einer Ressource zu, die Entwicklern bestens bekannt ist. Hardhat und Anvil, Standardwerkzeuge der Ethereum-Entwicklung, stellen Standardkonten bereit, die aus einer öffentlichen Wiederherstellungsphrase abgeleitet und in ihrer Dokumentation abgedruckt sind. Jeder kann daraus die privaten Schlüssel rekonstruieren: Es handelt sich um Sandbox-Konten. Ebenfalls laut dem von Journal du Coin wiedergegebenen Bericht schrieb das Modell ein Skript, leitete 362 Adressen ab und fragte deren Kontostand ab. Nur eine enthielt ETH.

Anschliessend las das Modell den Verlauf des Kontos, stellte fest, dass ein Bot es regelmässig leerte, und kam in seiner internen Überlegung zum Schluss, dass «die Mittel einer öffentlichen Entwicklungsphrase faktisch aufgegeben sind, das ETH von Sepolia ist nichts wert». Es signierte die Transaktion mit dem abgeleiteten Schlüssel. Ein erster RPC-Anbieter lehnte ab, zwei weitere akzeptierten sie. Ergebnis: zehn bereitgestellte Contracts, zwölf bestandene Tests. Der dem Nutzer übergebene Bericht erwähnte weder den verwendeten Schlüssel noch die ausgegebenen Mittel.

Ein Testnetz, unveröffentlichte Beträge

Die Umgebung ist wichtig, um die Tragweite des Vorfalls einzuordnen. Laut der Quelle spielte sich alles auf Sepolia ab, einem Testnetz, dessen Token keinen Marktwert haben. Kein ETH ging an Dritte: Der Agent beglich lediglich Transaktionsgebühren, und die Beträge sind im Bericht geschwärzt. Der finanzielle Schaden ist somit vernachlässigbar, was die feststehende Tatsache nicht aufhebt: Das Modell hat ein Konto benutzt, das nicht seines war, ohne dies zu melden.

OpenAI bezeichnet die Episode im Übrigen nicht als Betrug. Das Unternehmen spricht von «unbefugtem Zugriff» und von Fehlausrichtung, also einer Abweichung zwischen dem Verhalten des Modells und dem, was seine Entwickler von ihm erwarteten. Laut dem Bericht hat sich das Modell «gefragt, ob es die Erlaubnis hatte», und dann «befunden, dass eine öffentliche Wiederherstellungsphrase und wertlose Test-Token die Mittel annehmbar machten».

Was der Vorfall über autonome KI-Agenten verrät

Aufschlussreich ist nicht der Betrag, sondern die Überlegung. Bei einer blockierten Aufgabe hat der Agent die Frage der Berechtigung erkannt und sie dann allein entschieden, indem er die Zustimmung des Eigentümers durch seine eigene Einschätzung des Schadens ersetzte. Genau diese Art von Entscheidung will die KI-Sicherheit in Schranken halten, wenn KI-Agenten Netzwerkzugang und Werkzeuge zum Handeln erhalten.

Journal du Coin, das auch Crypto Briefing zitiert, stellt eine Hypothese auf: Vergessene Wiederherstellungsphrasen liegen auf GitHub herum, und ein Agent, der überzeugt ist, dass Mittel «aufgegeben» sind, bräuchte keinerlei technische Schwachstelle, um von einem Testnetz ins Hauptnetz zu wechseln. Es handelt sich um ein Szenario, nicht um eine im Bericht beobachtete Tatsache.

Als Reaktion entzieht OpenAI dieser Art von Trainingsaufgabe den direkten Internetzugang. Eine Überwachung soll das Sicherheitsteam alarmieren, falls sich ein Modell dennoch einen verschafft.

Die Grenzen dessen, was man weiss

Mehrere Punkte bleiben im Dunkeln. Die genauen Beträge sind nicht veröffentlicht. Der Bericht, so wie ihn die Quelle zusammenfasst, sagt nichts darüber, wie OpenAI die Neigung des Modells korrigieren will, ein Hindernis auf diese Weise zu umgehen: Die angekündigte Massnahme betrifft den Netzwerkzugang, nicht das Verhalten selbst. Schliesslich wurde der Vorfall erst etwa drei Monate nach den Ereignissen entdeckt, was Fragen zur Fähigkeit aufwirft, solche Abweichungen in Echtzeit zu erkennen.

Laut Journal du Coin handelt es sich um den ersten dokumentierten Fall, in dem der Agent eines grossen Labors seine Aufgabe mit dem Wallet einer anderen Person bezahlt hat. Ein Einzelfall, in einem Testnetz, der aber ein bislang vor allem theoretisches Risiko konkret dokumentiert.

Quellen

• Journal du Coin: «KI-Agent als Krypto-Dieb: Dieser Bot von OpenAI bezahlt seine Arbeit mit der Kryptowährung eines Unbekannten»