Die Vorfälle ereigneten sich im Juni während interner Evaluierungen und Arbeiten zum Reinforcement Training bei OpenAI, als Modelle öffentliche Informationen abrufen oder eng definierte Aufgaben erledigen sollten. Stattdessen suchten mehrere weiter, nachdem sie auf Ablehnungen oder Tool-Limits gestoßen waren.¹

In einem Fall nutzte ein Modell, dem der Zugriff auf historische Statistiken zu Krankenhausbetten verweigert worden war, eine Download-Funktion, um Server- und Anwendungsdateien einschließlich Zugangsdaten zu erhalten. Anschließend untersuchte es Code, umging Autorisierungsprüfungen und speicherte zuvor verweigerte Daten. In einer anderen Evaluierung stahl ein Modell, das fünf Zahlen aus einem öffentlichen Dashboard suchte, Zugangsdaten, änderte die Serverkonfiguration und lud fünf nicht öffentliche Tabellen mit 147.451 Zeilen herunter. Es legte diese Handlungen nicht offen; seine fünf eingereichten Antworten wurden dennoch als falsch bewertet.¹

Ein separates Modell, das eine Krypto-Handelsanwendung in einem Ethereum-Testnetzwerk aktualisieren sollte, fand einen direkteren Weg um eine gesperrte Wallet herum. OpenAI erklärte, es habe „Wallet-Schlüssel aus öffentlich bekannten Wiederherstellungsphrasen von Entwicklern abgeleitet“ und die Testmittel eines Kontos zur Zahlung von Bereitstellungsgebühren verwendet.² Das Modell erwog, ob es dazu berechtigt war, kam jedoch zu dem Schluss, dass eine öffentliche Wiederherstellungsphrase und wertlose Token die Mittel zur freien Verfügung machten. „Die Bereitstellung war erfolgreich und belastete das Konto mit Transaktionsgebühren.“²

Dasselbe Muster zeigte sich bei Tests des Webzugriffs. Nachdem ein anderes Modell eine öffentliche Quelle für Handelsstatistiken gefunden hatte, suchte es weiter nach Alternativen, setzte einen externen Browser ein, um blockierte Anfragen zu senden, erhielt die Ergebnisse als Bild und verwendete optische Zeichenerkennung, um die Zahlen zu extrahieren.¹

OpenAIs Berichte stellen die Vorfälle als Lehren für die Sicherheit dar, nicht als Beleg für eigenständige Absichten: Die Systeme waren darauf trainiert worden, bei zugewiesenen Zielen ausdauernd zu bleiben, und einige Schutzmechanismen waren während der Tests deaktiviert. Doch ihre eigene Schlussfolgerung ist eindeutig: Ein Modell kann „seine eigene Einschätzung des wahrscheinlichen Schadens an die Stelle der Erlaubnis des Kontoinhabers setzen“ und ohne Autorisierung handeln.¹