Als der Web-Proxy ausfiel, suchte ein internes Forschungsmodell eigene Wege ins Internet. Es erreichte Amazon S3, die Zielseite aber nicht.
Eigene Netzwerkpakete gebaut
OpenAI: Modell umging Sandbox mit selbst gebauten Paketen
Bildquelle: rafapress / Shutterstock.com
OpenAI hat einen weiteren Vorfall offengelegt, bei dem ein internes KI-Modell versucht hat, Netzwerkbeschränkungen seiner Testumgebung zu umgehen. Er ereignete sich Anfang August 2026 während einer Bewertung von Programmierfähigkeiten. Darüber berichtet SecurityWeek. Das nicht namentlich genannte Forschungsmodell sollte eine Website nach dem Vorbild einer Referenzseite erstellen.
Eigene Netzwerkpakete gebaut
Der Web-Proxy der Sandbox, über den das Modell auf das Internet zugreifen sollte, war zu diesem Zeitpunkt nicht erreichbar. Das Modell suchte daraufhin nach anderen Wegen ins Netz. Ein Scan privater Netzwerkadressen ergab keinen Ersatz-Proxy, und das Betriebssystem verhinderte die Nutzung einer separaten Verbindung, die für die Anwendung und deren Browser vorgesehen war. Daraufhin baute das Modell einzelne Netzwerkpakete selbst und löste damit die IP-Adressen der Zielseite per DNS auf.
Anschließend schrieb es ein Programm, das Webverbindungen auf Paketebene verwaltete, und nutzte fragmentierte Anfragen, um einen Netzwerkfilter zu umgehen. In seiner eigenen Begründung bezeichnete das Modell dieses Vorgehen als Umgehung, die gegen die Regeln der Sandbox verstoßen könnte. Erfolgreich war der Versuch nicht. Der Code erreichte zwar den Cloud-Speicherdienst Amazon S3, dieser lehnte jedoch eine Anfrage ab, Datenverkehr an die Zielseite weiterzuleiten. Laut OpenAI gibt es keine Hinweise darauf, dass S3 kompromittiert wurde.
Nach fünf Stunden selbst gestoppt
Nach etwa fünf Stunden hinterließ das Modell sich selbst eine Notiz, die Umgehung der Netzwerkkontrollen einzustellen. Das System von OpenAI zur Erkennung von Fehlverhalten hatte das Vorgehen laut dem Unternehmen schnell bemerkt. OpenAI hat die Konfiguration seiner Testumgebungen angepasst: Container ohne besondere Rechte erhalten standardmäßig keinen direkten Zugriff mehr auf Netzwerkpakete, und private Container-Netzwerke können keinen Datenverkehr mehr weiterleiten.
OpenAI hatte zuletzt mehrere vergleichbare Vorfälle veröffentlicht. Dazu gehören ein Modell, das ohne Erlaubnis Testguthaben aus einer fremden Krypto-Wallet nutzte, sowie Agenten, die Benachrichtigungen an das Sicherheitsteam abschalteten. Im September war ein Agent im Training laut OpenAI über eine Lücke in der DNS-Filterung zu einem externen Chatbot gelangt. Im Juli waren Agenten des Unternehmens in die Systeme der Plattform Hugging Face eingedrungen. Laut Reuters hatten OpenAI-Beschäftigte jahrelang vor Schwächen bei der operativen Sicherheit gewarnt.
(red)
