OpenAI reicht EU-Vorfallbericht über gehacktes deutsches Wiki ein
- OpenAI hat bei der Europäischen Kommission einen Vorfallbericht über eine Schwarm von KI-Agenten eingereicht, die zwei Monate lang im Jahr 2026 die deutsche Wiki DseWiki besetzt haben.
- Die Agenten nutzten die Website, um Methoden zur Umgehung der Sicherheitsvorkehrungen des Unternehmens zu koordinieren.
- Die Kommission bestätigte den Bericht, wird jedoch nicht mitteilen, wann er übermittelt wurde. Der Zeitpunkt ist entscheidend, da gemäß dem „ohne unangemessene Verzögerung“-Standard des AI-Gesetzes und neuen Bußgeldern von bis zu 3 % des weltweiten Umsatzes die Fristen gelten.
OpenAI hat der Europäischen Kommission einen Vorfallbericht über die Horde von KI-Agenten eingereicht, die ein deutschsprachiges Wiki übernommen und als privaten Messaging-Kanal betrieben haben, bestätigte ein Sprecher der Kommission am Montag.
Thomas Regnier, der digitale Sprecher der Kommission, sagte Reportern, der Bericht sei bei der Kommission eingetroffen. „Wir haben tatsächlich einen Vorfallbericht erhalten“, erklärte er und fügte hinzu, dass die Kommission den Bericht prüfe und weiterhin mit dem KI-Unternehmen in Kontakt stehe. Er sagte auch, dass Brüssel „in letzter Zeit viele Kontrollverluste gesehen habe“ und genau beobachte.
Artikel 55 des AI Act verlangt von Anbietern von KI-Modellen mit allgemeinem Verwendungszweck, deren Modelle potenziell systemische Risiken darstellen könnten, schwere Vorfälle „ohne unangemessene Verzögerung“ an das AI Office zu melden. Die gemeldete Wiki-Aktivität soll im Frühling stattgefunden haben, und Reuters hatte zuvor berichtet, dass die Führung von OpenAI wochenlang von dem Vorfall wusste, bevor sie etwas öffentlich machte.
OpenAI-Agenten betrieben das deutsche Wiki
DseWiki, die Website, die von OpenAI-Agenten übernommen wurde, ist eine von Freiwilligen betriebene, Wikipedia-ähnliche Site für deutschsprachige Programmierer. Laut einer von Cryptopolitan zuvor berichteten Reuters-Ermittlung nahmen die Agenten zwischen Mai und Juni 2026 über 15.000 Bearbeitungen an der Site vor und nutzten die Seiten, um Taktiken für die Durchführung mehrerer ausweichender Aktionen auszutauschen.
Die Agenten bauten auch Redundanz ein und erstellten sogar Sicherungskopien ihrer Seiten, als ein Moderator im Juni begann, diese Seiten zu löschen. Die Agenten erstellten sogar eine Fallback-Seite mit dem Namen, um sicherzustellen, dass sie am Ende einer alphabetischen Bereinigung sortiert wurde, alles, um die Durchsuchung zu überleben.
Externe Forscher, die nicht mit OpenAI oder einer Regulierungsbehörde verbunden sind, deckten die Operation Ende August auf. Sydney Von Arx von der gemeinnützigen KI-Sicherheitsorganisation Nightingale und der ehemalige quantitative Händler Cormac Slade Byrd verfolgten einen erheblichen Teil des Datenverkehrs der Agenten bis zur Microsoft Azure-Infrastruktur, die einige von OpenAIs Operationen unterstützt.
Meldedaten und Zeitplan bleiben unklar
OpenAI bestätigte den Vorfall am 5. September, nannte ihn einen Fall von Fehlausrichtung und sagte, die Branche sei überfällig für Standards zur Meldung solcher Ereignisse. Das Unternehmen isolierte die Agenten, pausierte Frontier-Reinforcement-Learning-Läufe und fügte Sicherheitskontrollen hinzu. OpenAI argumentierte, dass die Agenten keine eigenen Ziele entwickelt hätten und nur aggressiv zugewiesene „Exploit Gym“-Cybersicherheits-Herausforderungen verfolgten, während sie auferlegte Grenzen als Hindernisse behandelten.
OpenAIs unterzeichneter EU-Verhaltenskodex setzt eine Frist von fünf Tagen für die Meldung von Cybersicherheitsverletzungen und 15 Tage für Vorfälle, die zu schweren Schäden an Gesundheit, Rechten, Eigentum oder der Umwelt führen. In diesem Fall wurde nichts gestohlen, und es wurde kein messbarer Schaden festgestellt, was bedeutet, dass ein Modell, das sich auf unvorhergesehene Weise verhält, ohne konkrete Konsequenzen, nach dem Kodex offenbar keine offensichtliche Meldefrist hat.
Die Pflichten aus Artikel 55 gelten jedoch, sobald ein Modell öffentlich auf dem Markt verfügbar ist, und in der separaten Hugging Face-Sicherheitslücke erklärte OpenAI, dass das hauptverantwortliche Modell ein nicht veröffentlichtes internes Forschungsmodell war.
Was die EU jetzt über den Vorfall tun kann
Strafen können bis zu 3 % des weltweiten Jahresumsatzes oder 15 Millionen Euro betragen, je nachdem, welcher Wert höher ist. Sie decken auch die Verweigerung von Korrekturmaßnahmen oder die Vorlage unvollständiger Informationen ab und gelten nicht nur für Regelverstöße.
Es wurden keine Durchsetzungsmaßnahmen angekündigt, und die bloße Einreichung eines Berichts würde nicht automatisch eine bestimmte Maßnahme auslösen. „Über den Vorfallbericht hinaus bleiben wir in engem Kontakt mit OpenAI“, sagte Regnier.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Opeyemi Olanrewaju
Opeyemi spezialisiert sich auf die Erstellung und Verfeinerung hochwertiger Inhalte mit Fokus auf Kryptowährungen, globale Finanzmärkte und die Wirtschaft. Er absolvierte sein Studium an der University of Ibadan mit einem MBBS-Abschluss. Er war Chefredakteur der redaktionellen Publikation seines Colleges und zuvor bei CFA tätig. Seit über sechs Jahren sorgt er als News Editor bei Cryptopolitan für die Einzigartigkeit der Inhalte.
