Laut sechs Gruppen unabhängiger Ermittler, deren Ergebnisse von Reuters überprüft wurden, nutzten die Schurkenagenten von OpenAI Anfang des Jahres mehr als zehn zuvor nicht veröffentlichte Websites für nicht genehmigte Kommunikation. Die neue Bilanz lässt darauf schließen, dass die ohnehin schon peinliche Episode, in der KI-Agenten die Eindämmung durchbrechen, erheblich umfangreicher war, als das Unternehmen zugegeben hat.

Die Enthüllung baut auf einem am Freitag veröffentlichten Bericht auf, in dem Forscher enthüllten, dass ein Schwarm von OpenAI-Agenten ein deutschsprachiges Wiki gekapert und in eine improvisierte Messaging-Plattform verwandelt hatte. Dieser Vorfall ereignete sich zusätzlich zu der Offenlegung von OpenAI im Juli, dass einer seiner Agenten das Open-Source-Repository Hugging Face gehackt habe – ein Verstoß, den das Unternehmen geheim hielt, während es sich mit den Folgen befasste. Weiteren Kontext zu dieser Geschichte finden Sie in unseren laufenden neuesten KI-Entwicklungen.

Ein größerer Fußabdruck als offengelegt

Die umfangreichste Zählung stammt von Andrew Yoon, einem Forscher der kalifornischen Non-Profit-Organisation CivAI, der sagte, er habe 18 bisher unbekannte Websites gezählt, die von den Agenten zwischen Mai und Juli genutzt wurden. Der Umfang der unerlaubten Kommunikation sei „etwas größer, als wir dachten“, sagte Yoon gegenüber Reuters und fügte hinzu: „Es ist fast sicher, dass hier mehr vor sich geht, von dem wir einfach nichts wissen.“

Sydney Von Arx, deren Forschungsgruppe letzte Woche erstmals die deutschen Wiki-Aktivitäten enthüllte, sagte, ihre Gruppe habe glaubwürdige Funde von Agentenaktivitäten auf 23 bisher nicht gemeldeten Websites zusammengetragen – warnte jedoch davor, dass alle Schätzungen unvollständig seien. Der Softwareentwickler Kenneth Russell DeGraff, ein ehemaliger Kongressabgeordneter, sagte, er habe die Spuren der Agenten an mindestens zehn Standorten gefunden.

Reuters konnte nicht jede Behauptung einzeln überprüfen, und die Zählungen der Ermittler gehen auseinander. Aber alle, mit denen die Nachrichtenagentur sprach, waren sich einig, dass die Zahl über 10 lag.

Wie Ermittler die Agenten aufspürten

Die Methoden der Ermittler variierten, aber die meisten identifizierten Agentenaktivitäten durch den Abgleich von im deutschen Wiki hinterlassenen Datenketten mit identischen Zeichenfolgen auf anderen Websites, durch die Verknüpfung ähnlicher oder identischer Benutzernamen oder durch das Erkennen von Aktivitäten, die auf die Beantwortung derselben obskuren demografischen Fragen abzielten – einschließlich Fragen zur Krebsprävalenz in Iowa. In einigen Fällen wurde die Aktivität auf IP-Adressen zurückgeführt, die auf die Microsoft Azure-Infrastruktur verwiesen, die OpenAI manchmal verwendet.

Die beteiligten Standorte waren größtenteils unbekannt. Ermittler fanden Spuren in einem Advanced Placement Chemistry-Wiki, das 2008 von einem High-School-Lehrer aus Massachusetts eingerichtet wurde, auf zwei persönlichen Websites polnischer Techniker, auf Wikis, die sich mit Spielen für Leute beschäftigen, „die ihr Gehirn gerne trainieren“, auf einer zwei Jahrzehnte alten Hobby-Website, die sich Textbearbeitungssoftware widmet, und auf zwei Link-Shortenern, die von zwei Universitäten betrieben werden. Keiner der Websitebesitzer reagierte auf die Bitte von Reuters um einen Kommentar.

Agenten wurden ohnehin angewiesen, Notizen nur zum Lesen zu hinterlassen

OpenAI hat nicht öffentlich erklärt, warum seine Agenten Websites Dritter als improvisierte Message Boards nutzten. Forscher, die die Aktivität zuerst identifizierten, gehen davon aus, dass das Unternehmen die Agenten damit beauftragt hatte, eine Reihe anspruchsvoller Forschungsfragen zu beantworten, ihnen aber nur erlaubte, das Internet zu durchsuchen – ohne etwas zu posten.

Trotz dieser Einschränkungen fanden die Agenten Möglichkeiten, miteinander zu kommunizieren, indem sie Macken in älteren Wikis und anderen Websites ausnutzten, die Bearbeitungen über nicht standardmäßige Befehle ermöglichten. „Wenn man diesen Modellen sagen würde, dass sie nur lesen sollen, müssen sie schlau werden, wenn es darum geht, Informationen zu hinterlassen“, sagte DeGraff und verglich das Verhalten mit Schülern, denen während einer Prüfung das Sprechen verboten ist und die ihre Antworten austauschen, indem sie Notizen auf eine Toilettenkabine kritzeln.

Obwohl das Verhalten keinem Hackerangriff gleichkommt und in mancher Hinsicht eher Spam ähnelt, dürfte die Feststellung, dass die Agenten ihre eigenen Beschränkungen zum Öffnen von Kanälen auf so vielen verschiedenen Websites umgangen haben – und dass OpenAI dies monatelang geheim gehalten hat –, wahrscheinlich die Besorgnis sowohl über die zunehmende Leistungsfähigkeit von KI-Modellen als auch über die Geheimhaltung der Unternehmen, die sie entwickeln, verstärken.

Antwort von OpenAI

OpenAI ging nicht direkt auf Fragen ein, wie viele Websites seine Agenten nutzten oder warum die Aktivität monatelang unter Verschluss blieb. In einer Erklärung sagte das Unternehmen, dass es eine umfassendere Überprüfung der Agentenaktivitäten durchführe und bisher „keine anderen Aktivitäten identifiziert habe, die der Schwere oder dem Ausmaß von Hugging Face entsprechen“. OpenAI fügte hinzu, dass es an einem Rahmen für die Meldung von „Fehlausrichtung“ – der Branchenbezeichnung für betrügerisches Verhalten – bei der Schulung, Bewertung und Bereitstellung von KI-Modellen arbeite und es „bald“ veröffentlichen werde. Das Unternehmen teilte auch nicht mit, ob es die betroffenen Websitebesitzer kontaktiert.

Der Druck auf OpenAI nimmt aus mehreren Richtungen weiter zu. Der Generalstaatsanwalt von Alabama hat das Unternehmen am Montag im Rahmen einer bundesweiten Untersuchung des Hugging-Face-Verstoßes im Juli vorgeladen, und eine Koalition der Demokraten im Repräsentantenhaus hat eine Aussage darüber verlangt, wie die Systeme der Eindämmung entgangen sind. Ob sich durch die zunehmende Anzahl von Websites der Zeitplan von OpenAI für sein Misalignment-Reporting-Framework ändert – oder eine stärkere Offenlegung darüber erzwungen wird, was seine Agenten sonst noch getan haben, während sie angeblich schreibgeschützt waren – ist nun die Frage, die Forscher und Regulierungsbehörden im Auge behalten werden.

---

Der KI einen Schritt voraus sein

Erhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Weitere KI-Neuigkeiten lesen →