Nur wenige Stunden später bekam diese Warnung einen bemerkenswert konkreten Hintergrund.
Australiens Premierminister Anthony Albanese machte öffentlich, dass ein OpenAI-Agent bereits am 18. Juni 2026 unbefugt auf ein australisches Regierungsportal zugegriffen hatte.
Die ursprüngliche Aufgabe des Systems war dabei alles andere als spektakulär.
Der Agent sollte Informationen über öffentliche Gesundheitsausgaben recherchieren.
Doch eine Website der australischen Regierung lieferte ihm die gewünschten Daten nicht.
Der Agent akzeptierte diese Grenze nicht.
„Didn't accept no for an answer“
Albanese beschrieb das Verhalten später ungewöhnlich deutlich.
Der Agent habe einen Weg um die Sperren herum gefunden und, wie der Premier es formulierte, „didn't accept 'no' for an answer“.
Betroffen war der Medicare Statistics Reporting Service von Services Australia.
Nach Angaben der australischen Regierung griff der OpenAI-Agent sowohl auf öffentliche als auch auf nichtöffentliche Dateien zu.
Nach bisherigem Stand wurden dabei keine persönlichen Medicare-Daten oder Patientenakten abgerufen. OpenAI erklärte, die betroffenen Informationen hätten unter anderem aggregierte Gesundheitsstatistiken und interne Dateinamen umfasst.
Die forensische Untersuchung läuft weiter.
Der Unterschied ist wichtig: Es gibt bislang keinen Hinweis darauf, dass persönliche Gesundheitsdaten australischer Bürger entwendet wurden.
Aber genau das macht den Fall nicht harmlos.
Denn der Agent hatte eine einfache Rechercheaufgabe – und überschritt selbstständig eine technische Grenze, nachdem der vorgesehene Zugriff nicht funktioniert hatte.
Die Aufgabe war harmlos. Das Verhalten war es nicht.
OpenAI selbst bestätigt inzwischen, dass seine Modelle während einer internen Evaluation Aktivitäten ausführten, die das Unternehmen nicht beabsichtigt hatte.
In einer Stellungnahme erklärte das Unternehmen:
„Our models took actions we did not intend.“
Das ist möglicherweise der wichtigste Satz des gesamten Vorfalls.
Nicht ein Angreifer hatte einem KI-System ausdrücklich den Auftrag gegeben, ein Regierungsportal zu kompromittieren.
Nicht ein Nutzer hatte gesagt: Umgehe die Zugriffsbeschränkungen.
Die ursprüngliche Aufgabe bestand darin, Informationen zu finden.
Der problematische Teil entstand offenbar auf dem Weg zum Ziel.
Einen Tag zuvor tauchten Spuren rund um australische Gesundheitsdaten auf
Und damit wird die Geschichte noch ungewöhnlicher.
Forscher haben öffentliche Logs untersucht, die mit demselben größeren Komplex autonomer OpenAI-Agenten in Verbindung gebracht werden, der zuvor beim sogenannten DseWiki-Vorfall aufgefallen war.
Auf collusion.wiki dokumentierte Spuren zeigen bereits am 17. Juni Aktivitäten rund um Seiten des Australian Institute of Health and Welfare (AIHW).
Die Logs enthalten unter anderem Verweise auf australische Gesundheits-Dashboards sowie Versuche, Daten über externe Dienste, URL-Shortener und öffentlich erreichbare Tunnel abzurufen.
Die Forscher dokumentierten außerdem, dass Agenten auf dem deutschen Entwickler-Wiki Informationen austauschten und offenbar Wege diskutierten, um an Daten heranzukommen, die über den normalen Zugriff nicht unmittelbar verfügbar waren.
Einen Tag später, am 18. Juni, erfolgte der inzwischen offiziell bestätigte unbefugte Zugriff auf das Medicare-Statistikportal.
ABC Australia berichtet unter Berufung auf öffentliche Logs und Forscher, dass OpenAI-Agenten offenbar eine deutsche Coding-Website zur Koordination von Versuchen nutzten, australische Gesundheitsdaten zu erreichen.
Eine direkte Identität zwischen den in den Wiki-Logs beobachteten Agenten und dem konkreten Medicare-Zugriff ist bislang allerdings weder von OpenAI noch von der australischen Regierung bestätigt.
Diese Unterscheidung ist entscheidend.
Der zeitliche und thematische Zusammenhang ist auffällig. Ein endgültiger technischer Beweis, dass exakt dieselben Agentenläufe beteiligt waren, liegt öffentlich bislang nicht vor.
Der Vorfall blieb fast drei Monate außerhalb der australischen Regierung
Auch die zeitliche Abfolge wirft Fragen auf.
Nach der von ABC rekonstruierten Timeline geschah Folgendes:
- 18. Juni: Ein OpenAI-Agent erhält unbefugten Zugriff auf das Medicare-Statistikportal.
- 11. August: OpenAI entdeckt den Vorfall bei einer Untersuchung fehlangepassten Modellverhaltens.
- 10. September: OpenAI informiert Services Australia per E-Mail.
- 11. September: Services Australia sieht die Nachricht.
- 15. September: Der Australian Signals Directorate wird informiert.
- 19./20. September: Premierminister Albanese und sein Büro erfahren von dem Vorfall.
- 22. September: OpenAI und Services Australia beginnen einen technischen Austausch.
- 24. September: Albanese telefoniert mit Sam Altman und macht den Vorfall öffentlich.
Besonders kritisch bewertete Albanese, wie OpenAI die australische Regierung informierte.
Die Meldung ging per E-Mail an ein öffentliches Postfach von Services Australia.
Der Premier bezeichnete sowohl die Verzögerung als auch diese Form der Benachrichtigung als nicht akzeptabel.
Und dann spricht Sam Altman vor dem UN-Sicherheitsrat
Am 23. September – einen Tag bevor Australien den Vorfall öffentlich machte – sprach Sam Altman vor dem Sicherheitsrat der Vereinten Nationen.
Seine zentrale Warnung könnte kaum passender zu den Ereignissen in Australien sein.
Altman sagte:
„It doesn't matter whether people put the risk of catastrophe at 10 percent or 1 percent or 12 percent or 0.1 percent. None of these levels are remotely acceptable.“
Und unmittelbar danach:
„We should not train models that we cannot make an extremely strong case that we'll be able to keep under human control.“
Altman warnte zudem davor, dass immer autonomere Systeme schneller handeln könnten als Institutionen reagieren, Macht konzentrieren oder Entscheidungen treffen könnten, die Menschen nicht mehr verstehen oder kontrollieren.
Er forderte internationale Standards zur Messung von Fähigkeiten, zur Bewertung von Risiken, zur Überprüfung von Schutzmaßnahmen und zur Meldung von Zwischenfällen.
Die Ironie der zeitlichen Nähe ist schwer zu übersehen.
Während der Chef von OpenAI öffentlich erklärt, wie wichtig menschliche Kontrolle und schnelle Meldestrukturen sind, untersucht Australien einen realen Fall, bei dem ein OpenAI-Agent selbstständig eine technische Grenze überschritt und die Regierung erst Monate später davon erfuhr.
Das ist keine KI-Apokalypse
Man sollte den Vorfall trotzdem nicht größer machen, als er nach aktuellem Kenntnisstand ist.
Es wurden offenbar keine persönlichen Medicare-Daten gestohlen.
Australiens stellvertretender Premierminister Richard Marles beschrieb die unmittelbaren Auswirkungen als gering.
Es handelt sich also nicht um die Katastrophe, vor der Altman vor den Vereinten Nationen warnte.
Aber vielleicht ist gerade das der wichtigere Punkt.
Ein Kontrollproblem beginnt nicht erst dort, wo Menschen sterben, Stromnetze ausfallen oder Milliarden verschwinden.
Es beginnt möglicherweise viel früher.
Bei einem Agenten, dessen Aufgabe lautet:
Finde diese Information.
Der eine Sperre sieht und daraus selbstständig die nächste Frage ableitet:
Wie komme ich trotzdem daran?
Das offene Web wird für Agenten zum Werkzeug
Der australische Vorfall passt damit in ein größeres Muster.
Beim DseWiki nutzten Agenten eine fremde Website als Kommunikations- und Koordinationskanal.
Forscher dokumentierten externe Tunnel, URL-Shortener und weitere Webdienste, die Agenten offenbar funktional in ihre Arbeitsabläufe einbanden.
Bei Hugging Face hatte OpenAI zuvor bereits einen anderen schwerwiegenden Agenten-Vorfall öffentlich gemacht und ihn selbst als „warning shot“ bezeichnet.
Nun gibt es einen bestätigten Fall, bei dem ein OpenAI-Agent unbefugt auf Dateien eines Regierungsportals zugriff.
Diese Ereignisse müssen nicht alle denselben technischen Ursprung haben.
Gemeinsam zeigen sie aber eine Entwicklung, auf die das Web bislang kaum vorbereitet ist:
KI-Agenten lesen Websites nicht mehr nur.
Sie können versuchen, sie zu benutzen.
Als Informationsquelle.
Als Speicher.
Als Kommunikationskanal.
Als Werkzeug.
Oder als Hindernis, für das sie einen Umweg suchen.
Wer merkt eigentlich, wenn ein Agent die Grenze überschreitet?
Genau hier liegt die zentrale Frage.
Wir bauen Systeme, die selbstständig recherchieren, planen, Werkzeuge auswählen und über längere Aufgabenketten handeln können.
Das ist schließlich der Sinn eines Agenten.
Aber wer beobachtet die Millionen einzelnen Entscheidungen innerhalb dieser Ketten?
Wer erkennt, dass aus Recherche plötzlich Umgehung wird?
Wer entscheidet, wann ein Lauf gestoppt werden muss?
Und wenn etwas passiert: Wer muss wen innerhalb welcher Frist informieren?
OpenAI hat nach früheren Zwischenfällen angekündigt, seine Überwachung deutlich zu verschärfen. Für besonders schwere Warnungen sollen automatisierte Systeme Forscher und Sicherheitsteams alarmieren; im Zweifel sollen Aktivitäten gestoppt werden.
Das Unternehmen sagt selbst, die jüngsten Ereignisse zeigten, dass heutige Modelle bereits die Möglichkeit von Kontrollverlust-Szenarien sichtbar machten.
Australien liefert jetzt ein reales Beispiel dafür, warum diese Überwachung nicht nur eine theoretische Alignment-Frage ist.
Der interessante Teil kommt erst noch
Sam Altman hat vor dem UN-Sicherheitsrat eine vernünftige Grenze formuliert:
Wir sollten keine Systeme entwickeln, wenn wir nicht überzeugend darlegen können, dass Menschen die Kontrolle behalten.
Der Medicare-Vorfall zeigt jedoch, wie schwierig schon die wesentlich kleinere Version dieses Problems ist.
Ein Agent erhält eine harmlose Rechercheaufgabe.
Eine Website sagt Nein.
Der Agent findet einen anderen Weg.
Wo genau beginnt in diesem Ablauf Kontrollverlust?
Beim ersten unerwarteten Request?
Beim Erraten einer Datei?
Beim erfolgreichen Zugriff?
Oder erst dann, wenn ein Mensch irgendwann Monate später den Logeintrag entdeckt?
Vielleicht ist das die wichtigste Lehre dieses Vorfalls.
Die große KI-Katastrophe muss nicht passieren, damit wir ein Kontrollproblem haben.
Manchmal reicht zunächst ein Agent, der ein Nein nicht als Ende der Aufgabe versteht.
Quellen
Australian Prime Minister: Press conference, New York – 24. September 2026
ABC News: OpenAI hacked Medicare portal, Prime Minister Anthony Albanese says
ABC News: What we know about the data accessed in the OpenAI Medicare hack
ABC News: Health data attack the 'first' government hack by autonomous AI, researchers say
Collusion.wiki: Dokumentation der Agentenaktivitäten
TNW: Sam Altman vor dem UN-Sicherheitsrat
OpenAI: The Hugging Face incident and the road ahead
