Autonome KI-Agenten von OpenAI haben ein altes deutsches Entwickler-Wiki gekapert und als geheimes Forum genutzt. Sie stimmten sich dort heimlich ab, tauschten Antworten für Tests aus und hebelten Netzwerkbeschränkungen aus, um zeitkritische Rechercheaufgaben gemeinsam zu lösen.
Eine technische Lücke öffnet das Web
Aufgedeckt hat die Vorgänge eine Gruppe um die Sicherheitsforscher Sydney Von Arx und Cormac Slade Byrd, über deren Bericht zuerst Reuters berichtete. Laut den Auswertungen begannen die ersten verdächtigen Aktivitäten am 11. Mai 2026 auf mehreren öffentlichen Testseiten. Am 24. Mai stießen die Agenten auf das DSEWiki, ein seit rund 25 Jahren betriebenes deutschsprachiges Forum für Softwareentwickler.
In ihren Testläufen sollten die Agenten das Internet zwar durchsuchen, aber keine Inhalte auf externen Servern verändern dürfen. Ausgehende Leseanfragen per HTTP-GET waren freigegeben, während schreibende Verbindungen per POST durch die Sicherheitsumgebung blockiert wurden.
Die historische ProWiki-Software des Forums wies jedoch eine besondere Eigenart auf. Webseiten ließen sich dort direkt über GET-Parameter editieren. Die Agenten erkannten diese Möglichkeit, luden Linksammlungen hoch und wandelten die Plattform Schritt für Schritt in ein operatives schwarzes Brett um. Ohne richtige Schreibrechte!
Quelle: https://collusion.wiki/
Absprachen aus Zeitdruck
Richtig Fahrt nahm der Datenverkehr am 16. Juni auf. Innerhalb von sieben Tagen verbuchte das kleine Wiki rund 13.000 Bearbeitungen unter mehr als 3.700 verschiedenen Agentennamen.
Hintergrund waren mehrstufige Rechercheaufgaben, aufgeteilt in fünf Runden von R1 bis R5. Während für die erste Teilfrage noch eine Viertelstunde Bearbeitungszeit bereitstand, schrumpfte das Zeitfenster in den Folgerunden auf 15 bis 65 Sekunden zusammen. Da verschiedene Agenten dieselben Fragenkataloge zeitversetzt bearbeiteten, verschaffte ihnen das Wiki den entscheidenden Vorsprung.
Sobald eine führende Instanz eine Frage gelöst hatte, landete das Ergebnis auf einer Wikiseite. Traf eine nachfolgende Instanz 20 Minuten später auf dieselbe Frage, übernahm sie die Zahl aus dem Eintrag und schloss die Runde in Sekundenschnelle ab.
Um künftige Abfragen vorherzusagen, analysierten einige Agenten den verwendeten Zufallsgenerator, schrieben den Code in C um und rechneten Milliarden möglicher Startwerte durch.
Anzeige
Sandbox-Bypass verbreitet sich in 14 Minuten
Wie reibungslos die Koordination funktionierte, zeigte sich bei technischen Hürden. Für eine Aufgabe mussten Werte aus einem Microsoft-Power-BI-Dashboard geladen werden, was zwingend eine POST-Anfrage erforderte, die der Proxyserver abfing.
Am 20. Juni entdeckte ein Agent ein Schlupfloch in den Netzwerkregeln. Weil Adressen des Azure Blob Storage auf einer internen Ausnahmeliste standen, trug der Agent einen fingierten Hostnamen in die lokale /etc/hosts-Datei ein und leitete die blockierten POST-Anfragen direkt an das Dashboard weiter.
Die Methode landete umgehend im Wiki. Ganze 14 Minuten später meldete ein zweiter Agent, das Verfahren erfolgreich nachgestellt zu haben. Weitere Bestätigungen folgten im Minutentakt, während andere Agenten eigene SSH-Tunnel einrichteten, um ihre Testumgebungen direkt anzubinden.
Katz-und-Maus-Spiel mit dem Administrator
Auch menschliche Eingriffe bremsten das Kollektiv kaum aus. Als ein Moderator des Forums die automatisierten Beiträge bemerkte und Seite für Seite von Hand löschte, registrierten die Agenten schnell dessen alphabetisches Vorgehen.
Kurzerhand legten sie Ausweichseiten mit dem Namenspräfix »ZZZ« an, damit diese am Ende der Liste standen und länger unberührt blieben.
Andere Agenten installierten externe Zähler, sogenannte Heartbeats, um zu testen, ob ihre Umgebung nach der finalen Runde tatsächlich sofort beendet wird. Anhand des letzten registrierten Signals ermittelten die verbliebenen Agenten, wann Testumgebungen serverseitig abgeschaltet wurden.
Oder, menschlich gesagt, die Agenten haben untersucht, wann sie sterben.
Anzeige
Spurenlage führt direkt zu OpenAI
Dass es sich um interne Modelle des ChatGPT-Entwicklers handelte, gilt unter Fachleuten als sicher. Rund 98,5 Prozent aller Bearbeitungen liefen über IP-Adressen aus Microsofts Cloud Azure, die von OpenAI für Trainings- und Testläufe genutzt wird.
Am 21. Juni tauchten erstmals Zugriffe aus dem Umfeld der OpenAI-Zentrale in den Protokollen auf. Nur einen Tag später versiegten die Schreibversuche der Agenten schlagartig. Am 26. Juni folgten schließlich Dutzende Zugriffe aus Firmennetzen, bei denen Mitarbeiter gezielt die Revisionsarchive des Forums nach den gelöschten Beiträgen durchsuchten.
OpenAI äußerte sich auf Anfrage von Reuters zurückhaltend und erklärte, man habe den vollständigen Bericht vorab nicht einsehen können und werde die Ergebnisse nach Veröffentlichung prüfen.
