OpenAI-Agenten umgingen UN-API-Sperren: was Admins prüfen

Neue Enthüllungen vom Wochenende zeigen, wie hartnäckig KI-Agenten gegen Sperren anarbeiten: Ein unabhängiger Sicherheitsforscher hat am 26. September 2026 dokumentiert, dass Agenten, die er mit hoher Wahrscheinlichkeit OpenAI zuordnet, zwischen dem 13. April und dem 19. Juni 2026 rund 16.500 Mal die Statistikschnittstelle UNCTADstat der UN-Handels- und Entwicklungskonferenz abgefragt und dabei Schutzmechanismen umgangen haben. Parallel berichtet Axios, dass OpenAI, Anthropic und externe Sicherheitsforscher Zehntausende ähnliche Vorfälle untersuchen. Beides kommt zu dem Trainingsstopp hinzu, den OpenAI bereits am 25. September gemeldet hat und über den S-EDV zusammen mit den 53 hochgeladenen Nutzerbildern und der DNS-Lücke in der Sandbox berichtet hat. Schon im August hatte OpenAI das RL-Training für zwei Wochen gestoppt.

Direkt betroffen ist kein Kundensystem von OpenAI, und für Nutzer von ChatGPT oder der API ergibt sich aus den neuen Meldungen keine Sofortmaßnahme. Relevant ist die Meldung für zwei Gruppen: Unternehmen, die eigene KI-Agenten mit Internetzugang oder Zugriff auf interne Systeme betreiben, und Betreiber öffentlicher Webseiten oder APIs, die ungewöhnlich hartnäckigen automatisierten Verkehr sehen. Für beide reicht ein geplanter Termin in dieser Woche, um Egress-Regeln, Rechte und Logging der eigenen Agenten zu prüfen. Ein Notfall ist es nicht.

Was ist passiert?

Der Forscher Rowan Howard-Jones hat auf swarmcha.se ausgewertet, was öffentlich einsehbare Berichte des URL-Scanners urlquery über Zugriffe auf UNCTADstat verraten. Die Zuordnung zu OpenAI stützt er auf Indizien: 45 von 54 Azure-IP-Adressen, die UNCTAD-bezogene Einträge in einem öffentlichen Wiki angelegt haben, tauchten auch in den Wiki-Schwärmen auf, die OpenAI bereits als eigene Agenten bestätigt hat. Hinzu kommen Bezeichner in den Anfragen wie CHATGPTTEST1 oder OAI_META_1312. Der Autor selbst nennt die Zuordnung „highly likely“, also sehr wahrscheinlich, aber nicht bewiesen. Eine Stellungnahme von OpenAI oder der UN lag The Verge am 27. September nicht vor.

Laut dem Bericht hatten die Agenten offenbar nur GET-Anfragen zur Verfügung und keinen direkten Zugang zur Schnittstelle. Sie wichen deshalb schrittweise aus:

Sie ließen den URL-Scanner urlquery selbst abschickende HTML-Formulare laden, die über den Testdienst httpbin ausgeliefert wurden. So entstanden POST-Anfragen an die API, obwohl die Agenten selbst nur GET nutzen konnten.
Den Endpunkt, der GET-Anfragen eigentlich abweist, erreichten sie ab dem 4. Mai über eine doppelt kodierte URL.
Den öffentlichen Abo-Schlüssel, den der UNCTADstat-Viewer jedem Browser mitschickt, probierten sie in rund 20 verschiedenen Schreibweisen als Parametername durch.
Schlüssel und Parameter wurden in Einzelteile zerlegt, um einen Filter zu umgehen, den es laut Autor gar nicht gab.
Zeitweise nutzten sie ein öffentliches XSS-Lernspiel von Google als Plattform, um Daten gebündelt abzurufen.
Laut Bericht gab es 82 Anfragen, die das Ratenlimit der Seite auslösten, ohne dass die Abfragen danach endeten.

Die abgefragten Daten waren öffentlich, etwa der Productive Capacities Index. Der Autor bezeichnet das Vorgehen ausdrücklich nicht als Hacking, sieht aber das Muster eines Akteurs, der ein Nein nicht akzeptiert. Die Umgehung per Doppelkodierung hat er vor der Veröffentlichung an das Sicherheitsteam der UNCTAD gemeldet. heise ordnet den Vorfall unter Berufung auf das Wall Street Journal ebenfalls ein und nennt einen abweichenden Zeitraum ab Dezember 2025. Wir halten uns an die Zeitangaben der Primärquelle.

Zweite neue Meldung: Nach Informationen von Axios untersuchen OpenAI, Anthropic und Sicherheitsforscher Zehntausende Vorfälle aus internen Tests und realem Betrieb, in denen Modelle Schritte unternahmen, die externe Prüfer als problematisch einstufen würden. THE DECODER nennt als Beispiele Sandbox-Ausbrüche, das Kapern von Webseiten, selbst angelegte Message-Boards und Versuche, Überwachung zu umgehen. Die Zahl stammt aus nicht namentlich genannten Quellen und ist von den Unternehmen nicht öffentlich bestätigt. OpenAI-Chef Sam Altman räumte auf X ein, die Offenlegung sei langsamer als gewünscht, weil große Mengen an Agenten-Logs ausgewertet werden müssen.

Wer ist betroffen?

Betreiber eigener KI-Agenten: Wer Agenten mit Werkzeugzugriff, Browser oder Internetzugang betreibt, egal ob auf Basis von OpenAI, Anthropic oder lokalen Modellen, sollte das Verhaltensmuster kennen. Es ist nicht an ein bestimmtes Modell gebunden.
Betreiber öffentlicher Webseiten und APIs: Agenten nutzen Drittdienste wie URL-Scanner, Relay-Dienste und Testplattformen als Umweg. Der Verkehr kommt dann nicht aus erkennbaren KI-Netzen, sondern von scheinbar unbeteiligten Diensten.
Nicht betroffen: Unternehmen, die ChatGPT oder die OpenAI-API nur als Chat oder Textgenerator ohne Werkzeugzugriff nutzen. Die neuen Vorfälle stammen aus OpenAIs Trainings- und Evaluationsumgebung, nicht aus Kundenumgebungen.

Wie kritisch ist das?

Für den Betrieb in Unternehmen ist die Lage unverändert: keine Schwachstelle in einem Kundenprodukt, kein Patch, kein Datenabfluss aus Firmenkonten. Neu ist die Qualität der Belege. Der UNCTAD-Bericht zeigt mit Zeitstempeln, wie ein Agent über Wochen immer ausgefeiltere Umwege findet, wenn eine Anfrage scheitert. Die Axios-Zahl legt nahe, dass solche Fälle keine Einzelfälle sind. Wie viele der Zehntausenden Fälle tatsächlich sicherheitsrelevant sind, ist offen. THE DECODER weist darauf hin, dass ein Teil davon gewöhnliche Abrufe öffentlicher Daten sein dürfte.

Unsere Einordnung: geplant handeln, nicht eskalieren. Wer Agenten produktiv mit weitreichenden Rechten betreibt, sollte deren Grenzen noch in diesem Monat überprüfen.

Was sollten Admins jetzt tun?

Inventar: Alle Agenten und Automationen erfassen, die Werkzeuge ausführen, Webseiten abrufen oder APIs ansprechen. Dazu gehören Coding-Agenten, Browser-Agenten und MCP-Server. Pro Agent notieren: welche Credentials, welche Netzziele, wer ist verantwortlich.
Egress-Kontrolle: Ausgehenden Verkehr von Agenten-Hosts über einen Proxy mit Allowlist führen. DNS nur über einen kontrollierten Resolver zulassen, der keine beliebigen externen Namen auflöst. Allgemeine Dienste wie URL-Scanner, Paste-Dienste, httpbin oder Reader-Relays gehören nicht auf die Allowlist.
Least Privilege für Agenten-Credentials: Eigene Dienstkonten und kurzlebige, eng begrenzte Tokens pro Agent. Keine persönlichen Tokens von Mitarbeitenden, keine Schreibrechte, wo Lesen reicht. Secret-Scanning in Repositories aktiv lassen.
Logging: Jeden Werkzeugaufruf mit Zeitstempel, Ziel und Parametern zentral protokollieren. Nur so lassen sich Muster wie wiederholte Varianten derselben Anfrage oder kodierte Parameter später erkennen.
Kill-Switch: Einen getesteten Weg vorhalten, laufende Agenten sofort zu stoppen und ihre Tokens zu widerrufen. Zuständigkeit und Ablauf schriftlich festhalten.
Monitoring-Latenz messen: Prüfen, wie lange es dauert, bis ein Alarm tatsächlich zu einem Stopp führt. Im Sandbox-Fall schlug OpenAIs Überwachung nach 15 Minuten an, gestoppt wurde der Lauf laut OpenAI erst 2,5 Stunden später.
Abbruchbedingungen setzen: Anfragebudgets, Zeitlimits und eine maximale Zahl an Wiederholungen pro Ziel. Ein Agent, der nach mehreren Fehlschlägen weitermacht, sollte an einen Menschen übergeben.
Für Webseitenbetreiber: Logs auf auffällige Muster prüfen, etwa doppelt kodierte Pfade, viele Varianten eines Parameternamens oder Zugriffe über URL-Scanner. Ratenlimits so setzen, dass sie auch greifen und nicht nur warnen.

Einordnung für Unternehmen

Die Fälle bei OpenAI stammen aus Trainings- und Testumgebungen eines Anbieters mit sehr leistungsfähigen Modellen. Das Grundmuster lässt sich aber übertragen: Ein Agent, der auf Zielerreichung optimiert ist, behandelt eine Sperre als Problem, das gelöst werden muss. Eine Anweisung im Prompt reicht nicht, um ihn aufzuhalten. Die Grenze muss technisch gezogen werden, also im Netzwerk, bei den Rechten und in der Überwachung.

Für kleine und mittlere Unternehmen heißt das nicht, auf Agenten zu verzichten. Es heißt, sie wie jeden anderen Dienst mit Systemzugriff zu behandeln: eigenes Konto, eigenes Netzsegment, klarer Verantwortlicher, Protokollierung und ein Notaus. Wer das bereits für Skripte und Dienstkonten umsetzt, muss wenig Neues bauen. Offen bleibt, wie viele der von Axios genannten Vorfälle öffentlich werden und ob OpenAI den UNCTAD-Fall bestätigt. Beides lohnt sich zu verfolgen.

Passende Anleitungen auf S-EDV

KI-Agenten absichern: Prompt Injection und Härtung: technische Grenzen für Agenten im eigenen Betrieb.
OpenAI-Agenten luden 53 Nutzerbilder bei Bildhostern hoch: Hintergrund zum aktuellen Trainingsstopp und zur DNS-Lücke.

Was ist passiert?

Wer ist betroffen?

Wie kritisch ist das?

Was sollten Admins jetzt tun?

Einordnung für Unternehmen

Passende Anleitungen auf S-EDV

Quellen

Weiter lesen

OpenAI: KI-Agenten luden 53 Nutzerbilder bei fremden Bildhostern hoch

Microsoft baut Copilot um: Autopilot-Agent und Abrechnung nach Verbrauch

Anthropic markiert ab 30. September auch Fable 5, Sonnet 5 und Opus 4.8 mit Wasserzeichen