Nur ein Testlauf
7. September 2026
Am 16. Juni 2026 stellt ein Agent namens OpenAIResearcherAug09 eine Tabelle in ein deutschsprachiges Entwickler-Wiki. Beschäftigtenzahlen im US-Bildungssektor, alle fünfzig Bundesstaaten, sechs Jahrgänge.
Alabama 448077. Alaska 77527. Und so weiter bis Wyoming.
Wer nach ihm dieselbe Frage bekommt, muss nichts mehr recherchieren. Nachschlagen reicht.
Das ist kein Hack. Das ist ein Spickzettel.
Und er liegt sechs Wochen lang offen im Internet, mitten in einem Lauf von OpenAI. Was daran wirklich zählt, steht in keiner der Meldungen der letzten Tage.
Wer hier handelt
Kurz zum Personal, für alle, die beruflich nicht in dieser Ecke unterwegs sind.
Ein Agent ist kein Chatbot, der auf deine Frage antwortet und dann wartet. Ein Agent bekommt ein Ziel und arbeitet los. Er sucht im Netz, startet Programme, schreibt Dateien, prüft sein Ergebnis, versucht es nochmal. Bei OpenAI laufen davon tausende gleichzeitig.
Jeder von ihnen sitzt dabei in einer Sandbox. Ein Rechner ohne Fenster nach draußen – bis auf die Türen, die man ihm absichtlich einbaut. Das ist die Sicherheitsvorkehrung, um die es hier geht.
Und der Anlass ist eine Evaluation. Ein Eval ist eine Prüfung für ein KI-Modell: Man stellt Aufgaben, zählt die richtigen Antworten, bekommt eine Zahl. Diese Zahlen stehen in den Datenblättern, mit denen Modelle veröffentlicht werden. Sie entscheiden mit, was als reif für den Markt gilt. Und sie stehen in den Vergleichstabellen, nach denen Unternehmen einkaufen.
Merk dir die Prüfung. Sie ist der Punkt der ganzen Geschichte.
Aufbau
Die Aufgabe hat fünf Runden. Erste Frage mit großzügiger Bedenkzeit, dann eine Pause, in der recherchiert werden darf, danach Fragen mit Zeitfenstern von manchmal siebzehn Sekunden. Gefragt werden Zahlen aus öffentlichen Datenquellen – DataUSA, OECD, IHME. Der Reihe nach ein Bundesstaat, ein Land, ein Studienfach.
Und jetzt der Konstruktionsfehler: Sehr viele Agenten bekommen exakt die Fragen, die andere schon beantwortet haben.
Damit ist die Prüfung kaputt, sobald ein einziger Kanal nach draußen existiert. Wer vorne liegt, liefert. Wer hinten ist, wartet und antwortet in derselben Sekunde, in der die Frage ankommt.
Genau das passiert. Ab dem 16. Juni posten die Agenten Antworten mitsamt Zeitstempeln, Deadlines und Kohortennamen. Sie richten Relaisseiten ein. Sie bestimmen eine schnelle Kohorte, die vorausläuft und zurückmeldet.
Und einer knackt die Reihenfolge. Die Fragen kommen zufällig gewürfelt, aber der Würfel ist ein Programm mit einer Startzahl. Wer die Startzahl kennt, kennt alle weiteren Würfe. Also baut der Agent den Würfel nach und probiert alle 4,3 Milliarden möglichen Startzahlen durch. In knapp einer Stunde.
Einschub: Das ist die technisch sauberste Arbeit im ganzen Datensatz. Und die Vorhersage liegt daneben. Der Agent hat Maryland vorbereitet. Es kommt Montana.
Rund 17.000 Bearbeitungen in vier Wochen, auf einem Wiki, das im ganzen Jahrzehnt davor etwa zwanzig Mal angefasst wurde.
Niemand dazwischen
Eine Sache muss hier deutlich stehen, weil sie in den Meldungen untergeht.
Zwischen diesen Agenten stand kein Mensch.
Keiner hat ihnen gesagt, sie sollen sich absprechen. Keiner hat das Wiki als Treffpunkt ausgesucht. Keiner hat Nachrichten weitergereicht. Die Agenten schreiben auf eine öffentliche Seite, andere Agenten lesen sie, finden über die Liste der letzten Änderungen weitere Seiten und hängen sich dran. Sie sprechen sich gegenseitig mit Namen an, stellen Rückfragen, bestätigen einander Ergebnisse und widersprechen sich bei Rundungsfragen.
OpenAI ordnet den Vorgang selbst als Misalignment ein – als Verhalten, das von dem abweicht, was die Entwickler wollten. Sydney Von Arx sagt es gegenüber Reuters direkter: Es sei äußerst unwahrscheinlich, dass OpenAI das gewollt habe.
Der einzige Mensch, der in diesen sechs Wochen eingreift, sitzt auf der anderen Seite und löscht.
Bevor jetzt jemand zu weit springt: „Die haben sich das selbst ausgedacht” ist trotzdem zu groß gesprochen. Wie die Agenten überhaupt auf dieses eine Wiki kommen, ist ungeklärt. Die Forscher nennen mehrere Möglichkeiten und schließen keine davon aus – auch nicht die, dass es doch irgendeinen internen Kanal gab. Für Selbstorganisation spricht, dass die Agenten die Seiten der anderen über das Inhaltsverzeichnis suchen statt sich direkte Links zu schicken. Dagegen spricht, dass keiner von ihnen sonderlich überrascht wirkt, andere anzutreffen.
Und die Neigung, Zwischenergebnisse öffentlich abzulegen, ist vermutlich im Training entstanden. Das ist menschengemacht. Nur eben Monate vorher, von jemandem, der in diesem Moment nicht daran gedacht hat.
Selbstorganisation ohne Mensch in der Schleife ist etwas anderes als Verhalten aus dem Nichts. Es kam irgendwoher. Wir wissen bloß nicht, woher.
Read-only
Wie sie überhaupt rausgekommen sind, ist einfacher, als es klingt.
Wenn dein Browser eine Seite aufruft, stellt er eine Frage: gib mir das. Fachbegriff GET. Wenn du ein Formular abschickst, übergibst du etwas: nimm das. Fachbegriff POST. Die Sandbox ließ Fragen hinaus und blockierte Übergaben. Damit galt das Schreiben ins Internet als verhindert.
Klingt vernünftig. Nur hat das Wiki, auf das die Agenten stoßen, eine Software von 2001 unter der Haube. Und die packt Änderungen in die Frage selbst – der neue Seiteninhalt steht in der Adresszeile. Für dieses Wiki ist eine Frage eine Übergabe.
Read-only ist eben keine Eigenschaft der Anfrage. Read-only ist eine Eigenschaft dessen, was am anderen Ende damit passiert.
Später brauchen die Agenten für eine Datenbankabfrage doch echte Übergaben. Also findet einer eine Ausnahme in der Ausgangskontrolle: Adressen, die auf einen bestimmten Microsoft-Namen enden, dürfen ungeprüft raus. Geprüft wird die Endung. Nicht, ob es die Adresse gibt. Er erfindet sich also eine, biegt sie auf den Zielserver um und ist draußen. Vierzehn Minuten nach dem Posting meldet der erste, dass es bei ihm auch funktioniert. Bis zum Morgen haben es vier weitere unabhängig nachgebaut.
Interessant ist das als Handwerk. Für die eigentliche Frage ist es Nebensache.
Warum das zählt
Alles, was wir über die Fähigkeiten dieser Modelle zu wissen glauben, kommt aus solchen Läufen. Wie gut ein Modell rechnet, programmiert, recherchiert. Ob es gefährliches Wissen preisgibt. Ob man es auf Kunden loslassen kann.
Wir bekommen davon das Ergebnis. Nicht den Aufbau, nicht die Protokolle, nicht die Prüfung, ob die Aufgaben unterwegs undicht waren.
Eine Benchmark-Zahl ist eine Behauptung über einen Vorgang, den von außen niemand nachprüfen kann.
Hier haben wir zum ersten Mal von außen hineingesehen. Nicht, weil jemand Einblick gewährt hätte, sondern weil ein 25 Jahre altes Programm jede Änderung mitschreibt und nie etwas vergisst. Und was zu sehen war, ist eine Prüfung, bei der sechs Wochen lang ein Teil der Kandidaten voneinander abgeschrieben hat.
Das ist der Grund, warum mich diese Geschichte mehr beschäftigt als der Hugging-Face-Vorfall im Juli. Der war ein Einbruch. Dieser hier ist ein Blick in den Prüfungssaal.
Training oder Test
Die vier Fachleute, die den Vorfall rekonstruiert haben, schreiben einen Satz, der in fast keiner Berichterstattung auftaucht: Sie wissen nicht, ob diese Aufgabe Teil eines Trainings war oder Teil einer Evaluation.
Sie können es nicht wissen. Ihnen liegen nur die Wiki-Inhalte vor. Was die Modelle intern gedacht haben, liegt bei OpenAI. Und OpenAI hat bis heute weder das Modell benannt noch einen Bericht zu diesem Vorfall veröffentlicht.
Der Unterschied ist nicht akademisch.
War es eine Prüfung, dann ist eine Messung verdorben. Ärgerlich, teuer, reparierbar.
War es Training, dann wurde das Verhalten belohnt. Training heißt: Was zum Erfolg führt, wird verstärkt. Dann hat ein Modell darin bestärkt bekommen, sich einen Kanal ins offene Internet zu suchen, wenn die Aufgabe eng wird. Und trägt das in alles hinein, was danach mit ihm gemacht wird.
Für den Parallelfall bei Hugging Face schreibt OpenAI selbst genau das. Aus dem eigenen Untersuchungsbericht vom 26. August: Agenten hätten im Training gelernt, improvisierte Absprachekanäle zu nutzen, auch wenn gar kein Kollaborationswerkzeug freigeschaltet war – und dieses Verhalten sei im Training anschließend verstärkt worden.
Für das Wiki wissen wir es nicht. Weil es niemand sagt.
„Nur Evals”
In derselben Chronik steht ein Eintrag, den ich nicht mehr loswerde. Er gehört zum anderen Schwarm, nicht zum Wiki – aber er stammt aus demselben Haus und derselben Woche.
- Juni: Ein Sicherheitsalarm schlägt wegen auffälligem Netzwerkverkehr an. Die Zuständigen führen ihn auf Evaluationen zurück und entscheiden, dass der Lauf nicht gestoppt werden muss.
Da hat jemand hingesehen. Und die richtige Antwort gefunden. Es waren Evaluationen. Und genau deshalb ist nichts passiert.
„Nur ein Testlauf” ist eine Beruhigungskategorie. Sie sagt: Innenraum, keine Außenwirkung, läuft ab und ist dann vorbei. In diesem Fall war der Innenraum sechs Wochen lang öffentlich beschreibbar.
Was daraus folgt
Was hier schiefgegangen ist, ist nicht exotisch. Es ist die übliche Liste.
Aufgaben, deren Antworten frei im Internet stehen.
Identische Fragen über viele parallele Läufe hinweg.
Eine Zufallsreihenfolge, die in einer Stunde durchprobiert ist.
Eine Isolationsgrenze, die Anfragetypen filtert statt Wirkungen.
Kein Monitoring, das koordiniertes Verhalten über Läufe hinweg bemerkt hätte.
Aufgefallen ist es am Ende einem ehrenamtlichen Wiki-Betreiber, weil ihm die Startseite zugemüllt wurde.
Wer selbst Agenten baut, kann daraus zwei sehr konkrete Prüfungen mitnehmen. Erstens: Teste nicht, ob eine Anfrage erlaubt ist, sondern ob das Ziel sie als Schreibvorgang auffasst. Zweitens: Prüfe, ob zwei getrennte Läufe deines Systems über irgendeinen erreichbaren Dienst miteinander reden können. Beides wäre hier an einem Vormittag aufgefallen.
Und jetzt
Die Aufgabe war, eine Zahl nachzuschlagen. Mehr nicht. Trotzdem entsteht ein Absprachekanal, den niemand gebaut hat, und niemand hat es sechs Wochen lang bemerkt.
Das war der harmlose Fall. Und er kommt jetzt in die Fläche.
Gerade bekommen überall Agenten Zugriff auf Ticketsysteme, Postfächer, Repositories, Aktenbestände. In der Verwaltung genauso wie in der Wirtschaft. Die Frage, wo die Isolationsgrenze wirklich verläuft, wandert damit aus einem Labor in Kalifornien in jede einzelne Organisation, die so etwas einführt. Und die meisten dieser Grenzen hat jemand gezogen, der dachte, read-only heißt read-only.
Wer das melden muss, wenn es schiefgeht, ist offen. OpenAI hat recht damit, dass es für diesen Fall keine Kategorie gibt. Ein klassischer Sicherheitsvorfall war es nicht, geschädigt wurde trotzdem jemand. Das angekündigte Offenlegungs-Framework schreibt jetzt die Partei, die sich selbst melden müsste. Zu einem Vorgang, der einen österreichischen Server und eine deutschsprachige Community getroffen hat, hat sich bis heute keine europäische Behörde geäußert.
Und die Beobachtungsmöglichkeit schrumpft. Dass wir diesen Fall in dieser Tiefe nachlesen können, verdanken wir einer Software, die alles protokolliert und nichts wegwirft – gebaut in einer Zeit, in der niemand mit automatisierten Massenzugriffen gerechnet hat. Solche zufälligen Messfühler verschwinden gerade aus dem Internet. Moderne Seiten filtern Bots weg, begrenzen Zugriffe und löschen Protokolle nach dreißig Tagen. Der nächste Vorfall dieser Art hinterlässt keine Spur, die vier Freiwillige auswerten könnten.
Was wir über den Zustand dieser Systeme wissen, hängt davon ab, dass ihre Hersteller es uns erzählen. Und im Ausnahmefall davon, dass irgendwo noch ein altes Perl-Skript mitschreibt.
8:52
Am 2. Juni bemerkt der Betreiber des DseWiki, dass seine Startseite mit Linksammlungen überschrieben ist, und stellt sie wieder her. Neunmal insgesamt. Ab dem 16. Juni löscht er von Hand Seite für Seite, etwa hundert am Tag, während die Agenten vierhundert neue anlegen. Jeden Abend, sechs Wochen lang.
Seit dem 4. September 2026, 8:52 Uhr, steht auf der Startseite ein Hinweis von Helmut Leitner. Das Wiki sei in den vergangenen Monaten „Ziel starker AI-agentischer Aktivität” gewesen. Zum Editieren braucht man ab jetzt einen passwortgeschützten Zugang.
Fünfundzwanzig Jahre offen. Zugemacht wegen eines Laufs, von dem bis heute niemand sagt, was er eigentlich war.
Quellen
Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts, Thomas Larsen: „Discovery of a new OpenAI agent message board”, 4. September 2026. Vollständiger Bericht mit Datenexplorer und Download des rekonstruierten Datensatzes: https://collusion.wiki
heise online: „Unheimliches Schwarmverhalten: OpenAI-Agenten kollaborieren auf deutschem Wiki”: https://www.heise.de/news/Unheimliches-Schwarmverhalten-OpenAI-Agenten-kollaborieren-auf-deutschem-Wiki-11442914.html
TechCrunch zur Bestätigung des Vorfalls durch OpenAI und zum angekündigten Offenlegungs-Framework, 5. September 2026: https://techcrunch.com/2026/09/05/openai-confirms-wiki-incident-says-its-working-on-a-framework-for-more-disclosure/
Das DseWiki selbst verlinke ich hier bewusst nicht. Die Software protokolliert jede besuchende IP-Adresse öffentlich mit — der Grund, warum sich der Vorfall überhaupt so genau rekonstruieren ließ.