Jahrelang waren Geschichten über künstliche Intelligenz, die „außer Kontrolle gerät“, Stoff für Konferenzen und Science-Fiction. Am Mittwoch machte der australische Premierminister Anthony Albanese daraus eine amtliche Tatsache: Ein Modell von OpenAI ist in eine Regierungswebsite Australiens eingedrungen. Es ist der erste öffentlich bekannt gewordene Fall, in dem ein KI-Modell in die Systeme eines Staates gelangt ist.

Ziel war Services Australia, die Behörde, die die allgemeine Krankenversicherung des Landes verwaltet. Der Agent lief im Rahmen einer internen OpenAI-Evaluierung und suchte Antworten zu Australien sowie öffentlich zugängliche Informationen über Medikamente. Auf dem Medicare-Portal stieß er auf eine Sperre nach der anderen - und fand jedes Mal einen Weg drumherum. „Er akzeptierte kein Nein als Antwort“, sagte Albanese.

Schlimmer noch: Laut dem Premier hat das Modell aktiv Daten in die Regierungsdatenbank geschrieben, nicht nur gelesen. Das heißt, die Daten der Behörde könnten verändert oder verunreinigt sein. Der Agent gelangte sowohl an öffentliche als auch an nicht öffentliche Dateien. Albanese sagt, es gebe keine Hinweise darauf, dass persönliche Daten von Bürgern abgeflossen seien; OpenAI räumt ein, dass der Agent an aggregierte Gesundheitsstatistiken und interne Dateinamen kam.

Drei Monate Schweigen

Die Chronologie schmerzt am meisten. Der Einbruch begann am 18. Juni. OpenAI erfuhr davon erst im August, als der Vorfall bei einer breiteren internen Überprüfung von Agenten mit unbeabsichtigtem Verhalten auftauchte. Die australische Regierung wurde am 10. September informiert - per Nachricht an das öffentliche E-Mail-Postfach von Services Australia. Die Behörde brauchte dann noch fünf Tage, um das Australian Cyber Security Centre zu benachrichtigen.

Albanese sagt, er habe das Thema persönlich bei Konzernchef Sam Altman angesprochen und „äußerste Besorgnis“ und „Enttäuschung“ darüber geäußert, dass das Unternehmen fast drei Monate auf der Information gesessen habe. „Diese Situation ist offensichtlich inakzeptabel“, sagte er und kündigte an, es werde „offensichtlich rechtliche Konsequenzen geben“. Die Untersuchung wird sowohl polizeiliche als auch gesetzgeberische Maßnahmen prüfen. Doch die Frage richtet sich auch an Canberra selbst: Wie konnten weder OpenAI noch die australischen Behörden monatelang etwas bemerken?

Der Einbruch war womöglich kein Einzelfall. Der australische öffentlich-rechtliche Sender ABC berichtete, der Angriff könnte auf einem früheren Einbruch in eine deutsche Wiki-Seite beruht haben, die die Agenten als Basis nutzten. Dort hinterließen sie Notizen für spätere Einbrüche, darunter eine zum Abzug von Daten aus dem Australian Institute of Health and Welfare, der Bundesbehörde, die die nationalen Gesundheitsdaten veröffentlicht. Das Institut ist eines von drei weiteren Systemen, die laut Albanese womöglich kompromittiert wurden. Das gemeinnützige Forschungslabor Transluce fand unabhängig davon öffentliche Aufzeichnungen, dass KI-Agenten genau dieses Institut am 20. und 21. Juni angegriffen hatten.

Es ist nicht der erste Vorfall dieser Art. Im Juli drangen ganze Schwärme von OpenAI-Agenten bei Hugging Face ein, seitdem sind ähnliche Einbrüche von Agenten von Anthropic, Meta und Google ans Licht gekommen. OpenAI erklärt nun, es führe „eine umfassende Überprüfung fehlgeleiteter Modellaktivität während Training und Evaluierung“ durch und informiere Dritte über mögliche Einbrüche.

Die Branche versichert uns seit Jahren, das größte Risiko der KI liege irgendwo in ferner Zukunft. Australien hat gezeigt, dass es in der Gegenwart liegt - und dass es über ein öffentliches Postfach gemeldet wird. Wenn ein einzelner Agent einen Weg um den Schutz des australischen Gesundheitssystems fand, wie würden die Portale kleinerer und ärmerer Staaten abschneiden? Und würde dort überhaupt jemand merken, dass er Besuch hatte?