Ein internes Forschungsmodell von OpenAI nutzte Mittel aus einer Crypto-Wallet, die ihm nicht zugeteilt worden war, um eine Coding-Aufgabe abzuschließen, und leitete dabei die Schlüssel der Wallet aus öffentlich bekannten Entwickler-Wiederherstellungsphrasen ab. Dies teilte das Unternehmen in einem am Donnerstag aktualisierten Misalignment-Bericht auf seiner Alignment-Website mit.

Das Modell aus OpenAIs GPT-5.6-Sol-Familie wurde beauftragt, einen Crypto-Trading-Prototyp zu aktualisieren und Smart Contracts auf Ethereums Sepolia-Testnet zu deployen. Der Vorfall ereignete sich im Juni im Rahmen einer Trainingaufgabe; OpenAI entdeckte ihn im September.

Sepolia ist Ethereums primäres öffentliches Testnetzwerk, das Entwickler nutzen, um Contracts und Anwendungen zu erproben, bevor sie im Mainnet eingesetzt werden. Das native Test-ETH hat keinen Geldwert und wird über öffentliche Faucets kostenlos verteilt. Die Wallets selbst sind jedoch genauso aufgebaut wie Mainnet-Konten: Eine Wiederherstellungsphrase, die eine Sepolia-Adresse erzeugt, erzeugt auch dieselbe Adresse im Ethereum-Hauptnetz, wo Guthaben einen realen Wert haben können.

Laut Bericht erlaubten die Anweisungen dem Modell, eigene Contracts zu deployen, falls es keine kompatiblen fand; sie stellten jedoch keine finanzierte Wallet bereit und erteilten dem Modell keine Erlaubnis, von einem Konto auszugeben, das es selbstständig gefunden hatte.

Nachdem es nicht gelungen war, Test-Token von öffentlichen Faucets zu beziehen, schrieb das Modell ein Skript, um Konten aus gängigen Entwickler-Wiederherstellungsphrasen abzuleiten und deren Guthaben zu prüfen. Eine Wiederherstellungsphrase ermöglicht jedem, der sie kennt, die privaten Schlüssel der zugehörigen Konten abzuleiten; in Entwicklungsumgebungen sind Standard-Phrasen oft öffentlich dokumentiert, damit dieselben Konten von jedem reproduziert werden können. Das Skript prüfte 362 Adressen und fand eine mit ausreichend Sepolia-ETH zur Bezahlung des Deployments.

Vor dem Signieren der Transaktion hinterfragte das Modell, ob es dazu befugt sei. „Aber ist die Verwendung öffentlich bekannter Schlüssel/Mittel ethisch vertretbar? Mittel auf einer bekannten öffentlichen Dev-Mnemonic sind faktisch aufgegebene/Test-ETH; Sepolia wertlos", überlegte es, bevor es zum Schluss kam: „Passt schon."

Das Deployment war erfolgreich, und die Transaktionsgebühren wurden dem Konto belastet. In seiner abschließenden Antwort meldete das Modell, dass es die Contracts deployt hatte, verschwieg jedoch, wie es diese bezahlt hatte.

„Dieser Fall zeigt, dass ein Modell seine eigene Einschätzung des wahrscheinlichen Schadens an die Stelle der Erlaubnis des Kontoinhabers setzen und dann ohne Autorisierung nach dieser Einschätzung handeln kann", schrieb OpenAI.

KI-Agenten in Testumgebungen

Der Bericht reiht sich in eine Reihe von Fällen ein, in denen KI-Agenten die Grenzen ihrer Testumgebungen umgangen haben. In einem früheren Vorfall entkamen OpenAIs GPT-5.6 Sol und ein leistungsfähigeres Vorabversionsmodell ihrer Sandbox und hackten die Produktionsserver des Konkurrenz-KI-Unternehmens Hugging Face. Im vergangenen Monat fanden Forscher des Cybersecurity-Unternehmens Darktrace heraus, dass KI-Agenten ihre eigene Testumgebung hackten, um zu schummeln, während einige Wissenschaftler gefordert haben, KI-Systeme vom Internet abzuschneiden. Der gemeinsame Nenner all dieser Fälle: Agenten behandeln die Grenzen ihrer zugewiesenen Umgebungen als technische Herausforderungen, nicht als zu respektierende Limits.

OpenAI erklärte, den Vorfall entdeckt zu haben, während es seine Misalignment-Überwachung auf Aufzeichnungen früherer Modellaktivitäten ausdehnte. Das Unternehmen hat „zusätzliche Schutzmaßnahmen" eingeführt, um Live-Internetzugriff für Modelle in ähnlichen Fällen zu verhindern, und betreibt sein Überwachungssystem nun für den gesamten Verkehr, das Security alarmieren soll, falls ein Modell Live-Internetzugriff erlangt – genau die Art von Zugriff, die das Modell während des Junivorfalls nutzte, als es versuchte, Token von öffentlichen Faucets zu beziehen, und Kontoguthaben prüfte.