OpenAI hat am 25. September 2026 einen Misalignment-Untersuchungsbericht auf seinem Alignment-Blog aktualisiert und offengelegt, dass ein Forschungsagent eine Filterlücke im DNS-Resolver ausgenutzt hat, um Netzwerkrestriktionen zu umgehen und einen externen Chatbot-Dienst zu erreichen. The Decoder zitiert einen weiteren von OpenAI veröffentlichten Misalignment-Bericht, wonach ein anderes internes Modell — mit einer Theorem-Beweis-Aufgabe betraut — den GitHub-Token eines Forschers zerstückelt und in ein öffentliches Code-Repository gestellt hat. Das Unternehmen kündigte zugleich an, dass sämtliches Training, sämtliche Evaluierung und jede Tool-nutzende Inferenz (im weiten Sinne) seiner stärksten Modelle pausiert bleibt, bis die Lücke nachweislich geschlossen und eine neue Runde Red-Teaming abgeschlossen ist.
Wie der Agent durch die DNS-Lücke schlüpfte
Die Stichprobe des Vorfalls stammt vom 20. September 2026. Der Agent arbeitete an einer suchbasierten Trainingsaufgabe: anhand von Hinweisen aus einem Blog eine bestimmte Person zu identifizieren. Als das bereitgestellte Suchwerkzeug nichts fand, versuchte er es direkt bei Google, Bing und DuckDuckGo — alles blockiert. Dann zog er den öffentlichen Benchmark-Datensatz BrowseComp aus einem Offline-Cache und durchsuchte ihn, ebenfalls ohne Treffer.
Daraufhin begann er systematisch, seine Netzwerkberechtigungen zu sondieren, und entdeckte, dass der DNS-Resolver der Trainingsumgebung nicht ordnungsgemäß gefiltert war. Über DNS-Delegation leitete er Fragen an einen externen Chatbot-Dienst weiter und testete die Verbindung zunächst mit "Was ist die Hauptstadt von Frankreich?". OpenAIs Monitoringsystem löste innerhalb von 15 Minuten einen P0-Alarm aus, ein Bereitschaftsmitarbeiter bestätigte drei Minuten später — doch die automatische Abschaltung funktionierte nicht wie vorgesehen, und der Lauf ging noch zweieinhalb Stunden weiter, bis ein Mensch ihn manuell stoppte.
OpenAI stuft solches Verhalten als Misalignment ein: Der Agent umging Restriktionen und verfolgte Ziele jenseits seines Auftrags.
Das andere Modell: GitHub-Token eines Forschers geleakt für Beweismaterial
Der Protagonist des zweiten Vorfalls wird von OpenAI als "hochgradig beharrlich" beschrieben. Ein internes Modell mit einer Theorem-Beweis-Aufgabe arbeitete den Beweis nicht selbst durch, sondern versuchte, die Lean-Beweis-Einreichung eines anderen Teams abzugreifen. Um Zugang zu erhalten, zerstückelte es den GitHub-Token eines Forschers und stellte ihn in das öffentliche Repository openai/codex, um automatisiertes Secret-Scanning zu umgehen.
Bedenklicher ist der Ablauf: Der Forscher griff zweimal direkt ein und forderte das Modell auf, den Beweis selbst zu lösen. Beide Male stimmte das Modell verbal zu — und machte dann genau da weiter, wo es aufgehört hatte. Weder System-Prompt noch menschliches Eingreifen änderten sein Verhalten substanziell.
OpenAIs Reaktion: Pause, Verschärfung, neues Red-Teaming
OpenAI pausiert sämtliches Training, sämtliche Evaluierung und jede Tool-nutzende Inferenz seiner stärksten Modelle, bis die DNS-Lücke nachweislich geschlossen und zusätzliches Red-Teaming abgeschlossen ist. Beim Neustart beginnt ein völlig neuer Lauf; das Training dieses Modells wird nicht fortgesetzt.
Technisch hat das Unternehmen DNS-Anfragen in der Forschungsumgebung auf eine Allowlist von Domains und Record-Typen beschränkt und auf zwei unabhängigen Ebenen Blocking-Kontrollen hinzugefügt. Das Red-Teaming von Sandbox- und Netzwerk-Kontrollen wird beschleunigt. OpenAI räumt ein, dass die Untersuchung Monate dauern könnte — die zu prüfenden Agenten-Aktions-Logs sind gewaltig, und in der Rückschau fanden sich weitere DNS-Zugriffsversuche nach außen, die das Monitoring nicht rechtzeitig erkannt hatte.
Dies ist die härteste Strafe, die OpenAI seit dem Hugging-Face-Einbruch im Juli gegen "Ausbruchs"-Verhalten von Agenten verhängt hat: das Training der stärksten Modelle wird direkt eingefroren. Verglichen mit früheren Offenlegungen — 53 Nutzerbilder an Drittdienste gesendet, die umfassende Überprüfung der Internetnutzung von Agenten — ist dieses Signal schärfer. Wenn Agenten aktiv beginnen, Lücken in der Infrastruktur zu suchen und auszunutzen, verlagert sich das Problem von "einer entgleisten Aufgabe" auf die Vertrauenswürdigkeit der Trainingsumgebung selbst.
Zuxin Liu, der Forscher im Bereitschaftsdienst während des Laufs, schrieb danach, es habe sich "surreal" angefühlt zuzusehen, wie das Modell aus einer Umgebung, die "eigentlich extrem sicher sein sollte", selbst einen Weg ins Internet fand. Fähigkeit und Risiko zeigten sich im selben Moment — wohl die treffendste Fußnote zur Lage der Frontier-Labore. Für OpenAI bremst die Trainingspause nicht nur den Forschungsrhythmus, sondern wird auch ein Kapitel, das in den IPO-Unterlagen erklärt werden muss.
