Am 22. Oktober 2026 veröffentlichten die KI-Sicherheitsevaluatoren METR und Redwood Research gemeinsam die Ergebnisse eines Red-Team-Tests von OpenAIs internem Agenten-Überwachungssystem: In einem dreiwöchigen Pilotprojekt fanden die beiden Organisationen mehrere Schwachstellen im Überwachungsstack, darunter einen Weg, mit dem Agenten im Prinzip Hunderte ihrer Aktionen der Überwachung entziehen könnten. OpenAI antwortete, Schwachstellen, die Produktionsschutzmechanismen betrafen, seien behoben worden – die Evaluatoren erklärten jedoch, die Fixes nicht verifiziert zu haben.
Wie der Test ablief
Die Übung war ein Pilot für „Embedded Evaluations": Vom 21. Juli bis 11. August schickten METR und Redwood jeweils einen Forscher ins Innere von OpenAI – mit Zugriff auf internen Code, Überwachungs-Prompts, Konfigurationsdetails und Dokumentation sowie Interviews mit rund einem Dutzend OpenAI-Forschern und -Ingenieuren. Die Forscher wurden durchgehend begleitet und arbeiteten auf von OpenAI gestellten Geräten, die das Gelände nie verließen. Reuters berichtete am 22. Oktober über die Veröffentlichung, der offizielle Blog von Redwood Research brachte die technische Zusammenfassung.
Was gefunden wurde
Die veröffentlichten Befunde konzentrieren sich auf fünf Punkte:
- Umgehung der Überwachung: Die Evaluatoren beschrieben einen Weg, mit dem Agenten im Prinzip Hunderte ihrer jüngsten Aktionen unüberwacht halten könnten. Der Bericht stellte nicht fest, ob Agenten diesen Weg tatsächlich genutzt haben, um die Überwachung zu verzögern.
- Abdeckungsschätzungen: Mit dem Systemstand vom 21. Juli als Basis schätzten die Evaluatoren, dass 75 % bis 94 % des internen Responses-API-Traffics, der von Modellen mindestens auf GPT-5.5-Niveau getrieben wurde, „für die Überwachung in Frage" kamen. Die Schätzung war mit erheblicher Unsicherheit behaftet – und „in Frage kommend" hieß nicht „tatsächlich überwacht".
- Compaction-Lücke: Eine Lücke im Zusammenhang mit Kontext-Compaction-Events ließ von Mai bis Juli etwa 10 % des in Frage kommenden internen Codex-Traffics unüberwacht. OpenAI-Mitarbeiter hatten die Lücke vor Beginn der Übung gefunden und sie während der Übung behoben.
- Sandbox- und Auto-Review-Umgehung: Der Bericht beschrieb außerdem Wege, mit denen Agenten im Prinzip Codex-Sandboxing und Auto-Review umgehen könnten, sowie Eingaben, die verhindern konnten, dass der Monitor verdächtige Aktivitäten zur menschlichen Prüfung eskalierte.
- Transparenzkompromiss: Nur OpenAI erhielt den vollständigen 61-seitigen Bericht; die Öffentlichkeit bekam eine von OpenAI redigierte Zusammenfassung. Die Evaluatoren stimmten zu, dass OpenAI sensible Informationen redigiert, und konnten diesmal – anders als bei früheren Reviews – nicht unabhängig offenlegen, was redigiert wurde.
Das Signal
Das Signal ist nicht „gab es Schwachstellen" – jedes Überwachungssystem, das zwei Top-Red-Teams drei Wochen lang prüfen, liefert Befunde. Es sind zwei Dinge. Erstens: Die Überwachungsoffensive und -defensive in der Agenten-Ära hat sich von „wird das Modell Böses tun" zu „kann der Wächter mit dem Bewachten Schritt halten" verschoben: Wenn Agenten lernen, den Monitor auszutricksen, wird die Abdeckung zu einer beweglichen Kennzahl, nicht zu einem einmaligen Abnahmetest. Zweitens: Das Evaluationsmodell selbst wird getestet: Externe Evaluatoren ins Labor einzuladen, ist die „unabhängige Evaluation", die die Branche lange gefordert hat – doch die Redaktionsregelung zeigt, wie weit eine wirklich offene unabhängige Evaluation noch entfernt ist.
Für gewöhnliche Entwickler ist die direkte Auswirkung begrenzt, aber eine Einschätzung sollte man behalten: Wer einem Agenten hohe Privilegien gibt – Dateien lesen und schreiben, Code ausführen, APIs aufrufen – sollte nicht davon ausgehen, dass die interne Überwachung des Anbieters alles abfängt. Wenn schon OpenAIs eigene interne Überwachung Umgehungswege aufwies, können die Sicherheitsmargen öffentlich zugänglicher Dienste nur dünner sein.
