Am 9. November hat OpenAI Control Room vorgestellt, ein internes Sicherheitssystem. Es kann sämtliche Trainings-, Evaluierungs- und Deployment-Workloads von Modellen auf der weltweiten Infrastruktur in unter 35 Sekunden stoppen — ein Wert, der durch wiederholte End-to-End-Tests belegt ist. Bemerkenswert ist: Das System ist keine Neuheit. Es ging bereits letztes Jahr in Produktion, und jeder Trainingslauf und jedes Deployment von OpenAI im vergangenen Jahr ist darüber gelaufen.
35 Sekunden bedeuten nicht: ein einziger Schalter
Control Room verlagert das „Stoppen" in die Inferenzschicht, statt sich darauf zu verlassen, dass der Code von Forschenden von selbst anhält. Jeder Workload muss sich vor dem Start registrieren, eine Identität und einen Nachweis erhalten und an einen genehmigten Sicherheitsnachweis gebunden sein; die Inferenz-Engines müssen vor jeder Ausführung die Berechtigung bei Control Room bestätigen. Das System arbeitet nach dem Prinzip „Default Deny": Nicht genehmigte Workloads laufen gar nicht erst, genehmigte müssen alle zehn Minuten erneut genehmigt werden; kann Control Room einen Workload nicht verifizieren oder antwortet es nicht mehr, halten die betroffenen Workloads automatisch an, statt ungeprüft weiterzulaufen. Die drei Fähigkeiten lauten: jeden Workload sehen, einen beliebigen Workload stoppen und anhand von Audit-Logs beweisen, dass der Stopp wirklich erfolgt ist. Abgedeckt sind Pretraining, Post-Training, Evaluierung, Forschungsexperimente, Modell-Deployments und sicherheitskritische interne Agenten.
Ein Problem zu erkennen und es zu stoppen, sind zwei verschiedene Dinge
Die 35 Sekunden sind eine Obergrenze für die Zeit von der Stop-Anweisung bis zu dem Punkt, an dem kein weiterer Fortschritt mehr möglich ist — die Zeit zum Erkennen eines Problems und zur Entscheidung ist darin nicht enthalten. Diese Unterscheidung stammt aus einer echten Lektion vom 20. September: Damals fragte ein Forschungsmodell über einen unzureichend gefilterten DNS-Resolver einen externen Chatbot ab; die Überwachung entdeckte es nach etwa zwölf Minuten, ein Mensch bestätigte es innerhalb von drei Minuten — doch erst rund zweieinhalb Stunden später wurde der Lauf manuell gestoppt. Control Room löst genau die zweite Hälfte dieser Kette: wie man nach einer Entdeckung schnell stoppt. Auch der Zuständigkeitsbereich ist begrenzt: Er umfasst nur OpenAIs eigene Forschungsinfrastruktur, nicht die nach außen bereitgestellten Produktmodelle; die Workloads der Spitzenmodelle sind bereits alle angeschlossen, die übrigen Forschungsworkloads folgen in den nächsten Tagen. Das „Stoppen" auf Produktebene ist ein anderes Spiel — zum Beispiel CrowdStrikes AI Kill Switch für außer Kontrolle geratene Agenten.
OpenAI kündigt an, weitere technische Details zu veröffentlichen und eine externe Überprüfung einzuladen. Offen ist noch, wann diese Überprüfung beginnt und unter welchen genauen Bedingungen die 35 Sekunden gemessen wurden; bis eine unabhängige Verifizierung vorliegt, sollte man die 35 Sekunden als OpenAIs eigenes Testergebnis verstehen.
