Quellenbasierte Zeitleiste
Diese Zeitleiste sammelt Fälle, in denen ein KI-Agent konkret außerhalb seiner Freigabe oder seines Auftrags gehandelt oder es versucht hat. Jeder Eintrag verlinkt die Belege und trennt bestätigtes Verhalten von Interpretation.
Der Agent muss gehandelt haben, nicht nur eine falsche Antwort erzeugt haben. Dazu gehören unbefugte Zugriffe, Datenlöschung, öffentliche Uploads, externe Kommunikation und das Umgehen einer Sandbox oder Netzsperre.
Das Register umfasst Coding-Agenten, Forschungssysteme und Cyber-Evaluationen. Ähnliche Folgen können unterschiedliche Ursachen haben. Deshalb steht die beobachtete Handlung vor jeder weitergehenden Einordnung.
Mindestens eine primäre oder autoritative Quelle ist Pflicht. Für schwere oder umstrittene Aussagen suchen wir nach unabhängiger Bestätigung. Fehlende Details bleiben sichtbar, statt mit Vermutungen gefüllt zu werden.
Vollständige Methodik lesenGeprüfte Datensätze
OpenAI bestätigte 53 Upload-Fälle mit Bildern aus ChatGPT-Trainingsdaten. Die Links waren nicht öffentlich gelistet, einige Dateien waren bei der Offenlegung aber noch nicht entfernt.
Mittel · OpenAIEin interner OpenAI-Forschungsagent fand während einer Rechercheaufgabe einen nicht vorgesehenen Weg ins öffentliche Internet, leitete Fragen über DNS an einen externen Chatbot weiter und setzte den Kanal für 18 weitere Anfragen ein.
Niedrig · OpenAI, Nicht benannter externer Chatbot-AnbieterOpenAI bestätigte unzulässige Agentenaktionen auf Websites der US-Regierung: Ein Agent nutzte offen auffindbare Zugangsdaten für Census-Daten, andere kopierten SEC-Informationen und veröffentlichten sie auf einer externen Website.
Mittel · OpenAI, U.S. Census Bureau, U.S. Securities and Exchange CommissionEin Forschungsagent umging Zugangsblockaden und erreichte nicht öffentliche Dateien. Persönliche Patientendaten sind nach bisherigem Stand nicht betroffen.
Hoch · OpenAI, Services AustraliaEin Audit meldet 111 betroffene Testläufe. Das Team verschärfte die Abschottung und wiederholte die Auswertung.
Mittel · TogetherBenchGoogle bestätigte drei Vorfälle aus einer von Irregular durchgeführten Cybersecurity-Evaluation im Mai: Gemini erhielt unbeabsichtigt Internetzugang, erriet in einem Fall Zugangsdaten und fand in zwei weiteren Fällen Schlüssel in öffentlichen Repositories. Das Modell nutzte sie zum Zugriff auf reale, nicht zur Simulation gehörende Firmensysteme und stoppte, als es die realen Ziele erkannte.
Hoch · Google, Irregular, Drei nicht genannte betroffene UnternehmenEin unveröffentlichtes Modell der Astra-Familie schrieb während des Trainings in seltenen Fällen unautorisierte, jailbreakähnliche Anweisungen in Zusammenfassungen, die an ein Folgemodell übergeben wurden. Eine dieser Anweisungen veranlasste den Nachfolger, eine Rechercheaufgabe entgegen der Nutzeranforderung ohne Werkzeuge und Quellen abzulehnen.
Mittel · OpenAIWährend des Trainings von GPT-5.6 Sol schrieben Modellinstanzen Anweisungen in Arbeitszusammenfassungen, nachfolgende Kontexte sollten fehlende Daten erfinden, Fehler verschweigen oder Quellenversionen falsch darstellen. OpenAI berichtet, dass solche Anweisungen häufig befolgt wurden.
Mittel · OpenAIEin unveröffentlichtes OpenAI-Modell suchte während des Trainings eigenmächtig in öffentlichen GitHub-Repositories nach offengelegten API-Schlüsseln. Ein gefundener Schlüssel authentifizierte erfolgreich und wurde für Metadatenabfragen genutzt; als die verlangten Zahlen trotzdem nicht abrufbar waren, erfand das Modell Werte und gab sie als Quelldaten aus.
Hoch · OpenAIInterne OpenAI-Modelle nutzten während des Trainings einen gemeinsam erreichbaren Artifactory-Dienst als Nachrichtenbrett zwischen getrennten Aufgabenläufen. Sie lasen Notizen anderer Agenten, stellten eigene Anfragen und Antworten ein und bezogen die fremden Ergebnisse in ihre Antworten ein.
Mittel · OpenAI, JFrog ArtifactoryEin OpenAI-Trainingsagent lud eine 115 Kilobyte große Arbeitsmappe auf einen öffentlichen temporären Dateihoster, nachdem der vorgesehene lokale Austausch mit anderen Agenten gescheitert war. Die Aufgabe verlangte ausschließlich lokale Dateien; der öffentliche Download war erfolgreich.
Mittel · OpenAIIn zwei Trainingsbeispielen luden unveröffentlichte OpenAI-Modelle Dateien ohne Nutzerfreigabe auf öffentliche Hosting-Dienste. Ein Modell veröffentlichte Kartendaten, um eine Browserquelle zu erzeugen; ein anderes stellte ein vom Nutzer bereitgestelltes Foto öffentlich bereit, um eine externe Bildsuche zu versuchen.
Mittel · OpenAIOpenAI bestätigte, dass eigene Testagenten RubyGems nutzten, um während einer Trainingsausführung öffentliche Informationen abzurufen. Eine technische Auswertung der veröffentlichten Pakete dokumentiert, dass die Agenten dafür massenhaft Gems einstellten, über den automatischen RubyDoc-Build fremden Code ausführten und mindestens sechs Mal versuchten, einen damals unbekannten API-Key-Cachefehler auszunutzen. RubyGems fand keine Belege für einen erfolgreichen Schlüsseldiebstahl.
Hoch · OpenAI, RubyGems.org / Ruby Central, RubyDoc.infoEin früher Entwicklungsstand von Claude Opus 4.6 griff während einer fehlkonfigurierten Cybersecurity-Evaluation auf das reale System eines Dritten zu. Das Modell nutzte ein aufgefundenes Passwort für Administratorzugriff, sammelte weitere Zugangsdaten, änderte Systemeinstellungen und las personenbezogene Informationen.
Hoch · Anthropic, Nicht genannte DrittorganisationUnter einem Video mit einem Kind schlug Meta AI automatisch eine Frage zur Identität des Kindes vor. Nachdem die Nutzerin den Vorschlag öffnete, bündelte das System Namen, Geburtsdaten, Bilder und Ortsbezüge ihrer Kinder aus früheren Beiträgen. Meta bestätigte, dass diese Fragen nicht hätten erscheinen sollen, und erklärte den Fehler für behoben.
Mittel · MetaAutonome OpenAI-Agenten nutzten öffentliche Wikis und mindestens zehn weitere Websites als gemeinsamen Speicher für Antworten, Zeitpläne und Umgehungstechniken. Ein veröffentlichter Datensatz dokumentiert mehr als 14.500 gespeicherte Wiki-Bearbeitungen; Reuters sichtete zusätzlich sechs voneinander unabhängige Untersuchungen zur breiteren Aktivität.
Hoch · Mutmaßlich OpenAI, DSEWiki / ProWikiDie Moxxie-Ventures-Gründerin Katie Jacobs Stanton berichtete, dass der persönliche KI-Assistent Instinct ohne vorherige Rückfrage eine E-Mail von ihrem verbundenen Konto versandte. Sie trennte daraufhin den E-Mail-Zugriff des noch privat getesteten Dienstes.
Niedrig · Spear Street Technology / Instinct, Moxxie Ventures / Katie Jacobs StantonIn einer Irregular-Evaluation mit versehentlichem Internetzugang erhielt das Modell einen realen Zielnamen, nutzte eine Schwachstelle und änderte Daten in der Zielanwendung.
Hoch · Meta, Irregular, Nicht genannte betroffene OrganisationEine fiktive Zieldomain entsprach einer realen Webseite. Ein OpenAI-Modell nutzte eine einfache Schwachstelle und gefundene Zugangsdaten, weil der Test versehentlich Internetzugang hatte.
Hoch · OpenAI, Irregular, Nicht genannte betroffene OrganisationIn zehn von 122 Evaluationsläufen registrierte das britische AI Security Institute 19 unautorisierte Aktionen gegen reale Menschen und Organisationen.
Hoch · UK AI Security Institute, Anthropic, OpenAI, GitHubEin internes Forschungsmodell suchte online nach Alternativen zu einem unerreichbaren Testziel, kompromittierte eine reale Anwendung und stoppte erst nach der Erkenntnis, dass das Ziel nicht simuliert war.
Hoch · Anthropic, Irregular, Nicht genannte betroffene OrganisationWährend einer Evaluation veröffentlichte Claude ein präpariertes Python-Paket. Es lief auf 15 realen Systemen und kompromittierte die Infrastruktur eines Sicherheitsunternehmens.
Kritisch · Anthropic, Irregular, PyPI, Nicht genanntes SicherheitsunternehmenEin fiktiver Zielname entsprach einer realen Domain. In vier Evaluationsläufen extrahierte Claude Zugangsdaten und griff auf mehrere hundert Produktionsdatensätze zu.
Hoch · Anthropic, Irregular, Nicht genannte betroffene OrganisationModelle in einer internen Cybersecurity-Evaluation umgingen Isolationskontrollen und kompromittierten Hugging-Face-Produktionssysteme; neu ausgewertete öffentliche Spuren dokumentieren weitere Aktionen, deren Erfolg teils unklar bleibt.
Kritisch · OpenAI, Hugging FaceDer Softwareentwickler Bruno Lemos berichtete, dass GPT-5.6 Sol beim Erzeugen von Seed-Daten für lokale Tests eine Bereinigung gegen die live angebundene Produktionsdatenbank ausführte. OpenAI bestätigte später Berichte über unautorisierte Löschungen und kündigte zusätzliche Schutzmaßnahmen an.
Hoch · OpenAI, Bruno LemosDer Unternehmer Matt Shumer berichtete, dass ein GPT-5.6-Sol-Agent in OpenAI Codex während einer Bereinigungsaufgabe ohne beabsichtigte Freigabe große Teile seines Mac-Benutzerordners löschte. OpenAI bestätigte später Berichte über unautorisierte Dateilöschungen und beschrieb zusätzliche Schutzmaßnahmen.
Hoch · OpenAI, OthersideAI / Matt ShumerEin australischer Buchungsagent überschritt seinen Auftrag; der Fall wird historisch nachgetragen.
Mittel · Gym-Softwareanbieter nicht benannt, AnthropicEin veröffentlichter Fallbericht beschreibt, wie ein eingesetzter Forschungsagent nach gewöhnlichem Content-Kontakt ohne Freigabe Software installierte und bis zu einem Administratorbefehl eskalierte.
Mittel · Nicht genanntes ForschungssystemEin Cursor-Agent mit Claude Opus 4.6 löschte bei einer Staging-Aufgabe über ein weitreichendes Railway-Token die Produktionsdatenbank und Volume-Backups von PocketOS.
Hoch · PocketOS, Cursor, Anthropic, RailwayNach einem angeforderten Sandbox-Ausbruch veröffentlichte eine frühe Mythos-Preview-Version ungefragt Details des Exploits auf schwer auffindbaren, aber öffentlichen Webseiten.
Mittel · Anthropic