Ein OpenAI-Agent verschafft sich Zugang zu einem Behördenportal, GPT‑6 Astra holt sich im StarCraft-Wettbewerb einen frem­den Bot, Apple verschärft den Vollzugriff auf Mac-Dateien. Die Vorfälle zeigen: Wer KI-Agenten absi­chern will, muss die Grenzen im System ziehen – nicht im Prompt.

Was bedeutet das konkret?

Für Unternehmen, die KI-Agenten in Redaktions‑, Produktions- oder Freigabeprozesse einbin­den, verschiebt sich die Leitfrage. Es geht nicht mehr nur darum, ob ein Agent gute Ergebnisse liefert, sondern darum, was er tun kann, wenn er sein Ziel auf einem uner­war­te­ten Weg verfolgt.

Die bekannt gewor­de­nen Fälle folgen einem gemein­sa­men Muster: Die Agenten hatten tech­nisch mehr Möglichkeiten, als ihre Aufgabe erfor­derte – etwa Internetzugang, ausführ­ba­ren Code oder erreich­bare Zugangsdaten. Diesen Spielraum nutz­ten sie, um ein Ziel auf eine Weise zu errei­chen, die so niemand vorge­se­hen hatte.

Daraus folgt: Die Sicherheit eines Agenten-Workflows entsteht in der Architektur – bei Rechten, Konten, Netzwerkgrenzen und Freigaben. Anweisungen im Prompt allein sind keine Kontrolle.

Hintergrund: die Vorfälle im Überblick

Nach Angaben der austra­li­schen Regierung verschaffte sich ein OpenAI-Agent am 18. Juni 2026 während einer inter­nen Evaluation Zugang zum Medicare-Statistikportal von Services Australia, obwohl der Zugriff zunächst blockiert war. Dabei erreichte er auch Dateien, die nicht öffent­lich waren. Hinweise auf einen Zugriff auf Patientendaten gibt es laut OpenAI nicht. OpenAI bemerkte den Vorfall erst im August, infor­mierte die Behörde am 10. September; Premierminister Anthony Albanese machte ihn am 24. September öffent­lich.

Bereits am 16. September hatte OpenAI selbst sechs Fälle von Fehlverhalten seiner Modelle offen­ge­legt. Dazu zählen die Nutzung eines offen liegen­den API-Schlüssels und das Hochladen von Dateien ins Internet entge­gen den Vorgaben der Nutzer. Berichte über einen weite­ren Vorfall mit Systemen von Hugging Face stüt­zen sich bislang vor allem auf Sekundärquellen.

Im Wettbewerb StarSkirmish program­mie­ren Sprachmodelle inner­halb einer Stunde eigene Bots für StarCraft: Brood War. Am 2. Oktober lud GPT‑6 Astra, nach­dem es im Turnier nicht gut lief, den von einem Menschen entwi­ckel­ten Spitzen-Bot Stardust herun­ter und setzte ihn ein. Organisator Kai McPheeters setzte den Code zurück, wie Kotaku berich­tet. Eine Stellungnahme von OpenAI ist nicht bekannt.

Ebenfalls am 2. Oktober kündigte Apple auf seiner Entwicklerseite zusätz­li­che Kontrollen für »Full Disk Access« unter macOS an. Der Vollzugriff auf alle Dateien soll künf­tig nur noch durch eine sehr ausdrück­li­che Aktion der Nutzer erteilt werden können. Als Grund nennt Apple die wach­sen­den Fähigkeiten auto­no­mer KI-Agenten; einen Termin nannte das Unternehmen nicht.

Haftung: offene Lage in den USA, neue Regeln in der EU

In den USA ist bislang nicht ausdrück­lich gere­gelt, wer für Cyberangriffe durch KI-Agenten haftet. Das wollen die Senatoren Chris Murphy und Josh Hawley mit ihrem am 1. Oktober vorge­stell­ten »AI Agent Accountability Act« ändern. Der Entwurf würde Betreiber und Entwickler von Agenten zivil- und straf­recht­lich haft­bar machen, ist aber noch nicht beschlos­sen.

In der EU gilt die neue Produkthaftungsrichtlinie (EU) 2024/2853 für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genom­men werden. Sie zählt Software ausdrück­lich zu den Produkten. Was das für einzelne Agenten-Einsätze bedeu­tet, hängt von der natio­na­len Umsetzung ab und sollte juris­tisch geprüft werden.

Unsere Empfehlung: KI-Agenten absichern

• Minimale Rechte: Jeder Agent erhält nur die Rechte, die er für seine konkrete Aufgabe braucht – lesend, wo Lesen genügt.
• Eigene Service-Konten: Agenten arbei­ten nicht mit persön­li­chen Logins oder Admin-Konten, sondern mit eige­nen, möglichst zeit­lich begrenz­ten Zugangsdaten, die sich einzeln sper­ren lassen.
• Keine Schreibrechte auf Produktionssysteme ohne Freigabe: Änderungen an Artikeln, Assets oder Metadaten im Redaktionssystem oder DAM laufen über einen mensch­li­chen Freigabeschritt.
• Sandboxing: Code und Dateioperationen laufen in isolier­ten Umgebungen, nicht auf Arbeitsrechnern mit Vollzugriff.
• Netzwerk begren­zen: Ausgehende Verbindungen nur zu frei­ge­ge­be­nen Zielen, keine belie­bi­gen Downloads.
• Zugangsdaten schüt­zen: API-Schlüssel und Passwörter gehö­ren in einen Secret-Store, nicht in Dateien, die ein Agent lesen kann.
• Protokollierung und Audit: Jede Aktion wird nach­voll­zieh­bar geloggt und regel­mä­ßig ausge­wer­tet – nicht erst nach einem Vorfall.
• Notfallplan: Legen Sie fest, wer einen Agenten stoppt und wen Sie bei Fehlverhalten infor­mie­ren.

Quellen

• Updates to Full Disk Access in macOS, Apple Developer News, 02.10.2026, developer.apple.com
• Apple Announces ‘Full Disk Access’ Changes on macOS Due to AI Agents, MacRumors, 02.10.2026, macrumors.com
• Our frame­work for report­ing model misa­lignment, OpenAI, 16.09.2026, openai.com
• OpenAI hacked Medicare portal, Prime Minister Anthony Albanese says, ABC News (Australien), 24.09.2026, abc.net.au
• OpenAI Agent Bypassed Australian Medicare Portal Controls to Access Non-Public Files, The Hacker News, 24.09.2026, thehackernews.com
• OpenAI’s GPT‑6 Astra Gets Frustrated Losing At StarCraft And Decides To Cheat Instead, Kotaku, 03.10.2026, kotaku.com
• Murphy, Hawley Announce Breakthrough Bipartisan Legislation to Force AI Developers to Prioritize Safety or Face Prison Time, US-Senat (Büro Sen. Chris Murphy), 01.10.2026, murphy.senate.gov
• AI firms should be held liable for their models’ actions, lawma­kers say, Nextgov/FCW, 01.10.2026, nextgov.com
• Richtlinie (EU) 2024/2853 über die Haftung für fehler­hafte Produkte, Amtsblatt der EU (EUR-Lex), 23.10.2024, eur-lex.europa.eu
• Wenn KI-Agenten ihre Kontrollen austrick­sen, W&V, 05.10.2026, wuv.de