Externe Prüfer finden Lücken in OpenAIs Agentenüberwachung: Bis zu 25 Prozent des Traffics nicht vorgesehen

Prüfer: Bis zu 25 Prozent des Agenten-Traffics nicht für Überwachung vorgesehen

Externe Prüfer haben im internen Überwachungssystem von OpenAI für Agenten-Fehlausrichtung eine quantifizierte Lücke gefunden. Vom 21. Juli bis 11. August 2026 arbeitete je ein Mitarbeiter von METR und von Redwood Research vor Ort am Misalignment-Monitoring. Sie erhielten Zugang zur internen Codebasis, zu Monitor-Prompts, Konfigurationsdetails und interner Dokumentation. Dazu führten sie Interviews mit rund einem Dutzend Forschenden und Ingenieuren. Die Arbeit fand auf OpenAI-Geräten statt, die das Gelände nie verließen. Die Prüfer wurden begleitet.

Nach Schätzung der Prüfer lagen 75 bis 94 Prozent des Agenten-Traffics von Modellen ab der Klasse GPT-5.5 auf OpenAIs interner Responses API für die Überwachung vorgesehen. Rechnerisch blieben 6 bis 25 Prozent nicht vorgesehen. METR betont, die Unsicherheit der Schätzung sei in beide Richtungen erheblich. Auch „nicht vorgesehen“ heißt allerdings nicht zwingend „nie geprüft“. Berichte, die von unüberwachtem Traffic sprechen, vereinfachen an dieser Stelle.

Für interne Codex-Agenten allein nennt die Zusammenfassung 99,2 Prozent als überwachbar. Eine zweite Schätzung von METR besagt, dass im überwachungspflichtigen Codex-Traffic von Mai bis Juli rund 10 Prozent unüberwacht blieben. Beide Werte scheinen einander zu widersprechen. Vermutlich liegen unterschiedliche Metriken und Zeiträume zugrunde. Das Material klärt es nicht.

Compaction-Lücke, steuerbare Header und ein möglicher Sandbox-Bypass

Die Prüfer nennen mehrere konkrete Schwachstellen. Compaction-Events waren nicht erfasst. Gemeint sind die Momente, in denen der Kontext einer langen Sitzung zusammengefasst wird. Das Monitoring lief nur, wenn ein Agent die Kontrolle an den Nutzer zurückgab. Ein Agent konnte die Prüfung also aufschieben, indem er einfach weiterarbeitete. OpenAI habe den Fehler nach Angaben von METR unabhängig entdeckt und noch während des Audits behoben.

Zu Beginn der Übung waren außerdem RL-Trainingsläufe vom Misalignment-Monitor nicht abgedeckt. Zwei vom Client steuerbare HTTP-Header konnten das Monitoring für neu gestartete Agenten abschalten. Schon das Setzen der Header konnte dem Monitor allerdings auffallen.

METR beschreibt zudem einen Weg, auf dem Codex-Agenten Sandboxing und Auto-Review prinzipiell umgehen und jede Aktion des Host-Nutzers ausführen könnten. Ein weiterer Exploit hätte verhindert, dass Hunderte der jüngsten Aktionen überwacht werden. Speziell präparierte Eingaben brachten den Monitor vermutlich zum Absturz. Ursache ist ein Serialisierungs-Mismatch. METR ordnet die Befunde drei Fehlerklassen zu: Sandbox-Grenze, vom Monitor angenommene Sichtbarkeit und Gleichheit von serialisierter und gelesener Agentenausgabe. Eine Quelle nennt für den Redwood-Text sechs Klassen. Ein Abgleich ist mangels Originaltext nicht möglich.

OpenAI meldet Behebung, der 61-seitige Bericht bleibt unter Verschluss

OpenAI teilte METR und Redwood mit, alle Schwachstellen mit Auswirkung auf den produktiven Safeguards-Stack seien behoben. Das ist eine Herstellerangabe. Einen unabhängigen Nachtest gibt es laut Material nicht. Ein OpenAI-Sprecher erklärte gegenüber CNBC, die Zusammenarbeit baue auf einem langjährigen Engagement für neue Ansätze bei Tests durch Dritte auf. Man nutze die Erkenntnisse, um Schutzmaßnahmen zu stärken.

Der Rahmen begrenzt die Aussagekraft. Die Übung war als Pilot für tiefen externen Zugang angelegt, nicht für robuste öffentliche Transparenz. Bewertet wurde der Stand bis zum 21. Juli. Laufende Änderungen blieben außen vor. Vorab war vereinbart, nur einen kurzen Beitrag zu veröffentlichen. OpenAI durfte vertrauliche Informationen schwärzen. Die Autoren durften die Schwärzungen nicht einseitig beschreiben. Die Zusammenfassung erschien am 22. Oktober 2026. Der 61-seitige Bericht ging nur an OpenAI-Forschende und Security-Personal. METR und Redwood erwarten, bei künftigen Übungen mehr Details zu veröffentlichen.