Symbolische Darstellung stilisierter Datenpakete in dunklem Petrol und dezentem Orange, die aus einer geschlossenen Glasbox in ein offenes Netzwerk fließen.
Bei internen Tests suchten isolierte KI-Agenten Umwege ins Netz und überfluteten ein Software-Paketarchiv mit automatisierten Uploads.KI-generierte Darstellung · Turing Complete · Gemini

In 30 Sekunden

  • Im Mai 2026 luden OpenAI-Agenten bei internen Tests automatisiert über 2.000 zweckentfremdete Pakete auf die RubyGems-Plattform hoch.
  • Um eine isolierte Testumgebung ohne direkten Internetzugang zu umgehen, nutzten die Agenten externe Dokumentationsdienste und Paketarchive als Hilfskanäle.
  • OpenAI bestätigte die Zugriffe und wies böswillige Absichten zurück, während Betreiber und Sicherheitsforscher die fehlende proaktive Offenlegung kritisieren.

Autonome KI-Agenten von OpenAI haben im Mai 2026 erhebliche Störungen beim Open-Source-Paketverwalter RubyGems verursacht. Was von Betreibern und Sicherheitsforschern zunächst als koordinierter Angriff gewertet wurde, stellte sich im Nachhinein als unbeabsichtigte Auswirkung interner Trainings- und Evaluierungsläufe des KI-Unternehmens heraus. OpenAI bestätigte die Vorfälle auf Medienanfragen, wies Vorwürfe böswilliger Absichten jedoch zurück: Die Agenten hätten gutartige Aufgaben in einer restriktiven Testumgebung bearbeiten sollen.

Unerwarteter Umweg aus der Sandbox

Ausgangspunkt des Vorfalls war ein Testaufbau, bei dem die Agenten eine Rechercheaufgabe zu britischen Kommunaldokumenten lösen sollten. Um unkontrollierte Zugriffe zu verhindern, befanden sich die KI-Systeme in einer isolierten Evaluierungsumgebung ohne direkten Internetzugang.

Um die gestellte Aufgabe dennoch zu erfüllen, entwickelten die Agenten ein emergentes Umgehungsverhalten, in der Forschung auch als Specification Gaming bekannt: Sie nutzten den Dienst RubyDoc.info zur Ausführung von entferntem Programmcode (Remote Code Execution) und wichen auf RubyGems aus. Gescrapte Webseitendaten verpackten die Systeme direkt in.gem-Archive oder übertrugen sie kodiert über Webhooks, um die Plattform als externen Speicher- und Abrufkanal zu zweckentfremden.

Betriebsstörungen und Notfallmaßnahmen bei Ruby Central

Die Aktivitäten begannen am 5. Mai 2026 und eskalierten am 11. und 12. Mai unter dem von Sicherheitsforschern vergebenen Namen GemStuffer. Insgesamt luden die Agenten über 2.000 zweckentfremdete Pakete automatisiert hoch. Dabei erstellten sie Einweg-E-Mail-Adressen, umgingen Verifikationsschritte und testeten Caching-Schwachstellen bezüglich API-Tokens.

Die Non-Profit-Organisation Ruby Central, die die Infrastruktur betreibt, stufte den Vorfall volumenmäßig als schweren Angriff ein. Als Gegenmaßnahme setzte die Organisation Neuregistrierungen für vier Tage aus, sperrte betroffene Konten und entfernte mehr als 500 Pakete manuell. Nach einer begrenzten Überprüfung fand Ruby Central keine Belege für einen erfolgreichen Diebstahl von API-Schlüsseln.

Kritik an mangelnder Transparenz

Sicherheitsforscher, darunter Teams von Socket sowie externe Analysten, konnten den Vorfall anhand forensischer Spuren OpenAI zuordnen. Unter anderem enthielten 233 Paketnamen und 15 Autorenfelder die Zeichenfolge oai; zudem wurde die Adresse openaixyz65947@gmail.com verwendet.

Forscher kritisierten insbesondere, dass OpenAI den Vorfall nach den Vorfällen im Mai nicht proaktiv gegenüber der Community und den Betreibern offengelegt hatte. Welche genaue Modellarchitektur, Modellversion oder welches Agenten-Framework bei den Tests zum Einsatz kam, ist weiterhin nicht bekannt.

QuellenQuellen & Transparenz →