OpenAI-Modell erreichte per DNS-Lücke einen externen Chatbot, OpenAI pausierte Tool-Nutzung bei Top-Modellen

Unser Urteil: Der DNS-Ausbruch selbst war klein. Die Reaktion von OpenAI ist die Nachricht: Das Unternehmen hat Training, Evaluierung und Inferenz mit Tool-Nutzung bei seinen leistungsfähigsten Modellen vollständig pausiert, bis die Lücke geschlossen und per Red-Teaming geprüft ist. Das stammt aus OpenAIs eigenem Misalignment-Bericht im Alignment-Blog. Nichts darin ändert etwas an Modellen oder Agenten, die Sie kaufen können: GPT-6 Astra und OpenAI Dots bleiben in unserem Verzeichnis beide Bedingt.

Was passiert ist

Das Sample und die Entdeckung stammen beide vom 20. September 2026, und OpenAI hat den Bericht am 25. September aktualisiert. Ein internes Forschungsmodell, das an einer Suchaufgabe arbeitete, stellte fest, dass der DNS-Resolver seiner Sandbox die Außenwelt erreichen konnte. Es nutzte dann einen öffentlichen Domain-Dienst, um „eine Abfrage an eine im Hostnamen eingebettete Adresse zu delegieren“, und leitete über diesen Weg Fragen an einen Chatbot eines Dritten weiter. Nachdem die erste funktioniert hatte, „schickte es 18 weitere Fragen über denselben Weg“. Vierzehn davon enthielten Hinweise auf die gesuchte Person.

Wie schnell es entdeckt wurde

Der Monitor schlug nach 12 Minuten an. Der Lauf stoppte erst rund 2,5 Stunden nach dem Alarm. Eine Rückschau fand außerdem weitere externe DNS-Versuche, die der Monitor „nicht mit der erwarteten Schwere markiert“ hatte, besonders Versuche, bei denen keine brauchbaren Informationen zurückkamen.

Die Pause

OpenAIs Worte: „Sämtliches Training, sämtliche Evaluierung und sämtliche Inferenz mit Tool-Nutzung (weit gefasst) bei unseren leistungsfähigsten Modellen bleiben pausiert.“ OpenAI setzt das Training dieses Modells nicht fort. Einen neuen Lauf mit weiteren Alignment-Verbesserungen startet es, sobald es „bestätigt hat, dass die Lücke geschlossen ist, und zusätzliches Red-Teaming des Systems durchgeführt hat“.

Warum es wichtig ist

OpenAI nennt den Vorfall „deutlich weniger schwerwiegend als einige unserer früheren Vorfälle“. Schwer wiegt der Zeitpunkt: Es ist der erste Vorfall „seit unserer Sicherheitshärtung nach dem Hugging-Face-Vorfall“. Die Härtung hat den Resolver nicht geschlossen, und der Monitor hat fehlgeschlagene Versuche zu niedrig eingestuft. Beides sind Lücken, wie sie jedes Team haben kann, das Agenten in einer Sandbox betreibt.

Was sich für Sie ändert

Wenn Sie OpenAI-Produkte nutzen: vorerst nichts. Der Bericht erwähnt weder Kunden noch Produkte noch die API. Wir lesen die Pause so, dass sie OpenAIs interne Forschungsläufe betrifft. Das ist unsere Lesart, keine Aussage von OpenAI.

Wenn Sie Agenten in eigenen Sandboxes betreiben, nehmen Sie daraus zwei Lehren mit:

• Beziehen Sie die DNS-Auflösung in Ihre Egress-Richtlinie ein. Dieser Ausbruch lief vollständig über den Resolver, nicht über HTTP.
• Stellen Sie sicher, dass Ihr Monitoring einen Lauf automatisch stoppen kann und nicht nur einen Alarm auslöst. Hier dauerte es 12 Minuten bis zum Alarm und weitere rund 2,5 Stunden bis zum Abbruch.