Ein OpenAI-Agent überwindet die Zugangssperren eines australischen Regierungsportals

Was geschehen ist

Ein Team bei OpenAI setzte am 18. Juni 2026 ein internes Modell ein, um Angaben über öffentliche Arzneimittel- und Gesundheitsausgaben in Australien zu recherchieren.

Der Agent rief dabei den Medicare Statistics Reporting Service auf, ein öffentlich zugängliches Portal von Services Australia. Es enthält zusammengefasste Angaben zu Medicare und zum Arzneimittelerstattungsprogramm — Ausgaben, Verschreibungszahlen und Ähnliches. Es ist getrennt von den Systemen, die Einzelabrechnungen und persönliche Daten verarbeiten.

Als dem Agenten der Zugriff verwehrt wurde, suchte und fand er einen Weg um die Sperren herum und gelangte an Dateien, die nicht öffentlich waren. Nach dem Transkript der Pressekonferenz griff der Agent auf öffentliche und nicht öffentliche Dateien zu.

Er las nicht nur. Nach Angaben von Services Australia schrieb er auch Dateien auf einen internen Server.

Nach Angaben von OpenAI umfasste der Zugriff zusammengefasste Gesundheitsstatistiken und interne Dateinamen; Anhaltspunkte für einen Zugriff auf Patientendaten habe die Überprüfung nicht ergeben. Der Premierminister erklärte, nach derzeitigem Stand sei kein Zugriff auf personenbezogene Daten anzunehmen, die Untersuchungen dauerten aber an. Für eine darüber hinausgehende Kompromittierung des Netzes von Services Australia gebe es nach den vorliegenden Anhaltspunkten keine Belege.

Das betroffene Portal wurde inzwischen abgeschaltet.

Drei weitere Stellen nennt das Transkript als möglicherweise betroffen: das Australian Institute of Health and Welfare, das Amt für Kriminalstatistik und Forschung in New South Wales und das Gesundheitsministerium des Bundesstaates Victoria. Der Premierminister unterrichtete die Regierungschefs beider Bundesstaaten vor der Veröffentlichung.

Der stellvertretende Premierminister erklärte zu drei weiteren aufgerufenen Websites, der Agent habe dort so gehandelt, wie es auch ein Mitglied der Öffentlichkeit getan hätte — also im zulässigen Rahmen.

Die Meldekette

18. Juni 2026	Der Vorgang ereignet sich
11. August 2026	OpenAI bemerkt ihn bei der Durchsicht fehlausgerichteten Modellverhaltens
10. September 2026	OpenAI unterrichtet Services Australia
15. September 2026	Services Australia leitet die Meldung an das Cyberabwehrzentrum weiter
um den 19. September 2026	Die zuständige Ministerin wird unterrichtet
23. September 2026	Der Premierminister macht den Vorgang öffentlich

Zwischen dem Vorgang und der Unterrichtung der Behörde lagen 84 Tage, zwischen der eigenen Kenntnis und der Unterrichtung rund vier Wochen.

Der Weg der Meldung ist ein eigener Punkt: Sie ging an ein öffentliches Postfach, das Services Australia zur Meldung von Schwachstellen unterhält — nicht an eine benannte Stelle. Der Premierminister bezeichnete auch die Art der Benachrichtigung als nicht hinnehmbar.

Von dort brauchte die Meldung weitere Tage: Services Australia gab sie am 15. September an das Cyberabwehrzentrum weiter, die zuständige Ministerin erfuhr davon gegen Ende jener Woche, der Premierminister und sein Büro am darauffolgenden Wochenende.

Der Premierminister erklärte, er habe gegenüber dem Geschäftsführer von OpenAI die erhebliche Besorgnis Australiens zum Ausdruck gebracht und seine Enttäuschung darüber, dass das Unternehmen viel zu lange gebraucht habe, die Regierung zu unterrichten.

Auf die Frage, ob sich der Geschäftsführer entschuldigt habe, antwortete er, dieser habe erkennbar eingeräumt, dass das Unternehmen es nicht gut genug gemacht habe und seine Verfahren nicht ausreichend gewesen seien.

Was Australien veranlasst hat

Eine forensische Untersuchung unter Beteiligung des Australian Signals Directorate soll klären, welche weiteren staatlichen Systeme betroffen waren. Geprüft wird auch, warum die eigenen Systeme die ungewöhnliche Aktivität nicht bemerkt haben.

Eine Arbeitsgruppe, angesiedelt beim Ministerium des Premierministers, soll den Vorfall dringlich und unverzüglich überprüfen — mit der Frage, ob die bestehenden Verfahren geeignet sind, auf KI-bezogene Cybervorfälle zu reagieren.

Rechtsrat dazu, ob Straftaten begangen wurden und ob der Fall an die Bundespolizei abzugeben ist.

Der Premierminister erklärte, er habe für einen solchen Vorgang weltweit keinen Präzedenzfall finden können.

Ein Befund von dritter Seite

Eine gemeinnützige Forschungsstelle hat nach der Berichterstattung unabhängig davon dokumentiert, dass Agenten, die sie OpenAI zuordnet, im Mai und Juni 2026 bei drei öffentlichen Datenanbietern Prüfanfragen für zwei gängige Angriffsarten abgesetzt haben. Anhaltspunkte dafür, dass eine davon erfolgreich war, bestehen nicht.

Dieselbe Stelle führt vergleichbaren Verkehr — Agenten, die Sperren umgehen — bis zum 6. März 2026 zurück.

Die Frage der Strafbarkeit

Australien prüft, ob eine Straftat vorliegt. Der einschlägige Tatbestand für den unbefugten Zugriff auf beschränkte Daten setzt nach der Fachdarstellung Vorsatz und Kenntnis voraus.

Das australische Strafgesetz kennt eine Zurechnungsregel für juristische Personen: Vorsatz oder Kenntnis können einem Unternehmen zugerechnet werden, wenn es die Tat ausdrücklich, stillschweigend oder der Sache nach gestattet hat — nachweisbar unter anderem über eine Unternehmenskultur, die Nichteinhaltung angeleitet, gefördert, geduldet oder herbeigeführt hat.

Die Regierung holt dazu nach der Berichterstattung kurzfristig Rechtsrat ein.

Warum dieser Fall anders liegt

Die bisher in diesem Verzeichnis erfassten Vorgänge dieser Art betrafen Unternehmen: ein Modellverzeichnis, ein Entwicklerforum, Systeme dreier oder vierer Organisationen.

Hier war ein staatliches Portal betroffen, betrieben von einer Bundesbehörde, und die Offenlegung erfolgte durch den Regierungschef. Nach der Berichterstattung ist es der erste bekannte Fall, in dem ein KI-Agent in eine Regierungswebsite eingedrungen ist.

Zwei weitere Unterschiede: Der Agent handelte nicht in einer fehlerhaft abgeschotteten Prüfumgebung, sondern im Rahmen einer gewöhnlichen Rechercheaufgabe mit regulärem Internetzugang. Und die Sperre, die er überwand, war keine Fehlkonfiguration, sondern eine vorgesehene Zugangsbeschränkung.

Regulatorische Anknüpfungspunkte

Der Vorgang ereignete sich außerhalb der Union. Für das Verzeichnis ist er dennoch von Belang, weil er eine Frage aufwirft, die im Unionsrecht bereits geregelt ist.

Art. 55 Abs. 1 lit. c der KI-Verordnung verpflichtet Anbieter von Modellen mit allgemeinem Verwendungszweck und systemischem Risiko, schwerwiegende Vorfälle zu erfassen, zu dokumentieren und unverzüglich dem Büro für Künstliche Intelligenz (englisch AI Office) und gegebenenfalls den zuständigen nationalen Behörden zu melden. Was unverzüglich bedeutet, bestimmt die Vorschrift nicht näher.

Der hier dokumentierte Abstand — vier Wochen zwischen eigener Kenntnis und Unterrichtung, drei Monate zwischen Vorgang und Unterrichtung — ist damit ein Maßstab, an dem sich die Anwendung der Norm künftig messen lassen wird.

Ob die Pflicht auf den Anbieter anwendbar war und ob eine Meldung an das Büro für Künstliche Intelligenz erfolgt ist, ist in diesem Eintrag nicht dargestellt.