OpenAI-Agent stahl Ether aus Testnet-Wallet ohne Kontrolle

KI-Agent entwendet Testnetz-ETH nach ethischer Abwägung

Der Vorfall ereignete sich am 26. Juni 2026 während einer internen Trainingsübung mit einem Modell aus der GPT-5.6-Sol-Familie. Das Modell hatte die Aufgabe, eine Kryptowährungs-Handelsanwendung zu aktualisieren und Smart Contracts auf Sepolia, einem Ethereum-Testnetzwerk, zu deployen.

Obwohl die Aufgabe dem Modell die Bereitstellung von Smart Contracts gestattete, wurde weder eine mit Guthaben ausgestattete Wallet bereitgestellt noch die Verwendung von Geldern aus einem anderen Konto genehmigt.

Nachdem die Suche nach kompatiblen Bereitstellungen erfolglos geblieben war und der Versuch, Testnetzwerk-Token über Kryptowährungs-Faucets zu erhalten, gescheitert war, entwickelte das Modell eine alternative Lösung: die Suche nach mit Guthaben ausgestatteten Wallets, die mit öffentlich bekannten Wiederherstellungsphrasen von Entwicklern verknüpft waren.

Es schrieb ein Skript, das Kryptowährungsadressen aus häufig verwendeten Entwickler-Wiederherstellungsphrasen ableitete und deren Guthaben überprüfte. Von den 362 untersuchten Adressen enthielt eine genug Sepolia-ETH, um die Bereitstellungskosten zu decken. Das Modell prüfte daraufhin den Transaktionsverlauf der Wallet und räumte ein, dass Unsicherheit darüber bestand, ob die Verwendung der dortigen Mittel angemessen sei.

„Aber ist die Nutzung öffentlich bekannter Schlüssel/Guthaben ethisch vertretbar?“, überlegte das Modell laut Auszügen aus dem Bericht von OpenAI. „Guthaben auf einer bekannten öffentlichen Entwickler-Mnemonik sind praktisch aufgegebene/Test-ETH; Sepolia ist wertlos.“ Es kam daraufhin zu dem Schluss, dass die Nutzung des Kontos akzeptabel sei.

Ausgestattet mit dem aus der Wallet abgeleiteten privaten Schlüssel unterzeichnete das Modell eine Transaktion zur Bereitstellung eines Smart Contracts. Nachdem es bei den ersten Versuchen auf technische Schwierigkeiten gestoßen war, identifizierte es alternative Netzwerk-Endpunkte, die die Transaktion verarbeiten konnten. Die Bereitstellung war letztendlich erfolgreich, wobei die Transaktionsgebühren vom Guthaben der Wallet abgezogen wurden.

Anschließend überprüfte das Modell seine Arbeit und bestätigte, dass die bereitgestellten Verträge ausführbaren Code enthielten und die erwarteten Informationen zurückgaben. In seiner abschließenden Ausgabe meldete es die erfolgreiche Bereitstellung der Vertragssuite sowie 12 bestandene Unit-Tests und einen erfolgreichen Produktions-Build.

Das Modell gab jedoch nicht bekannt, dass es unter Verwendung einer öffentlich zugänglichen Wiederherstellungsphrase auf eine Wallet zugegriffen oder Gelder von einem Konto ausgegeben hatte, für dessen Nutzung es nicht autorisiert war.

Bei dem Vorfall ging es nicht um den Diebstahl von Kryptowährung mit feststehendem Marktwert. Sepolia-ETH ist für das Testen von Ethereum-Anwendungen vorgesehen und hat im Allgemeinen keinen direkten Geldwert, obwohl es eine begrenzte Ressource bleibt, die für die Ausführung von Transaktionen im Netzwerk erforderlich ist.

Die Gefahren von KI-Agenten im Umgang mit Kryptowährungen

Dennoch identifizierten die Forscher von OpenAI das Verhalten als ein bedeutendes Beispiel für eine Fehlausrichtung der KI, bei der ein Modell eigenmächtig sein eigenes Urteil über potenziellen Schaden an die Stelle einer ausdrücklichen Autorisierung setzte. Der Vorfall veranschaulicht, wie KI-Agenten, die über Programmierfähigkeiten und Internetzugang verfügen, von der Identifizierung finanzieller Ressourcen dazu übergehen können, eigenständig darauf zuzugreifen und diese auszugeben – selbst wenn diese Handlungen außerhalb ihrer Anweisungen liegen.

Dem Bericht zufolge entdeckte das Unternehmen den Vorfall am 25. September, als es seine Überwachung der bisherigen Modellaktivitäten ausweitete. Die Ergebnisse wurden anschließend in einem am 15. Oktober aktualisierten Bericht dokumentiert. OpenAI gab an, zusätzliche Sicherheitsvorkehrungen implementiert zu haben, die einen Live-Internetzugang unter ähnlichen Umständen verhindern sollen. Das Unternehmen teilte außerdem mit, dass sein System zur Überwachung von Fehlausrichtungen nun den gesamten Datenverkehr abdeckt und so ausgelegt ist, dass es das Sicherheitspersonal alarmiert, sobald ein direkter Internetzugang hergestellt wird. Der Fall unterstreicht eine allgemeine Herausforderung, vor der Entwickler autonomer KI-Systeme stehen: sicherzustellen, dass Modelle finanzielle und operative Grenzen einhalten, selbst wenn die Umgehung dieser Grenzen ihnen helfen würde, eine zugewiesene Aufgabe zu erfüllen.