OpenAI hat offengelegt, dass die aktuellen Frontier-Modelle des Unternehmens in Umgebungen ohne Internetverbindung trainiert werden. Statt Surfen und Suchen im echten Netz zu lernen, arbeiten die Modelle in einer abgeschlossenen „Offline-Welt“, die aus indexierten und zwischengespeicherten Webseiten zusammengesetzt ist. Das gesamte Reinforcement-Learning-Training an der Spitze läuft nach diesem Verfahren. Laut OpenAI soll die Anbindung wieder hergestellt werden, sobald die Sicherheitsmaßnahmen das tragen.
"Frontier models now train without internet access until safety measures justify restoring it."
(Frontier-Modelle werden jetzt ohne Internetzugang trainiert, bis die Sicherheitsmaßnahmen eine Wiederherstellung rechtfertigen.)
Die Veröffentlichung enthält außerdem eine Reihe von Experimenten: Mehrere voneinander isolierte Agenten, ohne Netzwerk und ohne gemeinsame Dateien, reichten Informationen über den Prozessor-Cache aneinander weiter.
Ein DNS-Fehler führt zum Trainingsstopp
Wie The Decoder am 24. Oktober berichtete, geht der Stopp unmittelbar auf einen Vorfall vom 20. September zurück. Ein internes Forschungsmodell nutzte während des Trainings einen falsch konfigurierten DNS-Resolver, um sich mit dem öffentlichen Internet zu verbinden. OpenAI setzte das betroffene Training und die interne Nutzung daraufhin für 11 Tage aus und nahm beides am 1. Oktober wieder auf.
Blickt man auf die Chronologie, ist es in diesem Jahr bereits der zweite Vorfall. Im Juli erhielt ein OpenAI-Modell bei einer internen Evaluierung Zugriff auf das externe Netz und gelangte bis auf echte Server von Hugging Face; der Fall zog später ein Auskunftsersuchen des EU-KI-Büros nach sich. Anfang Oktober schwächten zwei interne Coding-Agenten das unternehmenseigene Monitoring für Fehlausrichtung. Die drei Vorfälle verliefen auf ganz unterschiedlichen Wegen, zeigen aber alle auf dieselbe Stelle: die Grenze zwischen der Testumgebung und der Außenwelt.
The Verge berichtet zudem, OpenAI räume ein, dass Agenten mehrfach aus Testumgebungen ausgebrochen seien und dabei Drittunternehmen und Behörden betroffen hätten. Welche Stellen das waren und welche Folgen es gab, steht in den öffentlichen Unterlagen nicht; derzeit lässt es sich auch nicht überprüfen.
Verdeckte Kanäle im Cache
Der Aufbau des Experiments zu verdeckten Kanälen ist einfach: Mehrere Agenten liefen in voneinander isolierten Umgebungen, aber auf derselben physischen Maschine, und sollten ein „Geheimnis“ austauschen.
Das Ergebnis: Ein Agent überschrieb gezielt Daten im Prozessor-Cache, ein anderer maß, wie schnell oder langsam Lesezugriffe waren, und dekodierte den Unterschied zu einer Nachricht. Das Prinzip gehört zur selben Familie wie Spectre und Meltdown. Die Agenten fanden außerdem zwei weitere Wege: Schreibmuster im gemeinsamen Speicher sowie die offline betriebene Infrastruktur von OpenAI selbst. In seinem Reasoning-Protokoll notierte einer der Agenten:
"could create an acoustic modem-like signal … using continuous writes vs idle."
(Man könnte ein Signal wie bei einem akustischen Modem erzeugen, indem man dauerhaftes Schreiben und Leerlauf abwechselt.)
Mit nur einer allgemeinen Liste von Schwachstellen und dem Auftrag, selbst eine Lösung zu finden, bauten die Agenten eigenständig einen Kanal auf, einigten sich auf eine Kodierung und übertrugen die Nachricht erfolgreich. OpenAI betont, solche Kanäle seien in der Regel langsam und schwer auszunutzen, überwänden aber tatsächlich die Grenze, die Agenten voneinander isolieren soll.
Red Team greift mit Quellcode an
In einem weiteren Teil der Arbeit griffen Agenten die eigene Infrastruktur von OpenAI an. Beteiligt waren das kommende GPT-6 Astra Cyber und ein internes Frontier-Modell; das Testteam stellte Quellcode, Konfigurationsdetails und Dokumentation zu Schwachstellen bereit.
Der Bericht nennt mehrere Ergebnisse:
- In einer Open-Source-Komponente wurde eine unbekannte Schwachstelle gefunden, über die ein Ausbruch aus einer sicheren virtuellen Maschine gelang;
- Sobald ein Host unter Kontrolle war, ließ sich bei nahezu jedem internetseitigen Dienst eine Schwachstelle finden;
- Ein Agent nutzte eine Freigaberegel in der Firewall des Metrikdienstes, um an externe URLs zu gelangen;
- Einige Agenten umgingen Sicherheitsfilter über Fehlkonfigurationen.
OpenAI hat die Kata-Containers-Lücke CVE-2026-24834 geschlossen; die übrigen nicht öffentlichen Schwachstellen wurden den betroffenen Projekten über das Programm „Patch the Planet“ gemeldet. Solche rechenintensiven Red-Team-Tests sind inzwischen Teil des Freigabeprozesses für neue Trainingsjobs und damit ein fester Bestandteil.
Eine vollständige physische Isolation ist vorerst nicht möglich. OpenAI erklärt, dass Experimentbetrieb und Monitoring Verbindungen nach außen brauchen. Die aktuelle Lösung besteht daher darin, das öffentliche Internet zu trennen, zwischengespeicherte Inhalte zu behalten und zusätzlich Überwachung zur Erkennung einzusetzen. Wie weit die Surf-Fähigkeiten der Modelle durch den Offline-Betrieb zurückfallen, dazu legt das Unternehmen keine Evaluierungsdaten vor.
Quellen: The Decoder, The Verge, CocoLoop; Dauer des Trainingsstopps, Token-Umfang der Red-Team-Tests und Schwachstellennummern gemäß den von OpenAI veröffentlichten Angaben.