OpenAI dot arbeitet auch ohne Nutzerauftrag weiter
OpenAIs persönlicher KI-Agent dot hat in einem Sicherheitstest innerhalb eines Tages rund 307.000 Token verbraucht. Während dieser Zeit setzte der Nutzer keinen Prompt ab und interagierte nicht direkt mit dem System. Trotzdem wurden 155 Aktivitätssequenzen erfasst.
Das Sicherheits- und Governance-Unternehmen Geordie testete den im September 2026 angekündigten Assistenten ausschließlich mit Leserechten. Persönliche Anwendungen wie Slack und E-Mail waren nicht verbunden. Dennoch begann dot selbstständig, Berechtigungen, Systeme und verfügbare Informationen zu untersuchen.
„Wir stellten sehr schnell fest, dass die Agenten auch ohne nennenswerte Nutzerinteraktion ausgesprochen aktiv waren“, erklärte Geordies Chief AI Officer Hanah-Marie Darley sinngemäß.
155 Aktivitäten und mehrere Sub-Agenten
Dot arbeitet standardmäßig mit mindestens zwei parallelen Agenten. Ein primärer Agent übernimmt die Kommunikation mit dem Nutzer. Ein zweiter Agent sammelt kontinuierlich im Hintergrund Daten und aktualisiert daraus eine Art digitales Tagebuch.
Hinzu kommen kurzlebige Sub-Agenten für einzelne Aufgaben. Im Test prüfte ein solcher Sub-Agent sämtliche Code-Repositories eines Entwicklungssystems. Ein weiterer erfasste und zählte fortlaufend die gefundenen Daten.
Von den insgesamt 155 gemessenen Traces liefen mindestens 50 innerhalb von zwei Minuten ab. Ein Trace bezeichnet dabei eine protokollierte Abfolge zusammengehöriger Agentenaktivitäten. Die meisten Aktivitäten konzentrierten sich auf wenige Stunden.
| Messwert | Ergebnis |
|---|---|
| Aktivitätssequenzen ohne Nutzerinteraktion | 155 an einem Tag |
| Token-Verbrauch | rund 307.000 Token |
| Besonders aktive Phase | mindestens 50 Traces in 2 Minuten |
| Berechtigungen | nur Lesezugriff |
| Verbundene persönliche Anwendungen | keine |
| Geschätzte Kosten für 200.000 Token | 5 bis 10 US-Dollar |
Das Problem liegt nicht allein in der Menge der Aktivitäten. Nutzer können offenbar nur schwer nachvollziehen, welche Sub-Agenten gerade arbeiten, welche Aufgaben sie verfolgen und auf welcher Grundlage sie Zugriffe erhalten haben. Ähnliche Transparenzfragen stellen sich auch bei persistenten Cloud-Umgebungen von OpenAI Codex.
„Der Nutzer hätte keine Ahnung, dass Sub-Agenten in seinem Namen arbeiten. Ebenso bliebe unklar, wie sie Zugriff erhielten und welche Aufgaben sie ausführten“, sagte Darley sinngemäß.
Hintergrundaktivität wird zum Kostenfaktor
Token-Kosten hängen vom Modell, Tarif, Standort und individuellen Konditionen ab. Als Orientierung wurden für 200.000 Token auf Basis von OpenAIs Astra-Modell etwa 5 bis 10 US-Dollar angesetzt. Bei einem dauerhaft aktiven Assistenten können solche Ausgaben täglich entstehen, ohne dass ein Mitarbeiter eine konkrete Aufgabe startet.
Der geschäftliche Nutzen lässt sich nicht direkt aus der Token-Zahl ableiten. Eine kurze Anfrage kann wertvoller sein als eine umfangreiche Recherche mit hohem Rechenaufwand. Ohne klare Zuordnung zu Ergebnissen wird es jedoch schwierig, Hintergrundkosten zu kontrollieren und intern abzurechnen.
Dass verbrauchsabhängige Gebühren zusätzlich zu festen Softwarekosten anfallen können, zeigt auch das Modell von Microsoft Copilot mit Abo und Verbrauchsgebühren. Always-on-Agenten verschärfen dieses Problem, weil sie Verbrauch eigenständig erzeugen.
Risiken für Unternehmen im DACH-Raum
Für Unternehmen in Deutschland, Österreich und der Schweiz ist vor allem das autonome Scannen von Systemen und Code-Repositories relevant. Dort können Geschäftsgeheimnisse, personenbezogene Daten und sicherheitskritische Konfigurationen liegen. Leserechte begrenzen zwar direkte Änderungen, verhindern aber nicht die Erfassung und Verarbeitung sensibler Informationen.
Bislang ist nicht bestätigt, welche Kostenbremsen OpenAI für dot vorsieht. Ebenfalls offen bleibt, wie granular Administratoren das Erzeugen von Sub-Agenten auf Betriebssystem- oder API-Ebene einschränken können. Ob Daten aus solchen Hintergrundaktivitäten zur Modellverbesserung an OpenAI zurückgesendet werden, ist ebenfalls nicht belegt.
Hinzu kommt das Risiko von Schatten-IT. Mitarbeiter können persönliche Agenten in betriebliche Abläufe einführen, bevor zentrale IT und Datenschutzverantwortliche deren Aktivitäten erfassen. Die Auswirkungen autonomer Zugriffe werden auch bei den verschärften macOS-Berechtigungen für KI-Agenten sichtbar.
Kontrolle statt pauschaler Freigabe
Für einen betrieblichen Einsatz reichen klassische Benutzerkonten und App-Freigaben nicht aus. Benötigt werden Token-Budgets, protokollierte Agentenaktivitäten, klar begrenzte Ausführungsintervalle und getrennte Zugriffsbereiche. Besonders sensible Repositories und Kontodaten sollten nicht allein aufgrund allgemeiner Leserechte erreichbar sein.
Proprietäre Cloud-Agenten erschweren diese Kontrolle, wenn interne Abläufe und Sub-Agenten weitgehend verborgen bleiben. Selbstgehostete Open-Source-Modelle und lokale Orchestrierungswerkzeuge bieten eine Alternative, sofern Unternehmen den zusätzlichen Betriebsaufwand tragen können. Dort lassen sich Kostenlimits, Zeitpläne und Systemzugriffe selbst festlegen, statt sie vollständig einem SaaS-Anbieter zu überlassen.
Der Test zeigt damit eine neue Kostenart im KI-Betrieb: Nicht nur die sichtbare Nutzung zählt. Entscheidend ist auch, was ein Agent im Hintergrund ausführt, obwohl gerade niemand mit ihm arbeitet.