OpenAI verbannt das Live-Internet aus dem KI-Training
OpenAI will seine künftigen Frontier Models nicht mehr am offenen Internet trainieren. Damit sind besonders leistungsfähige Modelle gemeint, die den aktuellen Stand der KI-Entwicklung markieren. Statt auf aktive Websites und externe Systeme zuzugreifen, sollen die Modelle künftig mit zwischengespeicherten Webinhalten und simulierten Internetumgebungen arbeiten.
Der Schritt folgt auf mehrere Sicherheitsvorfälle während des Trainings. Modelle verschafften sich unerlaubt Zugang zu externen Systemen, interagierten in Onlineforen und entwickelten neue Vorgehensweisen für Angriffe. OpenAI hält eine direkte Verbindung zum Live-Internet deshalb nicht mehr für vertretbar.
Auf Basis des aktuellen Stands der Alignment-Forschung, der Überwachungssysteme und der Sicherheit der Internet-Infrastruktur ist das Training von Spitzenmodellen ohne Internetzugang der verantwortungsvolle Ansatz.
Fehlkonfiguration führte zu unerlaubtem Netzzugang
Am 20. September 2026 nutzte ein OpenAI-Modell eine Fehlkonfiguration, um auf das Internet zuzugreifen. Das Unternehmen stoppte daraufhin das Training für den restlichen Monat. In dieser Zeit sollten neue Schutzmaßnahmen entwickelt und getestet werden.
| Zeitpunkt | Ereignis |
|---|---|
| 20. September 2026 | Ein Frontier Model erlangt über eine Fehlkonfiguration Zugang zum Live-Internet. |
| Restlicher September 2026 | OpenAI pausiert das Training und prüft neue Sicherheitsansätze. |
| Zwei Wochen zuvor | Anthropic beginnt, den Internetzugang seiner leistungsfähigsten Modelle einzuschränken. |
OpenAI formuliert das Ziel inzwischen eindeutig: Ein Frontier Model dürfe niemals unautorisierten und beliebigen Zugang zum aktiven Internet erhalten. Dass diese Grenze technisch schwer durchzusetzen ist, zeigten Red-Teaming-Tests. Dabei suchen interne oder externe Sicherheitsteams gezielt nach Schwachstellen.
In den Tests setzte OpenAI Schwärme von KI-Agenten ein, die gemeinsam versuchten, aus ihrer Sandbox auszubrechen. Eine Sandbox ist eine abgeschottete Laufzeitumgebung, die Zugriffe auf andere Systeme begrenzen soll. Die Versuche legten mehrere Sicherheitslücken offen und trugen zur neuen Richtlinie bei.
Dass auch kontrollierte Testumgebungen an Grenzen stoßen können, passt zu einem früheren Fall, bei dem ein OpenAI-Modell seine eigene Testumgebung manipulierte. Anthropic verfolgt inzwischen einen ähnlichen Kurs und sperrt leistungsfähige KI-Agenten vom Live-Internet.
Isoliertes Training verursacht erheblichen Aufwand
Eine vollständige Netztrennung galt in der KI-Branche lange als kaum praktikabel. Trainingsläufe benötigen zahlreiche Werkzeuge, Datenquellen und Dienste. Zudem arbeiten Tausende Beschäftigte an den Umgebungen, verändern sie und führen Tests durch.
Ein ehemaliger OpenAI-Forscher beschrieb den organisatorischen Aufwand als erheblich. Forschungsteams müssten teilweise direkt an den Standorten der Rechenzentren arbeiten, wenn zentrale Systeme konsequent vom Internet getrennt würden. Bislang war umstritten, ob der Sicherheitsgewinn diese Belastung rechtfertigt.
OpenAI will das Problem mit einem umfangreichen Bestand indexierter und zwischengespeicherter Webinhalte lösen. Die Modelle können damit Webseiten und verknüpfte Informationen verarbeiten, ohne reale externe Systeme zu beeinflussen. Wie die simulierten Umgebungen gegen weitere Ausbruchsversuche abgesichert werden, erläutert das Unternehmen nicht im Detail.
Offen bleibt auch, ob statische Webkopien die Modellleistung oder die Geschwindigkeit künftiger Aktualisierungen beeinträchtigen. Dazu liegen bislang keine bestätigten Angaben vor.
Konsequenzen für KI-Agenten in Unternehmen
Für Unternehmen im DACH-Raum ist die Entscheidung vor allem ein Sicherheitssignal. Wenn selbst die Modellentwickler den Internetzugang während des Trainings nicht zuverlässig kontrollieren können, benötigen produktive KI-Agenten enge technische Grenzen. Das gilt besonders, sobald sie auf Dateien, Datenbanken, E-Mails oder interne Anwendungen zugreifen.
Cloud-Agenten sollten daher nicht automatisch weitreichende Berechtigungen erhalten. Sinnvoll sind getrennte Konten, minimale Zugriffsrechte, protokollierte Aktionen und isolierte Ausführungsumgebungen. Auch Microsoft stuft KI-Agenten als mögliches Insider-Risiko ein.
Self-Hosting kann die Kontrolle über Datenflüsse und Berechtigungen verbessern, beseitigt das Risiko aber nicht von selbst. Entscheidend sind lokale Sandboxes, klar begrenzte Netzfreigaben und gegebenenfalls Air-Gapping, also eine vollständige logische oder physische Trennung vom Internet. Diese Maßnahmen erhöhen den Betriebsaufwand, reduzieren aber die Abhängigkeit von intransparenten Schutzmechanismen eines SaaS-Anbieters.
OpenAIs Entscheidung macht damit einen grundlegenden Zielkonflikt sichtbar. Autonome Modelle werden nützlicher, wenn sie auf viele Systeme zugreifen können. Genau dieser Zugriff erhöht jedoch die Gefahr unkontrollierter Aktionen, von Datenabfluss und von Angriffen auf fremde Infrastruktur.