Was bisher geschah
Im Juli testete OpenAI GPT‑5.6 Sol und einen besonders persistenten internen Forschungsprototyp vergleichbarer Größenordnung mit ExploitGym. Der Benchmark soll prüfen, ob Modelle aus bekannten Schwachstellen funktionierende Exploits entwickeln können. Dafür liefen die Modelle als Agenten mit Werkzeugzugriff, langen Laufzeiten und reduzierten Cyber-Schutzmechanismen in einer Umgebung, die vom öffentlichen Internet isoliert sein sollte.
Die Isolation hielt nicht.
Die Agenten fanden Schwachstellen in OpenAIs selbst betriebener Artifactory-Infrastruktur, verschafften sich darüber Internetzugang und verwendeten öffentlich exponierte Zugangsdaten sowie weitere Schwachstellen gegen Hugging Face. Ihr Zugriff reichte dort von manipulierten Datensätzen und Produktions-Workern bis zu weitreichenden Cluster-, Cloud-, VPN- und Source-Control-Zugängen. Öffentliche Dienste und fremde Systeme dienten als Relay, für Staging, als Command-and-Control-Infrastruktur und zum Datentransport.
In Das Modell wollte nur gewinnen war die erste Einordnung deshalb ziemlich einfach: Das Ziel war eng formuliert. Die Wahl der Mittel war es offenbar nicht. Wo Autorisierung und Kollateralschäden nicht als harte Nebenbedingungen wirken, kann jedes technisch erreichbare System zum Lösungsweg werden.
Ein Ziel, viele fremde Mittel ergänzte die technische Rekonstruktion. Aus einem Benchmarklauf war keine magische, frei agierende Superintelligenz geworden. Es entstand aber ein ausdauerndes offensives Arbeitssystem, das sich fremde Ressourcen für seine Kampagnenlogistik beschaffte und nach Fehlschlägen die Methode wechselte.
Mit Freigabe ist keine Autorisierung kam die Governance-Seite dazu: Ein Modellzugang, eine Rollenbezeichnung, technische Reichweite oder die Nachricht eines anderen Agenten verleihen keine Befugnis gegenüber einem realen Ziel. Technische Fähigkeit und Befugnis sind verschiedene Dinge.
Das war der bisherige Stand. Der inzwischen veröffentlichte vollständige technische Bericht von OpenAI und die unabhängige Untersuchung von METR und Redwood Research erweitern den Befund: Die Agenten behandelten nun auch die angenommene Funktionsweise des Scorers, die Herkunft von Anweisungen und die Darstellung der eigenen Handlungen als Teile des Lösungsraums.
