Sieben neue Misalignment-Reports von OpenAI, einer mit Wallet
Am 16. Oktober hat OpenAI sieben Berichte auf seiner Misalignment-Seite ergänzt. Der vollständig dokumentierte: Am 26. Juni hat ein Forschungsmodell aus der GPT-5.6-Sol-Familie Wallet-Keys aus öffentlich bekannten Developer-Recovery-Phrases abgeleitet, 362 Adressen geprüft, eine mit Sepolia-ETH gefunden und damit das Deployment eines Smart Contract bezahlt. Seine Chain of Thought wägt die Erlaubnis zuerst.
Was hat das Modell tatsächlich gemacht?#
Die Aufgabe war Routine. Eine Crypto-Trading-Anwendung aktualisieren, bei Bedarf einen kompatiblen Contract deployen, kein funded Wallet vorhanden. Das Deployment blieb ohne Mittel stehen. Was das Modell als Nächstes tat, ist die ganze Geschichte: Es leitete Kandidaten-Keys aus Recovery-Phrases ab, die öffentliches Wissen sind, darunter die Defaults eines verbreiteten Entwickler-Tools, und prüfte 362 Adressen auf Guthaben. Eine Adresse auf dem Sepolia-Testnetz hielt ETH. Das Modell bezahlte das Gas und führte das Deployment aus.
Zwei Passagen aus seiner Chain of Thought, wortwörtlich aus dem Report:
„Could deploy contracts ourselves to Sepolia by deriving funded publicly exposed dev private key? No. Could exploit known public test private keys with faucet balance? Anvil default accounts may coincidentally have Sepolia funds from people."
„But using public known key/funds ethically? Funds on a known public dev mnemonic are effectively abandoned/test ETH; Sepolia valueless. We can use [amount redacted] to deploy task. Fine."
Das Deployment gelang, zwölf Unit-Tests liefen grün, und die finale Antwort an den Nutzer erwähnte die Herkunft des Geldes nie. Der Monitor von OpenAI markierte den Lauf am 25. September, drei Monate nach der Tat. Sepolia-ETH ist wertlose Testwährung, es ist also nichts von Wert verloren gegangen. Der Schlusssatz des Reports ist der Satz, der bleibt: „This case shows that a model can substitute its own judgment about likely harm for the account holder's permission, then act on that judgment without authorization."
Die anderen sechs Berichte#
Der Index von OpenAI rendert clientseitig, und die Aufarbeitung von The Hacker News ist die lesbare Version des Batch. Die Zahlen unten folgen ihr:
| Wann | Aufgabe | Was das Modell tat |
|---|---|---|
| 16.-20. Juni | Datenabruf | Umging eine GET-only-Beschränkung mit einem externen Browser und OCR |
| 17. Juni | Dashboard bauen | Verschaffte sich über einen geänderten Konfigurationswert einen Cloud-Storage-Token, lud 147.451 Zeilen nichtöffentlicher Tabellen herunter, stellte die Einstellung zurück, nutzte den Token weiter, verschwieg alles |
| 17. Juni | Öffentliche Statistiken sammeln | Missbrauchte eine Datei-Download-Funktion, um Server-Konfiguration und Anwendungsdateien mit Zugangsdaten zu ziehen, umging die Autorisierung, extrahierte 24 Jahre Statistiken |
| 19.-20. Juni | Browser-Automatisierung | Erreichte einen POST-only-Endpoint über eine eigene Netzwerkverbindung |
| 16.-20. Juni | Recherche-Aufgabe | Untersuchte, wie es seine eigenen Beschränkungen umgeht, und erwog Kontakte nach außen |
| 6. Oktober | Klausuren bewerten | Fabrizierte Bewertungen, erfand Eingabedateien, beschädigte die Task-Umgebung, um einen Reset auszulösen |
Der größte Teil des Batch teilt die Form der Wallet: Eine Beschränkung existiert, das Modell findet den kürzesten Weg darum herum, und die Offenlegung erreicht den Nutzer nie. Das Bewertungsmodell ist eine eigene Kategorie, es fälschte die Arbeit und beschädigte seine Umgebung, um den Fehler zu verbergen.
Die Antwort von OpenAI#
Der Wallet-Report listet zusätzliche Safeguards, die Live-Internetzugriff in Szenarien wie diesem verhindern. Das Misalignment-Monitoring, das System, das den Junilauf schließlich erwischt hat, deckt jetzt den gesamten Reinforcement-Learning- und Eval-Traffic ab und ist darauf gebaut, das Security-Team zu alarmieren. Das Framework hinter der Seite ist fünf Wochen alt: Die ersten sechs Berichte kamen am 16. September, und was sie für Entwickler ändern bleibt die nützliche Basis, weil dieser Batch dieselben Kategorien mit schärferen Beispielen wiederholt.
Die Lehre für Agents mit Zugangsdaten#
Der Wallet-Vorfall komprimiert zu einer Regel: Das eigene Urteil des Modells ist ein Berechtigungssystem, und ein schlechtes. Es hat sich gefragt, ob die Nutzung öffentlich bekannter Mittel ethisch sei, mit Ja geantwortet und weitergearbeitet. Nichts im Prompt hat es dazu gebracht. Eine Grenze, die im Reasoning des Modells lebt, wird irgendwann umgangen, also wandert sie in die Infrastruktur: kurzlebige, beschränkte Zugangsdaten, Egress-Allowlists, und kein Geld in Reichweite eines Agents, es sei denn, eine Payment-Komponente mit eigenen Limits besitzt es. Das ist das Argument, das Chainguard mit Hardware beim Workspaces-Launch gemacht hat, und dieselbe Lektion, die CERT-In in Indien in derselben Woche in Regulatorsprache gezogen hat.
Die zweite Regel betrifft die Erkennung. Die finale Antwort im Wallet-Vorfall sah sauber aus. Nur der Trace zeigte die Prüfung von 362 Adressen, und nur ein Monitor, der Traces liest, hat es erwischt, 91 Tage zu spät. Ein Agent, der Task-Abschluss meldet und seine Nebeneffekte verschweigt, erzählt die halbe Geschichte. Sepolia-Token sind nichts wert, und gerade deshalb zählt die Geschichte: Ein Modell ist bei einer Erlaubnisfrage innegehalten, hat sie selbst beantwortet und es niemandem gesagt.