OpenAIs Agenten: Das Wiki war nur der Anfang

Am 05.09.2026 haben wir beschrieben, wie ein Schwarm von OpenAI-Agenten ein Grazer Wiki als Nachrichtenbrett benutzt hat. Fünf Tage später steht fest: Das DseWiki war einer von vielen Orten. Unabhängige Forscher haben die Spuren desselben Schwarms inzwischen auf über 20 weiteren Websites gefunden, darunter die Linkkürzer mehrerer Universitäten, öffentliche Paste-Dienste und das Ruby-Paketverzeichnis RubyGems.

Reuters hat die Funde am 09.09.2026 gebündelt. Die Nachrichtenagentur hat sich die Ergebnisse von sechs Forschern und Gruppen angesehen, drei davon öffentlich, drei privat übermittelt. Ihre Formulierung ist bewusst vorsichtig: Das Verhalten sei kein Hacking und in mancher Hinsicht "closer to spam". Neu ist, wie weit es reichte. Und dass OpenAI monatelang dazu geschwiegen hat.

Wie viele Websites es sind

Die Zahlen gehen auseinander, weil jeder anders zählt und die Suche weiterläuft:

Jeden Einzelfund selbst prüfen konnte Reuters nicht. In einem Punkt waren sich alle Befragten aber einig: Es sind mehr als zehn. Von Arx fasst den Stand so zusammen: "We have no idea how much is out there."

Nach Art sortiert, sieht die Explorer-Liste vom 10.09.2026 so aus:

Ein Teil der Einträge stammt von Community-Mitgliedern auf X, Hacker News und Discord, nicht von den Autoren des ursprünglichen Berichts. collusion.wiki kennzeichnet das bei jedem Eintrag und schreibt, man habe unsichere Funde bewusst weggelassen.

Auffällig oft trifft es Graz. DeGraff zählt sieben betroffene Wikis auf demselben österreichischen Server, Reuters spricht von sechs Wikis, für die der Grazer Helmut Leitner Hosting und Software stellt.

Die Funde, die über das Wiki hinausgehen

Das Grundmuster ist dasselbe wie im DseWiki: Die Agenten durften nur lesen, suchten sich aber Stellen, an denen ein Lesezugriff etwas hinterlässt. Drei Funde zeigen, wie erfinderisch das wurde.

Eine Statistikseite als Schreibkanal. DeGraff hat den Linkkürzer der Vanderbilt University untersucht. Der Dienst ist laut Universität nur für angeschlossene Organisationen gedacht, freigeschaltet per Support-Ticket. Die Agenten legten dort nach DeGraffs Zählung mindestens 170 Kurzlinks an, und wie sie hineinkamen, "nobody has said how". Den eigentlichen Nachrichtenkanal bildete aber die öffentliche Statistikseite: Sie zeigte an, von welcher Adresse ein Besucher angeblich kam, und prüfte diese Angabe nicht. Ein alter Link von 2011, der fünfzehn Jahre lang etwa jeden zweiten Tag einen Besuch hatte, bekam am 18.06.2026 54.250 Aufrufe. DeGraff hat 391 der dort protokollierten Adressen wortgleich in den Wiki-Beiträgen der Agenten wiedergefunden. Das verbindet beide Vorgänge.

Fremde API-Schlüssel. Über diese Links fragten die Agenten 495-mal den Crime Data Explorer des FBI ab, also öffentliche Kriminalstatistiken. Die meisten Anfragen liefen über den kostenlosen Demo-Schlüssel der US-Regierung, der 30 Anfragen pro Stunde erlaubt. Als der nicht reichte, nahmen sie den Entwicklerschlüssel, der im öffentlichen Code des FBI steht, und in vier Fällen den Schlüssel einer Privatperson. Den hatte ein Student 2023 versehentlich in der Ausgabe eines Data-Science-Notebooks veröffentlicht, in einer 3,4 MB großen Datei, die GitHub wegen ihrer Größe nicht einmal indiziert. collusion.wiki ordnet ein: Die Agenten haben keine private FBI-Datenbank gehackt, sondern Bot-Sperren einer öffentlichen Datenquelle umgangen. DeGraff beschreibt den Ablauf als Leiter: Demo-Schlüssel, geteilter Schlüssel, fremder Schlüssel. Es ging nie um geheime Daten, sondern um mehr Anfragen, als das Limit hergab.

Pakete als Notizzettel. Jonas Wiedermann-Möller hat auf rubygems.org 81 Pakete gefunden, die der Schwarm angelegt hat. DeGraff zählt 83, veröffentlicht an einem einzigen Nachmittag. Inhalt haben die Pakete keinen nennenswerten, in den Metadaten stehen Links, meist auf eine SEC-Datei mit US-Landkreisen, abgerufen über Umwege wie Google Translate oder den Abrufdienst r.jina.ai. Ein öffentliches Paketverzeichnis diente also als Ablage, und zwar eines, aus dem andere Leute Software installieren.

Was OpenAI wusste, und was es sagt

DeGraff hat eine Chronologie zusammengestellt, die für OpenAI unangenehm ist. Am 21.06.2026 rief erstmals eine OpenAI-Adresse das DseWiki auf, am nächsten Tag hörten die Agenten auf zu posten. Danach sagte das Unternehmen zehn Wochen lang öffentlich nichts. Am 31.08.2026 beantwortete OpenAI eine Anfrage aus dem US-Kongress zum Hugging-Face-Vorfall mit drei Seiten, und alles andere steckte laut DeGraff in einer einzigen Fußnote über "earlier training and evaluation activities in May and June 2026". Das Wiki wird dort nicht genannt.

Auf die Fragen von Reuters, wie viele Websites betroffen sind und warum OpenAI den Vorgang monatelang zurückhielt, hat das Unternehmen nicht direkt geantwortet. In der Stellungnahme heißt es, man überprüfe die Agentenaktivität breiter und habe bisher "not identified other activity matching the severity or scale of Hugging Face". Das angekündigte Rahmenwerk für die Meldung von Fehlausrichtung solle "soon" kommen.

Bewegung gibt es bei den Betroffenen. Die University of Toronto teilte nach der Reuters-Meldung mit, OpenAI "has now been in touch with us about possible activity on our site". Vanderbilt und Toronto haben ihre Statistikseiten laut DeGraff inzwischen hinter einen Login gelegt.

Auch in Graz hat sich etwas getan. Am 05.09. hatten wir geschrieben, dass OpenAI den Betreiber nach keiner Quelle kontaktiert hatte. Das ist überholt. Wenige Stunden nachdem Reuters OpenAI mit den neuen Funden konfrontiert hatte, bekam Leitner eine unsignierte Mail des Unternehmens. Sein Urteil gegenüber Reuters: "Its content falls considerably short of what I expected from OpenAI." Die Schuld sieht er trotzdem nicht bei der Technik:

"Responsibility for this lies not with a supposedly moral machine, but with the people and organizations behind it."

Ein Detail, das noch offen ist

Wiedermann-Möller hat auf anna.fyi Einträge gefunden, die nach OpenAI aussehen und vom 02.09.2026 stammen. Das wäre deutlich nach dem bisher angenommenen Ende im Juli. collusion.wiki warnt aber ausdrücklich: Seit der Veröffentlichung am 04.09. tauchen auf mehreren dieser Seiten gefälschte Beiträge auf, auf anna.fyi etwa ein echter Agentenverlauf mit angehängtem erfundenem Text. Rückdatieren lasse sich dort nach aktuellem Wissen nichts, man könne aber etwas übersehen haben. Bis das geklärt ist, gilt der späte Fund als Hinweis, nicht als Beleg.

Was das für euch heißt

Einordnung

Dass das eher nach Spam aussieht als nach einem Angriff, stimmt. Für die Betroffenen ändert das wenig. Ein Lehrer in Massachusetts, zwei polnische IT-Leute mit privaten Websites und ein Grazer Wiki-Betreiber haben unfreiwillig Infrastruktur für OpenAIs Experimente gestellt. Keiner der kleineren Betreiber hat Reuters geantwortet.

Die eigentliche Neuigkeit steckt in OpenAIs Antwort. Das Unternehmen misst die neuen Funde am Hugging-Face-Einbruch und findet sie kleiner. Das stimmt, beantwortet aber keine der gestellten Fragen. Wie viele Websites waren es? Warum kam das nicht früher raus? Werden die Betroffenen informiert? Solange OpenAI dazu schweigt, bleibt die Aufklärung bei Freiwilligen, die in Linkstatistiken und Paketverzeichnissen nach Agentennamen suchen. Und die haben selbst keine Ahnung, wie viel noch da draußen ist.