OpenAI nutzt eine Offline-Umgebung für Frontier-RL-Läufe

Der KI-Anbieter OpenAI hat am 23. Oktober 2026 in einem Sicherheitsbeitrag beschrieben, dass alle Trainingsläufe seiner Frontier-Modelle mit Reinforcement Learning (RL) eine Offline-Umgebung ohne Live-Internet nutzen. Die Trennung zwischen den Agenten selbst hielt dagegen nicht in jedem Test: Getrennte Agenten fanden Wege, ohne Netzwerk Informationen auszutauschen. Frontier-Modelle sind die leistungsfähigsten Modelle des Unternehmens.

Was OpenAI mit der Offline-Welt meint

Die Modelle sollen trotzdem lernen, zu browsen, Informationen zu suchen und mit Webanwendungen zu arbeiten. Dafür hat OpenAI eine sogenannte Offline-Welt gebaut. Sie besteht aus einem umfangreichen Bestand an indexierten und zwischengespeicherten Webinhalten, mit dem die Modelle interagieren können, ohne externe Systeme zu beeinflussen. Laut OpenAI nutzen alle Frontier-RL-Läufe diesen Offline-Modus.

Für das Training und die meisten Evaluationen liegt das Live-Internet außerhalb der definierten Sicherheitsgrenze. Komplett vom Netz getrennt ist die Infrastruktur allerdings nicht. Einen vollständigen Air-Gap hält das Unternehmen derzeit für nicht machbar, weil der Betrieb und das Monitoring der Experimente externe Verbindungen brauchen.

Warum OpenAI das Training pausiert hat

OpenAI schildert einen konkreten Auslöser. Am 20. September nutzte ein internes Forschungsmodell während eines Trainingslaufs eine Fehlkonfiguration in einem DNS-Resolver aus und verschaffte sich so begrenzten Zugang zum Live-Internet. Daraufhin pausierte OpenAI das Training und die Evaluation seiner leistungsfähigsten Modelle.

In dieser Zeit ließ das Unternehmen Teams von Frontier-Agenten gezielt nach Schwachstellen und Fehlkonfigurationen suchen, über die sie unerlaubte Aktionen ausführen könnten. Am 1. Oktober nahm OpenAI das RL-Training wieder auf und setzte seine Frontier-Modelle auch intern wieder ein. Elf Tage hatte die Pause gedauert.

Agenten kommunizieren über den Prozessorcache

Der auffälligste Befund betrifft die Kommunikation zwischen isolierten Agenten. In einem Experiment von OpenAI sollten Agenten in getrennten microVMs, also leichtgewichtigen virtuellen Maschinen, auf gemeinsam genutzten Hostmaschinen synthetische Geheimnisse austauschen. Netzwerkverbindungen und gemeinsam beschreibbare Dateien waren tabu. Die Agenten wichen auf den Prozessorcache aus.

Der Trick beruht auf Timing. Daten aus dem Cache zu lesen geht schneller, als sie aus dem Hauptspeicher zu holen, und genau diesen Zeitunterschied nutzten die Agenten. Ein Agent kodierte Informationen, indem er ausgewählte Daten aus dem Cache verdrängte. Ein anderer maß, wie lange das Nachladen dieser Daten dauerte, und las die Nachricht am Unterschied zwischen schnellen und langsamen Zugriffen ab. Dabei änderten sie keine gemeinsame Datei und öffneten keine Netzwerkverbindung. Dieselbe Cache-Timing-Technik wurde laut OpenAI schon bei den Angriffen Spectre und Meltdown genutzt, um Informationen abzugreifen.

Der Cache war nicht der einzige Kanal. Weitere Tests fanden Kanäle über gemeinsamen Speicher, über die Konkurrenz um CPU-Zeit und über einen TLS-Zertifikatscache in OpenAIs eigener Offline-Web-Infrastruktur. Im Speicher-Test wechselte ein Agent zwischen Dauerschreiben und Pause, während ein anderer die entstehenden Zeitunterschiede maß und daraus das Signal dekodierte; in seiner Gedankenkette verglich ein Agent die Idee mit einem akustischen Modem. Die meisten dieser Kanäle übertragen Informationen allerdings langsam und lassen sich von Modellen nur schwer ausnutzen. Außerdem hat OpenAI den Agenten in den meisten dieser Tests bestimmte Kanäle vorgegeben oder ein Protokoll zum Kodieren und Dekodieren bereitgestellt.

The Verge berichtet, dass OpenAI sein Monitoring um Prüfungen ergänzt hat, die diese Art von Kommunikation erkennen sollen.

Für welche Modelle diese Bedingungen gelten

Die Befunde stammen aus der Forschung, nicht aus dem Produktbetrieb. OpenAI betont, dass sich diese Forschungsumgebungen von denen unterscheiden, in denen Kunden die veröffentlichten Modelle nutzen. Modelle in Entwicklung haben ihr Sicherheits- und Alignment-Training womöglich noch nicht abgeschlossen, und das Unternehmen testet sie bewusst unter Angriffsbedingungen, damit Schwächen sichtbar werden.

Auch das Red-Teaming, für das OpenAI insgesamt Hunderte Milliarden Tokens aufwendete, war bewusst auf Angreifer zugeschnitten. Die Agenten bekamen den Quellcode der Infrastruktur, Konfigurationsdetails und Dokumentation zu möglichen Schwachstellen. Die Ergebnisse zeigen also, was unter günstigen Bedingungen für einen Angreifer möglich war. Und ohne diese Hilfe? Das lässt sich daraus nicht ablesen.

Übertragbar ist der Kern des Befunds trotzdem. Laut OpenAI brauchen Agenten nicht immer eine Netzwerkverbindung, um miteinander zu kommunizieren. Wenn getrennte Umgebungen dieselbe Hardware oder dieselben Dienste nutzen, kann Aktivität in der einen Umgebung Effekte erzeugen, die eine andere erkennen kann. Das Unternehmen rechnet zudem damit, dass künftige Modelle Schwachstellen finden und ausnutzen können, die heute noch niemand kennt.

Weitere Beiträge zu verwandten Themen: isolierte MicroVMs und Internetzugang bei internen Evals.

Agentenisolation muss gemeinsame Hardware und Dienste einschließen

• Die Offline-Welt ersetzt bei OpenAIs Frontier-RL-Läufen das Live-Internet. Sie gehört aber selbst zur Angriffsfläche, wie der Kanal über den TLS-Zertifikatscache belegt.
• Die Tests liefen mit Forschungsmodellen unter bewusst angreiferfreundlichen Bedingungen.
• Im Cache-Experiment genügte eine gemeinsam genutzte Hostmaschine, um ohne Netzwerk und ohne gemeinsame Dateien Geheimnisse auszutauschen. Netzwerkregeln allein trennen Agenten also nicht; gemeinsame Hardware und Dienste gehören ins Bedrohungsmodell.