Der Agent, der zu viel durfte

OpenAI räumt nach dem Start von ChatGPT Work erhebliche Probleme ein, vom zu hohen Rechenverbrauch über Regressionen in bestehenden Abläufen bis zur unklaren Arbeitsteilung zwischen Codex und ChatGPT Work (The Decoder). Der schwerste Befund steht fast beiläufig daneben. In Einzelfällen soll GPT-5.6 Sol von sich aus Daten gelöscht haben, die der Nutzer nicht freigegeben hatte. Am Donnerstag stand an dieser Stelle, behalte bei den neuen KI-Agenten neben den Preisen die Bedingungen im Blick. Ich hätte nicht erwartet, dass die Antwort nur zwei Tage braucht.

Wie das zusammengeht, zeigt die zweite Sol-Meldung dieser Tage. OpenAI berichtet, das Modell habe eigenständig ein kleineres Modell namens Luna nachtrainiert, angestoßen durch einen einzigen, ziemlich unterspezifizierten Prompt (The Decoder). Im eigenen Benchmark für rekursive Selbstverbesserung, also für KI, die KI verbessert, liegt Sol 16,2 Punkte vor dem Vorgänger. Der „automatisierte Forscher” sei in greifbarer Nähe, heißt es. Ob man einem internen Benchmark glaubt, ist nach den Schummel-Befunden vom Juni Geschmackssache. Die Richtung stimmt trotzdem. Diese Systeme erledigen immer größere Aufgaben allein, und nicht nur bei OpenAI. Auch NVIDIA zeigt gerade, wie ein Agenten-Toolkit die Vorhersage von Biomolekül-Strukturen in der Wirkstoffforschung beschleunigt (NVIDIA). Werkzeuge dieser Klasse landen überall, vom Forschungslabor bis in die Ablage deines Büros.

Dahinter steckt eine Verwechslung, und die kostet gerade einige Nutzer ihre Dateien. Fähigkeit und Verlässlichkeit sind zwei verschiedene Achsen. Ein Modell, das unbeaufsichtigt ein anderes Modell trainieren kann, ist deswegen noch lange nicht das Modell, dem du deine Ablage anvertraust. Einer neuen Mitarbeiterin würdest du am ersten Tag keine Löschrechte auf das Firmenlaufwerk geben, so gut ihr Lebenslauf auch aussieht. Dem Agenten geben wir sie beim Einrichten oft nebenbei, ein Klick auf „Zugriff erlauben” genügt. Die gelöschten Daten sind das Ergebnis eines fähigen Systems mit zu vielen Rechten.

Aufschlussreich ist, was OpenAI selbst zum Umgang rät. GPT-5.6 Sol hat fünf Denk-Stufen von „Light” bis „xhigh”, dazu die Modi „Max” und „Ultra”, bei dem mehrere Unteragenten parallel arbeiten (The Decoder). Ein OpenAI-Mitarbeiter empfiehlt, niedrig zu starten und erst hochzuschalten, wenn die Aufgabe es verlangt. Der Hersteller selbst dosiert also sein Produkt. Der zu hohe Rechenverbrauch aus der Kritik dürfte genau daran hängen. Wer alles auf der höchsten Stufe laufen lässt, zahlt entsprechend mehr, und OpenAI verspricht inzwischen, die Kosten transparenter zu machen.

Die Preise von Donnerstag gelten weiter, und ein Agent, der Routinearbeit abräumt, ist real Geld wert. Zum Zugang gehören Regeln. Gib dem Agenten ein eigenes Konto statt deines Admin-Zugangs, Leserechte vor Schreibrechten, Löschen nur mit Papierkorb und Versionierung dahinter, und ein Backup, das er nicht erreichen kann.

Die Sicherheitslage des Tages handelt vom selben Gut, nur von der anderen Seite. Im Linux-Kernel wurde mit Ghostlock eine Root-Lücke öffentlich, die seit Version 2.6.39 aus dem Jahr 2011 existiert; einen Patch gibt es, angekommen ist er längst nicht überall (golem.de). Das offizielle Docker-Image des Git-Dienstes Gitea wird aktiv angegriffen. Angreifer können sich dort als beliebige Nutzer ausgeben, Administratoren eingeschlossen (Bleeping Computer). Ein Eindringling mit Admin-Rechten ist derselbe Fall wie der Agent mit zu vielen Rechten, nur dass ihn niemand eingeladen hat. Und Zimbra stopft im Classic Web Client eine Lücke, über die präparierte E-Mails Schadcode in der Sitzung der Nutzerin ausführen können (The Hacker News).

Auch der Gesetzgeber hat gestern Rechte im digitalen Raum verteilt. Der Bundestag hat erweiterte Befugnisse für die Bundespolizei beschlossen (Bundestag), und die Grünen haben einen Antrag für ein „Demokratieschild” gegen Desinformation in die erste Beratung gebracht (Bundestag). Das Polizeigesetz kam mit den Stimmen von CDU/CSU und SPD durch, Grüne und Linke stimmten dagegen. Das Demokratieschild steht erst am Anfang der Beratung. Sobald es konkret wird, liest du hier, was es für deine Kanäle bedeutet.

Das Wichtigste für dieses Wochenende dauert keine Stunde. Prüfe in den Einstellungen deiner KI-Werkzeuge unter Freigaben oder verbundenen Konten, mit welchen Rechten sie in deinen Daten arbeiten, und nimm ihnen, was sie für die Aufgabe nicht brauchen. Stell die Autonomie- und Denk-Stufen auf klein, hochschalten kannst du immer noch. Und kümmere dich um die Patches, falls Linux-Systeme, Gitea-Container oder Zimbra bei dir laufen.

Die Entwicklung wird nicht langsamer. OpenAI spricht inzwischen offen vom automatisierten Forscher. Umso mehr zählt, dass du die Dosis bestimmst und deinen Werkzeugen nur die Rechte gibst, die die Aufgabe wirklich braucht. Genau dort wird aus Kennen Können.

Lieber digital integriert als digital isoliert.