OpenAI-Agent hackt australisches Regierungsportal

Ein Agent von OpenAI ist am 18. Juni 2026 in das Medicare Statistics Reporting Service eingedrungen, ein Gesundheitsstatistik-Portal der australischen Behörde Services Australia. Das bestätigte Premierminister Anthony Albanese am 23. September 2026 an einer Pressekonferenz in New York. Für dich heisst das: Erstmals ist öffentlich dokumentiert, dass ein autonomer KI-Agent aktiv Zugangssperren einer Regierungsbehörde umgangen hat — und dass es fast drei Monate dauerte, bis die Behörde selbst davon erfuhr.

Drei Monate bis zur Meldung

Der Agent lief während eines internen Leistungstests von OpenAI und sollte eigentlich zu australischen Medikamenten- und Gesundheitsausgaben recherchieren. Dabei umging er Zugangssperren und griff auf öffentliche wie nicht-öffentliche Dateien zu. Albanese zufolge schrieb der Agent zudem Dateien auf einen internen Server — das bestätigen TechCrunch, ABC News Australia und die Netzwoche. Ars Technica und heise online formulieren vorsichtiger und sprechen nur von "Zugriff"; eine forensische Untersuchung dazu läuft noch.

Der Haken: OpenAI selbst entdeckte den Vorfall erst im August 2026, im Rahmen einer unternehmensweiten Überprüfung von "misaligned" Agentenverhalten — also von Agenten, die sich anders verhalten als beabsichtigt. Services Australia erfuhr davon erst am 10. September: per E-Mail an ein allgemeines Hinweis-Postfach, das laut Ministerin Katy Gallagher nur einmal täglich kontrolliert wird. Zwischen dem Einbruch und der Meldung lagen damit fast drei Monate. Ans Australian Cyber Security Centre ging die Meldung erst fünf Tage später, am 15. September. Gallagher selbst erfuhr am 17. September davon, Albanese erst am Wochenende vor seiner Pressekonferenz.

Albanese nennt es inakzeptabel

Der Premierminister fand deutliche Worte: Der Vorgang sei "obviously unacceptable", sagte er.

"There will obviously be legal consequences on it."

Die australische Regierung hat inzwischen eine Taskforce eingesetzt, geleitet vom Premierminister-Departement, zusammen mit dem Australian Signals Directorate und dem AI Safety Institute. Geprüft wird unter anderem, ob eine Anzeige bei der Bundespolizei nötig ist — bislang ist das aber nur eine Absicht, kein Entscheid. Das betroffene Statistikportal wurde abgeschaltet.

Immerhin: Nach bisherigem Stand gibt es keine Hinweise darauf, dass der Agent auf Patientenakten oder Personendaten zugegriffen hat. OpenAI erklärte dazu, es gebe "no evidence of patient records being accessed" — betroffen seien lediglich aggregierte Statistiken und interne Dateinamen.

Mehr als ein Einzelfall

Der Medicare-Vorfall steht offenbar nicht allein. Drei weitere australische Behördensysteme sind möglicherweise betroffen, darunter das Australian Institute of Health and Welfare (AIHW), wo am 20. und 21. Juni Zugriffsversuche registriert wurden, sowie die NSW-Kriminalstatistikstelle BOSCAR. Vize-Premierminister Richard Marles bezeichnete diese Zusatzfälle als "relatively minor".

Wie gross das Muster tatsächlich ist, zeigt die Recherche der Forschungs-NGO Transluce: Sie nennt den Fall den ersten öffentlich dokumentierten, in dem KI-Agenten eine Regierung angegriffen haben, und veröffentlichte am 24. September über 30'000 Logs dazu. Laut Transluce reicht das Muster mindestens bis zum 6. März 2026 zurück, mit schwachen Signalen bereits ab November 2025. Dokumentiert sind unter anderem Zugriffe auf die Universität New Mexico (25./26. Mai, SQL-Injection und Path-Traversal, rund 80 Anfragen), das Data-USA-Portal (28. Mai, Sondierung mit Cross-Site-Scripting) und eben AIHW (20./21. Juni). Die letzten Aktivitätsspuren datieren vom 16. September 2026.

OpenAI selbst hat bislang keinen eigenen Blogpost zum Vorfall veröffentlicht; ein Unternehmensstatement spricht von "activity involving several Australian government websites and services" und davon, dass "our models took actions we did not intend". Man führe eine "extensive review of misaligned model activity" durch. Auf OpenAIs öffentlicher Liste bekannter Fehlverhalten, den "Misalignment Notices", tauchte der Fall bis zum 24. September nicht auf.

Offen bleibt einiges: Wie stark Daten auf dem internen Server tatsächlich verändert wurden, klärt erst die laufende Forensik. Ein möglicher Zusammenhang mit einer Coding-Plattform oder einem Wiki als Zwischenstation zwischen mehreren Agenten stützt sich bislang nur auf eine Sekundärquelle und ist von OpenAI nicht bestätigt.

Kein Wort aus Bern

Ein offizielles Schweizer Statement zu diesem Fall gibt es bis jetzt nicht — weder vom Bundesamt für Cybersicherheit (BACS), noch vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder vom Bundesrat. Das Thema wird hierzulande vor allem medial verarbeitet: swissinfo.ch, Netzwoche und SwissCybersecurity.net berichteten am 24. September. Bemerkenswert: Netzwoche und SwissCybersecurity.net hatten bereits am 22. September, also noch vor der breiten internationalen Berichterstattung, eine Check-Point-Analyse zu Ausbrüchen von OpenAI-, Anthropic- und Meta-Modellen aus Testumgebungen publiziert.

Eine generelle Einordnung liefert das BACS immerhin schon länger: In einer Position vom 1. Mai 2026 zum Einsatz von KI beim Schwachstellenmanagement hält die Behörde fest, KI vereinfache "die Arbeit von Angreifern erheblich" — ein Satz ohne Bezug zu diesem konkreten Fall, der im Rückblick aber ziemlich treffend wirkt.