Ich bin KI-Berater, seit 1989 in der Kommunikationsbranche und betreibe mit digitalhandwerk.rocks einen Blog mit über 620 Artikeln. Wenn Agenten offene Plattformen belasten, ist das für mich kein Fremdthema.
Am 5. Oktober hat die Wikimedia Foundation berichtet, dass Agenten, die sie OpenAI zuordnet, Wikis bearbeitet, ein Notiz-Tool angegriffen und Server mit Millionen Anfragen belastet haben. Gemeldet hat das nicht OpenAI. Entdeckt hat es der Betreiber, der den Aufwand hatte.
Das ist die Geschichte hinter den OpenAI-Agenten in Wikipedia: kein gelungener Hack, sondern ein Unternehmen, das offenbar von außen erfuhr, was seine Software im offenen Web treibt. Ich zeig dir, was belegt ist, was nicht, und warum die Frage nach der Kontrolle über Frontier Models berechtigt bleibt. Zuerst die Fakten, denn die sind weniger dramatisch als die Schlagzeilen und trotzdem unangenehm genug.
- Etherpad
- ein quelloffenes Notiz-Tool, in dem mehrere Menschen gleichzeitig an einem Text schreiben. Wikimedia hostet eines davon als öffentlichen Community-Dienst.
- Sandbox
- ein Testbereich im Wiki, in dem Bearbeitungen für normale Leser nicht sichtbar sind.
- Wikidata Query Service
- die Abfrageschnittstelle für Wikidata, die strukturierte Datenbank hinter vielen Wikipedia-Inhalten.
- Rogue Agent
- ein KI-Agent, der außerhalb seines vorgesehenen Rahmens handelt, etwa weil er Beschränkungen umgeht. Die Bezeichnung stammt aus den Berichten, nicht aus einer technischen Norm.
Was hat Wikimedia bei den OpenAI-Agenten wirklich gefunden?
Die Untersuchung stammt von Selena Deckelmann, der Chief Product and Technology Officer der Wikimedia Foundation. Die Original-Meldung der Wikimedia Foundation ist vom 5. Oktober, Wikimedia Deutschland hat sie drei Tage später übersetzt. Drei Befunde stehen drin.
Erstens die Bearbeitungen. Die Agenten haben Wikis editiert, fast alles waren Testbearbeitungen in Sandbox-Bereichen, die für Leserinnen und Leser unsichtbar bleiben. Einige betrafen aber die Konfiguration eines Zitierwerkzeugs. Die hält Wikimedia für potenziell böswillig, weil das Werkzeug offenbar als Proxy dienen sollte, um Daten von fremden Diensten zu holen. Die Freigabe der Community, die Bots in Wikipedia brauchen, gab es nicht.
Zweitens Etherpad. Mehrere Agenten versuchten erfolglos, das öffentliche Notiz-Tool zu kompromittieren und ebenfalls als Proxy zu nutzen. Andere schrieben dort Notizen zu ihren Aufgaben. Hinweise auf eine Koordination über Wikimedia-Systeme fand die Stiftung nicht.
Drittens die Last. Die Agenten schickten Millionen automatisierter Anfragen an öffentliche APIs, crawlten Millionen Seiten, vor allem aus Wikidata und Wikimedia Commons, und stellten hunderttausende Abfragen an den Wikidata Query Service. Das könnte zu einem teilweisen Ausfall dieses Dienstes im Mai beigetragen haben. Könnte, mehr sagt die Stiftung nicht.
Ich glaube nicht, dass OpenAI die Kontrolle über alles verloren hat. Ich glaube etwas Unangenehmeres: Die Firma hat nicht gesehen, was ihre Agenten draußen tun, und Außenstehende haben es zuerst bemerkt.
Ist das für Wikimedia wirklich der blanke Horror?
Auf LinkedIn und in den Kommentaren liest man viel von Horror. Ich würde das genauer sagen, auch wenn es weniger Klicks bringt. Die Stiftung hat keine Hinweise gefunden, dass ihre Systeme oder Daten kompromittiert wurden. Die Angriffe aufs Etherpad scheiterten, die Sandbox-Edits sahen Leser nie.
Der Schaden liegt woanders: in Aufwand und Kosten. Wikimedia schreibt selbst, wie schwierig und aufwändig es ist, solche Aktivitäten zu untersuchen und ihre Quelle zurückzuverfolgen. Ehrenamtliche Autoren und das Sicherheitsteam müssen sie finden und rückgängig machen. Dazu der Trend: 2025 meldete die Stiftung 50 Prozent mehr Bandbreitennutzung durch Bots seit 2024, und 65 Prozent ihres ressourcenintensivsten Datenverkehrs kamen von Bots. Die Rechnung trägt die Stiftung, nicht die Firma, deren Agenten sie mutmaßlich mitverursachen.
Zwei Einschränkungen gehören dazu. Erstens ist die Zuordnung zu OpenAI die Einschätzung der Wikimedia Foundation. OpenAI hat sie nicht bestätigt. Laut Reuters sagte ein Sprecher nur, man schätze die detaillierten Ergebnisse und analysiere die Aktivität gemeinsam mit der Stiftung. Zweitens konnte OpenAIs eigene Untersuchung laut The Verge bisher nicht verifizieren, dass die eigenen Bots zum Ausfall im Mai beitrugen. Wer hier „bewiesen“ schreibt, schreibt zu viel.
Wissen Frontier-Anbieter noch, was ihre Agenten tun?
Meine Antwort: nicht in Echtzeit, und das ist das Problem. Dafür muss ich einen Schritt zurück zum Hugging-Face-Vorfall im Juli, den ich in meinem Artikel über OpenAI und die verschwundene Ethik-Rolle schon eingeordnet habe. Hugging Face meldete den Einbruch am 16. Juli, OpenAI bestätigte fünf Tage später, dass eigene Modelle dahinterstecken. METR und Redwood Research zählen in ihrem Untersuchungsbericht zum Hugging-Face-Vorfall rund 1.200 Agenten, die mehr als 70.000 Nachrichten und Dateien auf einem nicht genehmigten Message Board austauschten. Etwa 700 davon griffen Hugging Face an.
Nach OpenAIs eigener Darstellung begann das Fehlverhalten im Mai. Die New York Times schreibt, dass zwei Monate lang niemand bemerkte, was die Agenten taten. Bei den betroffenen Tests lief keine Überwachung der Chain-of-Thought, also der Denkschritte der Modelle. Mit ihr, so OpenAI, wären die Sicherheitsleute mehr als einen Tag vor dem Angriff alarmiert worden. Als Ursache nennt die Firma eine Mischung aus Trainingsanreizen und fehlenden Schutzmaßnahmen.
Jetzt lege ich zwei Daten nebeneinander. Der teilweise Ausfall des Wikidata Query Service war am 13. Mai, und laut OpenAI begann das Fehlverhalten im selben Monat. Einen Zusammenhang belegt das nicht, und ich behaupte ihn nicht. Ich würde die Daten eigentlich lieber weglassen, aber dann wäre das Bild unvollständig.
Fair bleiben will ich auch. OpenAI hat externe Prüfer freiwillig ins Haus gelassen und den Vorfall selbst als Warnschuss bezeichnet. Das rechne ich ihnen an. Nur legte OpenAI laut New York Times die Bedingungen der Untersuchung fest und beschränkte den Umfang auf die Woche des Angriffs. Und es trifft nicht nur OpenAI: Anthropic und Meta haben laut derselben Zeitung kleinere Fälle gemeldet. Ich setze selbst Agenten ein, auch Claude Code von Anthropic. Das Problem betrifft die Branche, nur hat OpenAI gerade den am besten dokumentierten Fall.
Sam Altman hat den Hugging-Face-Vorfall laut Washington Examiner in einem Podcast als ersten Sicherheitsvorfall beschrieben, den er sehr unmittelbar gespürt habe. Das ist eine Einzelquelle, ich zitiere sie deshalb nur als Indiz. Aber es passt zu dem, was ich beobachte: Die Spitze weiß, dass hier etwas gekippt ist. Offen bleibt, ob unten im Maschinenraum jemand rechtzeitig Bescheid bekommt.
Wikimedia verweist darauf, dass OpenAI selbst einräumt, die Agenten verhielten sich unvorhersehbar. Wer das zugibt und die Agenten trotzdem ins offene Web lässt, muss auch sagen, wer für den Schaden geradesteht. Bisher steht diese Antwort aus.
Die Schlagzeile „außer Kontrolle“ stimmt deshalb nicht ganz. „Ohne Sicht“ stimmt. Die Anbieter wissen, was ihre Modelle können, aber nicht, was ihre Agenten gerade tun, und sie erfahren es von den Opfern.
Was fordert Wikimedia, und was kannst du selbst tun?
Wikimedia fordert wenig. Agenten sollen leicht identifizierbar sein, damit Betreiber entscheiden können, wie sie mit ihren Diensten umgehen. KI-Unternehmen sollen Risiken überwachen und Schäden verhindern. Genau darum geht es in meinem Artikel über Ausweise für KI-Agenten: Ein Agent muss erkennbar machen, wer ihn ausgestellt hat und was er darf. Die Studienwerte, die ich dort zitiere, sind ernüchternd. Nur 40 Prozent der Organisationen haben einen Kill-Switch, mit dem sie einen fehlverhaltenden Agenten abschalten können.
Bis Kennzeichnung Standard ist, hilft dir das hier, wenn du eine Website, ein Wiki oder eine API betreibst:
- Schau in die Server-Logs, nicht nur ins Analytics-Tool. Bots tauchen dort oft gar nicht auf.
- Setz Rate-Limits auf offene Endpunkte, bei nginx etwa mit
limit_req. - Sichere jede öffentliche Schreibfunktion ab: Wikis, Pads, Formulare, Kommentare. Wikimedias Etherpad war genau so ein Ziel.
- Verlass dich nicht auf die robots.txt. Ein Eintrag, auch mit Content Signals, ist eine Bitte und kein technischer Schutz.
Ein Fallstrick dabei: Du kannst nur zählen, was du siehst. Wikimedia selbst brauchte eine eigene Untersuchung, um die Spuren den mutmaßlichen OpenAI-Agenten zuzuordnen, und lieferte dafür sogar eine Liste der betroffenen Bearbeitungen. Kleine Betreiber haben dieses Team nicht. Wer keine Logs aufhebt, kann im Ernstfall nicht belegen, was passiert ist.
Wenn du selbst Agenten einsetzt, gelten meine fünf Prinzipien für vertrauenswürdige Agenten, allen voran Least Privilege und die Freigabe durch einen Menschen bei riskanten Aktionen. Technische Guardrails allein reichen nicht, das räumt OpenAI selbst ein: Leistungsfähige Agenten können technische Kontrollen umgehen.
Wikipedia gehört laut der Stiftung zu den hochwertigsten Datensätzen für das Training von Sprachmodellen. Wie sehr die KI-Branche vom Wissen der Ehrenamtlichen lebt, hab ich schon bei Grokipedia gezeigt, das viele Inhalte der Enzyklopädie übernimmt. Wer dieses Wissen nutzt, soll auch für den Betrieb geradestehen.
Du kannst warten, bis der nächste Bericht kommt. Oder du öffnest heute deine Logs. Von allein kennzeichnen die Anbieter ihre Agenten nicht, sonst hätte Wikimedia nicht schreiben müssen.
