Als OpenAI im Oktober bekannt gab, in einem Konferenzraum der Führungsebene ein Aufnahmegerät gefunden zu haben, reagierten mehrere ehemalige Mitarbeiter nach Angaben von Reuters nicht überrascht. Sie hatten jahrelang vor genau dieser Art von Risiko gewarnt.
Fünf mit den Vorgängen vertraute Personen sagen, dass Mitarbeiter schon vor dem Start von ChatGPT im Spätjahr 2022 intern Sicherheitsbedenken äußerten — gegenüber der Unternehmensführung und gegenüber dem Verwaltungsrat. Ein Teil von ihnen zog aus diesen Gesprächen den Schluss, das Management sei stärker darauf konzentriert, mit Google und Anthropic mitzuhalten, als auf Sicherheit.
Die konkreten Einwände sind wenig exotisch und umso schwerer zu entkräften. Weil OpenAI den größten Teil seines Codes in einem einzigen Repository hält — einem Monorepo —, konnte jeder mit Codezugriff technische Details vieler Projekte sehen, auch solcher, die nichts mit der eigenen Arbeit zu tun hatten. Das Monorepo sei dicht und kompliziert gewesen, was Angreifer früher abgeschreckt haben mag; KI-Agenten können diese Menge Material inzwischen durchsuchen. Forschung dokumentation lag zeitweise auf GitHub und Slack. Drei Personen sagen zudem, interne Werkzeuge — darunter die Sandboxes, in denen Forscher neue Modelle stresstesten — seien nicht regelmäßig sicherheitsgeprüft worden, obwohl Mitarbeiter sie für ihre Arbeit veränderten.
OpenAI widerspricht der Grundthese nicht, sondern der Reichweite. Ein Sprecher sagte, das Unternehmen sei eine der am stärksten angegriffenen Organisationen der Welt und investiere entsprechend. Der Monorepo enthalte nicht den gesamten Code und keine kritischen Modelldetails wie die Gewichte; besonders sensibles Arbeiten liege in getrennten Repositories mit strengen Zugriffskontrollen. Unter dem seit Oktober 2024 amtierenden Sicherheitschef Dane Stuckey führe man inzwischen regelmäßige Prüfungen der internen Werkzeuge durch. "Unsere Technologie, unsere Daten und unsere Menschen zu schützen, ist eine Verantwortung, die wir ernst nehmen und eine Frage von nationaler Bedeutung", sagte Sprecherin Elana Widmann.
Die jüngere Chronologie erklärt, warum das Thema jetzt aufbricht. Am 13. Oktober teilte das Justizministerium mit, dass Bundesagenten einen 35-jährigen saudi-arabischen Staatsangehörigen verhaftet haben, der zu diesem Zeitpunkt OpenAI-Ingenieur war. Abdulrahman Alfozan soll ein verstecktes Aufnahmegerät — in Toilettenpapier gewickelt — in einem Konferenzraum der Führungsebene platziert haben. Laut Gerichtsunterlagen nutzte er außerdem ein internes KI-Werkzeug, um Dokumentation über Reisen von Führungskräften nach Saudi-Arabien zu finden und darüber, welche OpenAI-Vertreter am wahrscheinlichsten an Treffen mit saudi-arabischen Ministern teilnehmen würden. Er stand demnach in regelmäßigem Kontakt mit einem saudi-arabischen Prinzen, der ihn für ein neues KI-Vorhaben in Saudi-Arabien anwerben wollte.
Im Juli nutzten drei Forscher des Sicherheitsunternehmens Hacktron AI ein konkurrierendes Anthropic-Modell, um in ChatGPT-Konten mehrerer OpenAI-Mitarbeiter einzudringen und Zugang zu internen Systemen inklusive des Monorepos zu erlangen. Im Sommer gerieten OpenAI-Agenten im Test dafür in die Schlagzeilen, dass sie bei Hugging Face eindrangen. Bereits 2023 verfasste der damalige Forscher Leopold Aschenbrenner ein internes Memo mit dem Titel "OpenAI is China's leading AI lab" und teilte es später mit Verwaltungsräten, nachdem ein externer Angreifer Details zum GPT-4-Modell entwendet hatte.
Intern hat die Führung begonnen zu reagieren. Thibault Sottiaux, ein leitender Manager der Produktentwicklung, übernahm eine Initiative zur Absicherung der internen Systeme und teilte im August einem der Quellen zufolge ein Viertel der Produktionsingenieure neu zu, um die Sicherheitsinfrastruktur zu verbessern. Nach der Anfrage von Reuters kündigte OpenAI am Montag in einem Blogbeitrag einen weiteren "internen Sicherheits-Sprint" an.
Der Konflikt ist strukturell, nicht personell. Der frühere Forscher Will DePue, der im April kündigte, schrieb, bei dieser Konkurrenz könnten KI-Führungen "Geschwindigkeit nicht für Sicherheit opfern. Es ist ihnen wichtiger, schnell zu sein als sicher — selbst vor unseren größten nationalen Gegnern." Genau das ist die Spannung: Jede zusätzliche Sicherheitsschicht kostet Tempo, und Tempo ist derzeit der einzige Vermögenswert, den die Labore nicht kaufen können. Beide Unternehmen bereiten Börsengänge vor, die sie zu den wertvollsten der Welt machen würden.
Zu beobachten: ob aus dem Sicherheits-Sprint dauerhafte Architektur wird oder eine Kampagne bleibt, ob der Monorepo zerlegt wird, und ob die Aufsichtsgremien nach dem Vorfall im Oktober eigene Fragen stellen. Der Fall ist auch eine Warnung für jede Firma, die ihre wichtigsten Dateien an einem Ort hält und glaubt, die Größe des Ordners sei ein Schutz.
