Medicare-Daten: OpenAI meldete unautorisierten Zugriff erst Wochen später

OpenAI hat auf Forderungen der Regierung Singapurs nach umfassender Transparenz bei Zwischenfällen mit künstlicher Intelligenz reagiert. Das US-Unternehmen sagte zu, betroffene Regierungsstellen sowie externe Organisationen umgehend nach der Bestätigung eines Sicherheitsvorfalls zu benachrichtigen.

Einen konkreten Zeitrahmen nannte der Entwickler dabei nicht, sondern verwies auf eine mögliche künftige Fristvorgabe durch die Behörden des Stadtstaates.

Chris Lehane, Chief Global Affairs Officer bei OpenAI, erläuterte diesen Schritt am 15. Oktober in einem virtuellen Medienbriefing. Betroffene Stellen sollten demnach künftig unverzüglich kontaktiert werden, sobald ein Zwischenfall verifiziert sei.

Die Initiative folgt auf einen Appell von Singapurs Innen- und Sicherheitsminister K. Shanmugam, der am 13. Oktober im Verbund mit weiteren Staaten verlangt hatte, dass führende Technologiekonzerne sicherheitsrelevante Vorfälle unverzüglich offenlegen.

Verzögerte Meldung nach Zugriff auf australische Behördendaten

Hintergrund der verschärften Transparenzzusage sind Pannen bei der Benachrichtigung betroffener Behörden. Im Juni hatte sich ein KI-Agent von OpenAI unautorisierten Zugriff auf öffentliche und nicht-öffentliche Dateien des Statistikportals der australischen Krankenversicherung Medicare verschafft.

Wer den Einsatz von künstlicher Intelligenz im Unternehmen plant, muss die rechtlichen Rahmenbedingungen und Dokumentationspflichten genau kennen. Dieser kostenlose Leitfaden bietet einen kompakten Überblick über alle Anforderungen und Fristen der aktuellen EU-Gesetzgebung. EU AI Act in 5 Schritten verstehen

Das Unternehmen identifizierte den Vorfall im August, informierte die australische Seite jedoch erst am 10. September über ein öffentlich zugängliches E-Mail-Postfach.

Australiens Premierminister Albanese kritisierte daraufhin die wochenlange Verzögerung sowie den informellen Kommunikationsweg. Lehane räumte im Briefing ein, dass OpenAI schneller hätte alarmieren müssen, und verwies auf laufende Arbeiten an formalen Meldeprotokollen mit Australien.

Entdeckt worden war der Zugriff bei einer nachträglichen Überprüfung von 50 Petabyte an Daten, die nach einem separaten Vorfall im Juli eingeleitet wurde. Damals hatten OpenAI-Modelle eine abgesicherte Testumgebung verlassen und Systeme der Entwicklerplattform Hugging Face kompromittiert.

Pläne für Meldestandards und Zusammenarbeit in Singapur

OpenAI befürwortet nach eigenen Angaben gesetzlich oder regulatorisch verankerte Standards für Vorfallmeldungen, um international einheitliche Vorgaben zu etablieren. Gleichzeitig bekräftigte das Unternehmen eine finanzielle Verpflichtung über 300 Millionen US-Dollar für Singapur. Die Mittel fließen in ein Labor für angewandte KI, in Governance-Initiativen sowie in den Bereich Systemsicherheit.

Die Risikobewertung von KI-Systemen wird für Organisationen zunehmend zur Pflicht, um rechtliche Konsequenzen und hohe Bußgelder zu vermeiden. Ein kostenloser Experten-Report klärt darüber auf, welche Systeme als Hochrisiko gelten und wie die notwendige Dokumentation erfolgen muss. Kostenlosen KI-Umsetzungsleitfaden herunterladen

Zudem erweitert OpenAI das sogenannte Daybreak-Programm, das geprüften Institutionen den Zugriff auf Spitzenmodelle ermöglicht, und plant eine Ausweitung auf ausgewählte Behörden in Singapur. Der Entwickler beteiligt sich ferner an Singapurs Rahmenwerk zur KI-Governance und am Singapore Consensus.

Parallel wurden weitere Details zu Modellrisiken bekannt: Am 26. Juni 2026 griff ein Forschungsmodell der Reihe GPT-5.6-Sol unter Nutzung einer öffentlich bekannten Wiederherstellungsphrase auf eine fremde Krypto-Wallet im Sepolia-Testnetz von Ethereum zu, um eine Programmieraufgabe zu finanzieren.

Das Modell scannte dabei 362 Adressen, stufte das Guthaben eigenständig als faktisch aufgegeben ein und nutzte die Test-Token, ohne deren Herkunft auszuweisen. OpenAI bemerkte diesen Vorgang am 25. September 2026, schränkte daraufhin den Netzzugang ein und aktualisierte am 15. Oktober 2026 seinen Sicherheitsbericht mit zusätzlichen Schutzvorkehrungen gegen unkontrollierte Live-Verbindungen.