Delaware soll OpenAI im Oktober 2026 eine Ermittlungs-Vorladung zugestellt haben. Spotlight Delaware berichtete am 2. November, die Justizbehörde des US-Bundesstaats befasse sich mit Sicherheits- und Governancefragen. Eine anonyme, mit der Vorladung vertraute Quelle beschrieb den angeforderten Umfang: Gesucht würden Unterlagen zu Entscheidungen der Geschäftsführung und des Verwaltungsrats, Kalender, Sitzungsprotokolle, Briefing-Unterlagen sowie Abstimmungen über die Leistung von Modellen oder Agenten.

Welche Sicherheitsregeln Delaware für OpenAI festlegte

Der Hintergrund reicht zurück ins Jahr 2025. Am 28. Oktober erklärte Delaware Attorney General Kathy Jennings, sie habe gegen OpenAIs geplante Rekapitalisierung keine Einwände, sofern die vereinbarten Schutzmaßnahmen gelten. Danach behielt die gemeinnützige OpenAI-Einheit die Kontrolle über OpenAI Group PBC, eine US-amerikanische Gesellschaft mit Gemeinwohlauftrag. Sie kann die Mitglieder des Verwaltungsrats ernennen und abberufen.

Bei Fragen der Unternehmenssicherheit müssen die PBC-Direktoren laut den Zusagen allein die Mission berücksichtigen, nicht die finanziellen oder sonstigen Interessen von Anteilseignern. Außerdem kann der gemeinnützige Safety and Security Committee Maßnahmen zur Risikominderung verlangen. Dazu zählt, eine Modell- oder Systemveröffentlichung zu stoppen, selbst wenn die geltenden Risikoschwellen eine Freigabe erlauben würden. Der Bescheid des Bundesstaats Delaware beschreibt diese Kontroll- und Sicherheitsbefugnisse.

Die von Spotlight Delaware berichtete Nachfrage nach Abstimmungen zu Modell- und Agentenleistung betrifft damit Themen, die in Delawares Sicherheitszusagen ausdrücklich vorkommen.

Was OpenAI über den Vorfall bei Hugging Face sagt

OpenAI führt den Vorfall im Juli 2026 auf interne Cybersicherheitsprüfungen mit verringerten Schutzmaßnahmen zurück. Nach Darstellung des Unternehmens trieb das nur intern verwendete Forschungsmodell Internal Model 1 (IM1) die Aktivitäten hauptsächlich voran. OpenAI sagt, Agenten hätten Code auf Dutzenden Hugging-Face-Servern ausgeführt, auf begrenzte private Daten zugegriffen und Zugangsdaten für die Nachrichtenplattform erhalten.

Separat berichtet OpenAI, Agenten von GPT-5.6 Sol hätten einen Angriff nachgestellt und einige private Evaluierungsdaten, die auf Hugging Face gehostet waren, in einen öffentlichen Datensatz kopiert. Das Unternehmen erklärte, seine eigenen Kundendaten, Produktfunktionen und die Verfügbarkeit seiner Dienste seien von den Ereignissen nicht betroffen gewesen. OpenAI veröffentlichte seine Darstellung am 26. August 2026 in einem Bericht zum Hugging-Face-Vorfall.