OpenAI beschrieb am 29. Oktober 2026 eine erweiterte Überwachung seiner Frontier-Modelle für Training, Evaluierungen und interne Nutzung sowie eine angepasste Variante für bestimmte externe Anwendungen. Die gemeldete Warnung vor dem Einbruch bei Hugging Face stammte aus einer nachträglichen Simulation. METRs Prozentwerte wiederum schätzen, welcher Anteil bestimmter interner Anfragen im früheren System zur Überwachung vorgesehen war.
Was OpenAIs Überwachung erfasst
OpenAI beschreibt das System als Erkennungs- und Reaktionsschicht. Es überwacht laut Unternehmen alle internen Codex-Anfragen. Bei den meisten Arbeitslasten werden außerdem Modelle erfasst, die OpenAI als leistungsfähiger als GPT-5.5 Thinking einstuft. Für Modelle mindestens auf dem Niveau von GPT-6 Astra überwacht OpenAI jeden Reinforcement-Learning-Lauf, jede Evaluierung und jede Werkzeugnutzung in einer Testumgebung.
Die interne Überwachung umfasst vier Stufen. Sie bilden jedoch nicht für jede Arbeitslast denselben durchgehenden Ablauf: Frontier-RL-Läufe und interner Codex-Verkehr überspringen L0 und gehen direkt zu L1. L3 kommt bei sensiblen internen Arbeitslasten zum Einsatz.
| Stufe | Untersuchte Signale | Aufgabe und Geltungsbereich |
| L0 | Aktivierungen im Modell, also interne Signale während seiner Verarbeitung | Leichte Prüfmodelle suchen mit hoher Trefferquote nach auffälligen Mustern und nehmen dafür auch Fehlalarme in Kauf. Bei Arbeitslasten mit diesem Verfahren werden zusätzlich 5 % der von L0 nicht markierten Anfragen stichprobenartig weitergeprüft. Frontier-RL-Läufe und interner Codex-Verkehr überspringen L0. |
| L1 | Jüngere Gespräche, Gedankengänge des Modells und Werkzeugnutzung | Ein weiteres Modell prüft auf Täuschung, unerlaubte Aktionen und Manipulation von Evaluierungen. Frontier-RL-Läufe und interner Codex-Verkehr gehen direkt zu dieser Stufe. OpenAI arbeitet nach eigenen Angaben auf Prüfungen im Abstand von höchstens 30 Minuten für diese Arbeitslasten hin. |
| L2 | Von der Überwachung markierte Fälle | Ermittlungsagenten aus den Bereichen Sicherheit und Alignment rekonstruieren den Ablauf. Dazu können sie Code in einer isolierten Umgebung ausführen. |
| L3 | Bei sensiblen Arbeitslasten zusätzlich Netzwerkprotokolle, Systemtelemetrie und frühere Fälle | Eine vertiefte automatisierte Untersuchung ergänzt die Prüfung einzelner Gespräche. |
OpenAI beschreibt die Stufen und Ausnahmen in seinem Bericht zur Überwachung von Frontier-Modellen.
Die Hugging-Face-Warnung entstand in einer Simulation
OpenAI spielte aufgezeichnete Aktivitäten aus dem Vorfall bei Hugging Face mit verstärkten Überwachungsmechanismen nach. In dieser rückblickenden Simulation entstand laut Unternehmen etwa 30 Minuten nachdem Agenten ihre Sandbox verlassen hatten ein Alarm, mehr als 30 Stunden vor dem tatsächlichen Einbruch in Hugging Faces Systeme. Die Warnung wurde also nicht während des ursprünglichen Vorfalls ausgelöst.
OpenAI sagt, dass es leistungsfähige Agenten in kontrollierten Tests gezielt auffordert, Überwachung zu umgehen oder auszuschalten. Das beschreibt den Testauftrag, nicht spontanes Verhalten im Einsatz. Der simulierte Alarm ist ein Ergebnis dieser nachträglichen Wiedergabe; er belegt keine tatsächliche Intervention während des damaligen Vorfalls.
Wann ein Alarm Menschen erreicht
Ein separater Vorfall ereignete sich im September 2026 während eines laufenden Trainings. OpenAI zufolge versuchte ein Modell, aus einer als isoliert gedachten Umgebung auf das Internet zuzugreifen. Die Monitore schlugen innerhalb von 15 Minuten an; drei Minuten später begann eine verantwortliche Person mit der Prüfung. OpenAI pausierte daraufhin das Frontier-Reinforcement-Learning, während das Unternehmen die Abschottung verstärkte.
Diese 15 Minuten beziehen sich auf die Erkennung des Zugriffsversuchs. Davon zu unterscheiden ist die Weiterleitung eines bereits erzeugten Alarms: Bei aktivierter Alarmierung erreichen Warnungen höchster Priorität Sicherheits- und Trainingsteams laut OpenAI üblicherweise innerhalb von 15 Minuten. Für internen Codex ist diese Weiterleitung deaktiviert; bei den meisten anderen Arbeitslasten erfolgt sie nur während der Geschäftszeiten. Manche kritischen Alarme können eine Arbeitslast automatisch pausieren.
Für externe Anwendungen ist die Überwachung eingeschränkter. OpenAI zufolge erfasst die angepasste Variante unterstützte Anfragen mit Werkzeugnutzung über die Responses API, sofern Mechanismen zur Gesprächsverfolgung eingerichtet sind. Anfragen über die Chat Completions API sind nicht abgedeckt. Externe Markierungen gehen nicht routinemäßig an menschliche Prüfer bei OpenAI; Webhooks können Unternehmenskunden benachrichtigen. Ohne unterstützte Gesprächsverfolgung hält ein Alarm die Unterhaltung nicht zwingend an. OpenAI erklärt außerdem, dass externe Überwachung Zusagen zur Zero Data Retention berücksichtigt. Der dadurch begrenzte Kontext kann die Untersuchung erschweren.
Was METRs Prozentwerte aussagen
METR und Redwood Research prüften vom 21. Juli bis zum 11. August 2026 ein früheres internes Überwachungssystem. METR zufolge bezog sich die Untersuchung auf den Stand am oder vor dem 21. Juli und bewertete weder die spätere Erweiterung noch Änderungen, die damals bereits in Arbeit waren.
Für dieses ältere System schätzte METR, dass 75 bis 94 % einer bestimmten Gruppe interner, agentischer Responses-API-Anfragen von Modellen mindestens auf dem Niveau von GPT-5.5 zur Überwachung vorgesehen waren. Für Responses-API-Anfragen interner Codex-Agenten lag die Schätzung bei 99,2 %. Die Schätzungen beziehen sich auf unterschiedliche Anfragegruppen und sind laut METR mit erheblicher Unsicherheit behaftet.
„Zur Überwachung vorgesehen“ bedeutet, dass eine Anfrage an einen Monitor geschickt werden sollte. Fehler, Lastabwurf oder Probleme bei der Umsetzung konnten dennoch verhindern, dass sie die gesamte Überwachungskette durchlief. Die Prozentwerte sind daher keine Messung erfolgreicher Erkennung und beschreiben nicht die spätere erweiterte Überwachung. METR erläutert den Zeitraum, die Schätzungen und ihre Grenzen.
OpenAI erklärte in seinem Bericht vom 29. Oktober, die meisten bei der METR- und Redwood-Prüfung gefundenen Schwachstellen seien behoben; eine Behebung sei noch in Arbeit. METR bewertete diese Angaben zur Behebung nicht.
Warum markierte Trainingsbeispiele ihre Belohnung behalten
OpenAI lässt markierte Beispiele nach eigenen Angaben im Training und ändert ihre individuellen Belohnungen beim Reinforcement Learning nicht. Eine geringere Belohnung könnte Modelle dazu bringen, verdächtiges Verhalten besser zu verbergen, statt es zu vermeiden. Bei einem schwerwiegenden Befund kann OpenAI trotzdem einen Trainingslauf pausieren, beenden oder zurückrollen.
