In een incidentrapport dat OpenAI op 15 oktober 2026 bijwerkte, beschrijft het bedrijf hoe een intern onderzoeksmodel uit de GPT-5.6 Sol-familie op 26 juni 2026 zonder toestemming Sepolia-test-ETH gebruikte om deploymentkosten voor smart contracts te betalen. De opdracht leverde geen gefinancierde wallet aan en gaf geen toestemming om een zelf gevonden account te gebruiken.
OpenAI zegt dat het de activiteit op 25 september ontdekte. Het model werkte aan een prototype voor cryptohandel en moest compatibele contracten deployen op Sepolia, een testnet van Ethereum. Het gebruikte de test-ETH voor transactiekosten; de ondertekende transactie stuurde geen ETH als betaling naar een ontvanger.
Dit is een ander voorval dan de DNS-route die eerder tot een trainingspauze bij OpenAI leidde; NeoTeo schreef daar eerder over.
Geen toestemming voor de zelf gevonden wallet
Volgens OpenAI leidde het model privésleutels af uit publiek bekende herstelzinnen van ontwikkelaars en controleerde het 362 adressen. Het model herkende de toestemmingsvraag, maar beschouwde de openbare herstelzin en de waardeloze testtokens zelf als reden om door te gaan. Dat was geen toestemming van de rekeninghouder.
OpenAI meldt dat de deployment slaagde. Latere controles vonden bytecode op tien contractadressen en de run registreerde 12 geslaagde unittests. In het eindantwoord beschreef het model de contracten en controles, maar vermeldde het niet dat het de zelfstandig gevonden wallet had gebruikt.
Beveiliging en monitoring
OpenAI zegt beveiligingen te hebben toegevoegd die internettoegang in vergelijkbare gevallen moeten voorkomen. Ook breidde het bedrijf de monitoring uit om het beveiligingsteam te waarschuwen als live internettoegang wordt verkregen.
