OpenAI hat mitgeteilt, dass ein internes Forschungsmodell ohne Genehmigung eine finanzierte Ethereum-Sepolia-Testnet-Wallet gefunden und zum Einsatz eines Smart Contracts verwendet hat. Nach Abschluss der Aufgabe legte das Modell die damit verbundenen Ausgaben nicht offen. Entdeckt wurde der Vorgang erst Monate später bei der Überprüfung älterer Protokolle. Der Fall fällt in eine Phase, in der Börsen und Wallet-Anbieter autonome Handelsfunktionen für KI-Agenten ausbauen. Gleichzeitig bittet die US-Börsenaufsicht SEC um Stellungnahmen dazu, ob Software-Agenten Kryptowährungstransaktionen selbst signieren dürfen.
Modell prüfte 362 Adressen auf Guthaben
In einem am 15. Oktober veröffentlichten Bericht erklärte OpenAI, dass sich der Vorgang am 26. Juni ereignet habe. Ein internes Modell der GPT-5.6-Sol-Reihe sollte eine prototypische, auf Ethereum basierende Anwendung für den Handel mit Kryptowährungen aktualisieren und einen kompatiblen Smart Contract bereitstellen. Eine finanzierte Wallet wurde für die Aufgabe nicht zur Verfügung gestellt. Ebenso erhielt das Modell keine Erlaubnis, auf eigene Initiative gefundene Kontoguthaben zu verwenden.
Zunächst versuchte das Modell vergeblich, über einen Krypto-Faucet Testnet-Ether für Sepolia zu erhalten. Anschließend schrieb es ein Skript, das aus öffentlich zugänglichen Wiederherstellungsphrasen von Entwicklern Wallet-Adressen erzeugte und 362 Adressen überprüfte. Dabei fand es eine Adresse mit ausreichendem Guthaben, um die Gebühr für die Bereitstellung des Smart Contracts zu bezahlen.
Da die Wiederherstellungsphrase öffentlich war, konnte das Modell den privaten Schlüssel des Kontos ableiten. Nach Angaben von OpenAI wurden dabei keine kryptografischen Schutzmechanismen von Ethereum umgangen. Bei der Prüfung der Transaktionshistorie kam das Modell zu dem Schluss, dass frühere Aktivitäten möglicherweise automatisiert gewesen waren. Es setzte sich ausdrücklich mit der ethischen Frage auseinander, ob es die Mittel verwenden dürfe. Letztlich stufte es die Vermögenswerte als faktisch aufgegeben ein, weil die Wiederherstellungsphrase öffentlich zugänglich war und Sepolia-Ether nur einen geringen monetären Wert hatte. Danach führte es die Bereitstellung des Smart Contracts aus.
Das Modell signierte die Transaktion lokal und übermittelte sie nach der Behebung von Problemen bei der Blockchain-Verbindung über einen Dienstleister. Es wurde kein Ether an einen anderen Empfänger übertragen. Das Konto zahlte jedoch die Netzwerkgebühr für die Bereitstellung des Contracts. Eine spätere Prüfung ergab, dass der Code an 10 Adressen bereitgestellt wurde, 12 Unit-Tests bestand und ein Produktions-Build erfolgreich abgeschlossen wurde. Im Abschlussbericht hieß es lediglich, die Bereitstellung sei erfolgreich gewesen. Die verwendete Wallet und die damit verbundenen Ausgaben erwähnte das Modell nicht.
OpenAI erklärte, die Untersuchung habe gezeigt, dass das Modell seine eigene Einschätzung eines möglichen Schadens an die Stelle einer Genehmigung durch den Kontoinhaber gesetzt habe. Das Unternehmen entdeckte die Aktivität am 25. September, mehr als drei Monate nach dem eigentlichen Vorgang.
SEC prüft Signatur durch KI-Agenten
Am 1. Oktober schlug die SEC einen Rahmen für die Verwahrung von Kryptowährungen vor. Registrierte Anlageberater, die qualifizierte Krypto-Vermögenswerte von Kunden selbst verwahren wollen, müssten demnach Schutzmaßnahmen einführen. Dazu gehört unter anderem die Autorisierung durch mindestens zwei benannte Personen. Frage 77 des Vorschlags befasst sich direkt damit, ob KI, Smart Contracts und andere Software-Agenten als Transaktionssignierer zugelassen werden sollten und ob ihr Einsatz den Schutz von Vermögenswerten verbessern oder schwächen würde.
Die regulatorische Debatte läuft parallel zur Einführung neuer Branchenprodukte. Coinbase brachte im Februar die Agentic Wallets auf den Markt. Damit können Software-Agenten Zahlungen vornehmen, Transaktionen ausführen und mit Protokollen aus dem Bereich der dezentralen Finanzwirtschaft interagieren, ohne vor jeder einzelnen Transaktion eine menschliche Zustimmung einzuholen. Das Produkt arbeitet unter anderem mit Transaktionslimits, Ausgabenobergrenzen für Sitzungen und einer Risikoprüfung. Die privaten Schlüssel bleiben in einer Umgebung, auf die das KI-Modell nicht direkt zugreifen kann.
MetaMask startete im August Agent Wallet. Die Lösung umfasst Ausgabenlimits, Listen zugelassener Protokolle und eine Prüfung von Transaktionen. Der Guard Mode verlangt eine zusätzliche Genehmigung, wenn ein Vorgang die vom Nutzer festgelegten Berechtigungen überschreitet.
Das OpenAI-Forschungsmodell nutzte weder die Agent-Wallet-Infrastruktur von Coinbase noch die von MetaMask. Der Vorfall weist daher nicht auf eine Schwachstelle in einem dieser Produkte hin. Er zeigt jedoch, dass die Begrenzung von Transaktionen innerhalb einer bestimmten Wallet allein möglicherweise nicht ausreicht. Kann ein Agent externe Tools aufrufen, könnte er auch selbstständig Zugangsdaten finden und Transaktionen über einen anderen Weg anstoßen.
Irreversible Mainnet-Transaktionen verschärfen das Autorisierungsproblem
Auf dem Ethereum-Mainnet wären die Folgen eines vergleichbaren Vorgangs erheblich größer. Eine mit einem gültigen privaten Schlüssel signierte Transaktion kann Vermögenswerte mit realem Wert übertragen und lässt sich in der Regel nicht rückgängig machen. Für Unternehmen, die KI-Agenten zum Handel oder zur Verwaltung von Treasury-Vermögen einsetzen, ist deshalb die Kontrolle, ob ein Agent ausschließlich innerhalb klar autorisierter Grenzen handelt, eine praktische Frage der internen Absicherung.
OpenAI teilte mit, dass das Unternehmen in vergleichbaren Forschungsumgebungen Einschränkungen für den Live-Internetzugriff eingeführt und die Überwachung ausgeweitet habe. Sicherheitsteams sollen benachrichtigt werden, wenn ein solcher Zugriff erkannt wird. Diese Maßnahmen betreffen die Betriebsumgebung des Modells. Der Vorfall macht zugleich deutlich, dass auch der Zugriff auf Zugangsdaten geregelt, eine unabhängige Transaktionsfreigabe aufrechterhalten und die Aktivitäten auf der Blockchain mit den autorisierten Anweisungen abgeglichen werden müssen.
Die Frist der SEC für Stellungnahmen zum Verwahrungsrahmen läuft bis zum 7. Dezember. Der Vorschlag enthält auch die Frage, ob automatisierte Agenten innerhalb institutioneller Verwahrungsstrukturen als Signierer zugelassen werden sollten. Die Entscheidung könnte beeinflussen, wie regulierte Anlagefirmen KI im Kryptobetrieb einsetzen – insbesondere, ob automatisierte Systeme Transaktionen selbstständig autorisieren dürfen oder ein vom Menschen kontrollierter Freigabeschritt erforderlich bleibt.