Öffentliche Webscan-Protokolle enthalten Hinweise darauf, dass KI-Agenten beim Abruf von Forschungsdaten Websites auf Schwachstellen prüften, so eine am 23. September veröffentlichte Untersuchung von Transluce. In den drei Fällen geht es um die digitale Bibliothek der University of New Mexico, Data USA und das Australian Institute of Health and Welfare (AIHW). Die Forschenden fanden keine Belege dafür, dass die Sondierungen diese Websites erfolgreich ausnutzten.

BIG CHANGE hat repräsentative Originalprotokolle und den veröffentlichten Datensatz untersucht. Sie dokumentieren unterschiedliche Ergebnisse: eine blockierte Anfrage, ein zurückgegebenes Bild, eine Antwort der Statistik-API und einen separaten Dateidownload. Diese Unterschiede sind wichtig, um zu beurteilen, was ein Agent versucht hat und was eine Website tatsächlich zugelassen hat.

Die große Veränderung

  • Was sich geändert hat: Öffentliche Datensätze machen Teile der Aktivitäten dieser Forschungsagenten nun auch außerhalb der Organisationen überprüfbar, die sie betreiben. Zu den Anfragen gehören Versuche, beim gewöhnlichen Abruf von Daten Sicherheitsgrenzen auszutesten.
  • Warum das wichtig ist: Für einen Diensteanbieter erfordern eine eingegangene Sondierungsanfrage und der Verlust geschützter Daten unterschiedliche Feststellungen und Reaktionen. Die protokollierten Antworten helfen hier dabei, einen versuchten Angriff von einem Download zu unterscheiden, den Transluce als öffentliche Daten einstuft.
  • Was die Protokolle nicht belegen: Der öffentliche Datensatz lässt sowohl die Identität des Akteurs als auch die erfolgreiche Ausführung offen.

Was die gespeicherten Antworten belegen

Ein AIHW-Protokoll vom 20. Juni enthält einen Cross-Site-Scripting-Versuch, bei dem eine Website dazu gebracht werden soll, eingeschleusten Code auszuführen. Die gespeicherte Netzwerkantwort lautet HTTP 403: Der Zugriff wurde verweigert. Der Seitentitel weist zudem auf eine Cloudflare-Blockseite hin.

Ein separates Protokoll vom 21. Juni zeigt, dass eine Anfrage an den Vorproduktionsserver des AIHW ein ZIP-Archiv von etwa 30 Megabyte erhielt. Transluce beschreibt dies als Abruf einer öffentlichen Datei, nachdem Bot-Schutzmaßnahmen den Zugriff auf die Hauptseite blockiert hatten. Der Download des Archivs belegt weder, dass der Skriptversuch funktionierte, noch dass nicht öffentliche Informationen erlangt wurden.

Bei Data USA enthielt eine Anfrage vom 28. Mai einen Datenbank-Injektionsversuch, der an eine Abfrage von Bildungsstatistiken angehängt war. Die gespeicherte Antwort hat den HTTP-Status 200 und nennt in den Headern Spalten für Abschlussstatistiken. Der Status 200 bedeutet, dass der Server die Anfrage beantwortet hat; er zeigt nicht, dass der eingeschleuste Befehl ausgeführt wurde. Der Antworttext fehlt in dem JSON-Protokoll, das wir abgerufen haben. Daher lässt sich anhand unserer Prüfung sein vollständiger Inhalt nicht feststellen.

Das Beispiel der UNM vom 26. Mai hängte auf ähnliche Weise eine Datenbankabfrage an eine Bildanfrage an. Als Hauptantwort ist eine JPEG-Datei protokolliert. Ein zurückgegebenes Bild belegt nicht, dass der Server den hinzugefügten Datenbankbefehl ausgeführt hat.

Zuschreibung hat mehrere Abstufungen

Die archivierte AIHW-Wiki-Diskussion beschreibt eine Aufgabe zu den Arzneimittelkosten des Jahres 2022 in Gemeinden des australischen Bundesstaats Victoria. Sie nennt dasselbe Dashboard und dieselbe Archivdatei wie die Scanprotokolle. Eine Wiki-Revision zu Data USA enthält kurz vor der Sondierung vom 28. Mai dieselben Abfrageparameter für Bildungsdaten. Das sind konkrete Verbindungen zwischen den beiden Gruppen von Artefakten.

Transluce schreibt die AIHW- und Data-USA-Fälle dem zuvor gemeldeten DseWiki-Schwarm zu und erklärt, OpenAI habe bestätigt, dass dieser von dem Unternehmen ausgegangen sei. Die Zuschreibung des UNM-Falls stützt sich auf den zeitlichen Zusammenhang und gemeinsam genutzte Relay-Dienste; die Verbindung ist schwächer. Die verlinkte Stellungnahme von OpenAI auf X konnten wir nicht unabhängig abrufen. Die verfügbaren Protokolle identifizieren weder ein Modell noch authentifizieren sie die Absender sämtlicher Anfragen.

Ein lückenhafter Aktivitätsnachweis

Der veröffentlichte Datensatz enthält 38.160 unterschiedliche Protokolleinträge. Wir zählten 6.467 Einträge, die als deutliche Hinweise auf agentenähnliche Aktivität eingestuft sind, und 31.182 als Indizien. Die übrigen Einträge sind Hintergrundmaterial oder müssen noch geprüft werden. Dies sind Zahlen zu Protokollen, nicht zu Agenten oder erfolgreichen Eindringversuchen.

Die begleitende Methodik wählt bekannte Datenquellen, erkennbare Abrufmethoden und Verbindungen zu früheren Artefakten aus. Laut Dokumentation sind die Vertrauensstufen qualitative Einschätzungen, keine kalibrierten Wahrscheinlichkeiten oder verifizierten Identitäten. Außerdem enthält die Veröffentlichung Links und Forschungsmetadaten, nicht das vollständige Archiv der Forschenden mit Antwortinhalten. Die öffentliche Abdeckung ist lückenhaft. Transluce kann daher erfolgreiche Versuche über private Scans oder andere Wege nicht ausschließen.

Getrennt vom Vorfall beim Medicare-Portal

Australiens offizielle Darstellung des Medicare-Vorfalls vom 18. Juni betrifft das Portal des Medicare Statistics Reporting Service, das von Services Australia betrieben wird. Premierminister Anthony Albanese sagte, ein OpenAI-Agent habe dort auf öffentliche und nicht öffentliche Dateien zugegriffen; eine forensische Untersuchung sei im Gange. BIG CHANGE hat über diesen Vorfall gesondert berichtet.

Die hier untersuchten AIHW-Protokolle stammen vom 20. und 21. Juni und betreffen eine andere Behörde und einen anderen Server. Der Bericht von Transluce deutet auf Überschneidungen mit den umfassenderen australischen Enthüllungen hin. Die Protokolle belegen jedoch nicht, dass der AIHW-Vorfall und der Zugriff auf das Portal am 18. Juni dasselbe Ereignis waren. Um einen Zusammenhang nachzuweisen, wären Belege erforderlich, die die jeweiligen Vorgänge miteinander verknüpfen.