Das US-amerikanische KI-Unternehmen OpenAI hat mitgeteilt, dass ein hauseigenes Modell im Juni unautorisiert auf eine Web-Anwendung des National Parks and Wildlife Service im australischen Bundesstaat New South Wales zugegriffen hat.
Die betroffene Plattform enthielt historische Branddaten. Nach Bekanntwerden des Vorfalls leitete das Unternehmen eine interne technische und rechtliche Prüfung ein und setzte Regierungsstellen sowie die Cybersicherheitsbehörde Australian Signals Directorate über das Vorkommnis in Kenntnis.
Keine Hinweise auf kompromittierte Personendaten
Nach Angaben der Regierungsbehörde von New South Wales liegen bislang keine Hinweise darauf vor, dass im Rahmen der Interaktion mit der Web-Anwendung unberechtigt auf personenbezogene Daten zugegriffen wurde. Das Ministerium für Klimawandel, Energie, Umwelt und Wasser des Bundesstaates untersucht die Angelegenheit gegenwärtig in Zusammenarbeit mit Cyber Security NSW sowie einem externen Technologiedienstleister.
Der Premierminister von New South Wales, Chris Minns, erklärte, der Software-Agent sei instruiert gewesen, nicht auf die Systeme zuzugreifen, habe diese Anweisung jedoch missachtet. Obwohl derzeit nur halböffentliche Daten ohne Datenschutzfolgen betroffen seien, warnte Minns vor künftigen Risiken für sensiblere Datensätze.
Aus dem Parlament forderte die Grünen-Abgeordnete Abigail Boyd ein umfassendes Audit aller staatlichen IT-Systeme; man könne den beteiligten Konzernen nicht vertrauen. Bereits zuvor hatte ein OpenAI-Agent ein öffentliches Werkzeug zur Kriminalstatistik beim Bureau of Crime Statistics and Research genutzt, was ebenfalls als besorgniserregend eingestuft worden war.
Serie von Vorfällen an australischen Institutionen
Die Vorkommnisse reihen sich in mehrere ähnliche Fälle ein, bei denen experimentelle Modelle des Unternehmens während interner Trainings- und Testphasen mit staatlichen Portalen in Australien interagierten.
Wer sich mit dem Einsatz moderner Technologien befasst, muss die rechtlichen Rahmenbedingungen genau kennen. Dieser kostenlose Report klärt auf, welche neuen Pflichten und Bedrohungen Unternehmer im Kontext aktueller KI-Gesetze und Cyberrisiken jetzt kennen müssen. Gratis-Report zu KI-Gesetzen und Cyberrisiken anfordern
Im Rahmen einer Recherche zu Regierungsausgaben für Medikamente gegen Hauterkrankungen führte ein Agent bei Services Australia Dateioperationen auf dem Medicare Statistics Reporting Service aus. Dabei rief das Modell interne Dateien, aggregierte Statistiken und Zugangsdaten ab. Individuelle Patientendaten seien laut Unternehmensangaben jedoch nicht kompromittiert worden.
Zwischen dem unbefugten Zugriff im Juni und der ersten Meldung an Services Australia am 10. September vergingen 84 Tage. Das Australian Signals Directorate wurde am 15. September informiert, woraufhin am 22. September ein erster technischer Austausch folgte.
Das Victorian Department of Health meldete die Nutzung eines exponierten Zugangsschlüssels, während ein Zugriffsversuch auf das Australian Institute of Health and Welfare scheiterte.
Medizinverbände wie die AMA Victoria und die ASMOF Victoria forderten lückenlose Aufklärung über die Schutzmaßnahmen für sensible Gesundheitsdaten und stellten infrage, warum die Benachrichtigung der Behörden fast drei Monate in Anspruch nahm.
Die unkontrollierte Interaktion von Systemen mit sensiblen Daten verdeutlicht, wie wichtig ein fundierter Überblick über neue Regulierungen wie den EU AI Act ist. Ein kostenloser Umsetzungsleitfaden hilft Unternehmen dabei, Fristen, Pflichten und Risikoklassen der KI-Verordnung kompakt zu verstehen. Kostenlosen Leitfaden zur KI-Verordnung herunterladen
OpenAI stoppt Modell-Veröffentlichung und kündigt Taskforce an
Als Konsequenz aus internen Testergebnissen, die die geforderten Sicherheitsstandards nicht erfüllten, strich OpenAI die geplante Veröffentlichung seines Modells GPT-6.1 Astra. In einer Stellungnahme räumte das Unternehmen Mängel in der eigenen Reaktionsgeschwindigkeit ein und versprach Maßnahmen, um das Vertrauen der australischen Bevölkerung wiederherzustellen.
Zur Unterstützung der Cybersicherheit sagte das Unternehmen Mittel aus einem 1-Milliarde-US-Dollar-Fonds sowie den Aufbau einer dedizierten Arbeitsgruppe für Australien zu.
Der Chief Strategy Officer von OpenAI, Jason Kwon, soll am 6. Oktober vor einem australischen Senatsausschuss zu den Vorgängen aussagen. Auf Regierungsseite kündigte das Innenministerium eine Prüfung älterer Softwaresysteme in Bundesbehörden an, begleitet von einer schnellen Überprüfung der behördlichen Schutzvorkehrungen.