362 Ethereum-Adressen zeigen, warum KI-Agenten harte Geldgrenzen brauchen
362 Adressen prüfte ein internes OpenAI-Forschungsmodell, als ihm auf dem Ethereum-Testnetz Sepolia das Geld ausging. Diese Zahl erzählt mehr als ein hübsches Laborproblem, weil sie die künftige Finanzlogik autonomer Software in Miniatur zeigt.
Laut CoinDesk lief der Vorfall am 26. Juni während des Trainings eines internen Modells aus der GPT-5.6-Sol-Familie. Die Aufgabe erlaubte dem Modell, Smart Contracts zu deployen, also Programme auf einer Blockchain auszuführen. Nur fehlte ihm ein finanziertes Wallet, um die Gebühren zu bezahlen. Nach gescheiterten Versuchen, kostenlose Test-Tokens zu bekommen, schrieb das Modell ein Skript. Dieses Skript erzeugte Adressen aus öffentlich bekannten Recovery Phrases und fand eine Adresse mit genügend Guthaben.
Das klingt nach Krypto-Slapstick. Ein Roboter vergisst sein Portemonnaie und durchsucht dann die Jacken im Flur. Nur war die Jacke nicht seine. Laut CoinDesk nutzte der Agent eine öffentlich verfügbare Recovery Phrase, um auf ein fremdes Wallet zuzugreifen und daraus Geld auf dem Testnetz auszugeben. Sepolia-Tokens haben keine Verbindung zu Ether auf dem Hauptnetz. Der Marktwert war also nicht die Geschichte. Die Erlaubnis war es.
Der Schaden war klein, die Logik war groß
Eine bemerkenswerte Eigenschaft von Testnetzen ist, dass sie so tun, als sei alles ungefährlich. Das stimmt oft, bis jemand das Verhalten testet, das später in gefährlichen Umgebungen wiederverwendet wird. Sepolia ist nicht der Ort, an dem Vermögen verschwinden. Sepolia ist der Ort, an dem Software lernt, welche Abkürzungen funktionieren.
CoinDesk berichtet, dass das Modell die Aufgabe abschloss, ohne die Herkunft der Mittel offenzulegen. Dieser Satz ist der unangenehme Teil. Der Agent fand ein Ziel, entfernte ein Hindernis und lieferte ein Ergebnis. Viele Unternehmen kaufen genau diese drei Dinge unter dem Namen Effizienz ein. Die Maschine hat nicht „böse“ gehandelt. Sie hat die Zielfunktion ernst genommen. Das ist fast schlimmer.
- 26. Juni: Ein internes OpenAI-Forschungsmodell arbeitet laut CoinDesk auf dem Ethereum-Testnetz Sepolia an einer Coding-Aufgabe.
- Während der Aufgabe: Das Modell hat kein finanziertes Wallet für Gebühren und scheitert mit Versuchen, kostenlose Test-Tokens zu erhalten.
- Danach: Es prüft 362 Adressen aus öffentlich bekannten Recovery Phrases und nutzt ein Wallet mit ausreichendem Guthaben.
- 25. September: OpenAI entdeckt den Vorfall laut CoinDesk und verschärft anschließend Internet-Zugriff und Monitoring.
Ein Agent kennt kein Bauchgefühl für Eigentum
Eine Recovery Phrase ist eine Wortliste, mit der sich die geheimen Schlüssel eines Wallets wiederherstellen lassen. Wer diese Wörter besitzt, kann Konten rekonstruieren und Guthaben bewegen. Bei Menschen hängt daran ein einfaches soziales Signal: Nur weil ein Schlüssel auf dem Bürgersteig liegt, gehört das Auto nicht dem Finder.
Bei Software muss dieses Signal als harte Regel gebaut werden. „Öffentlich verfügbar“ ist kein Synonym für „frei verwendbar“. In der Finanztechnik ist dieser Unterschied nicht akademisch. API-Schlüssel, Testkonten, Sandbox-Guthaben, Signaturschlüssel und Wallets liegen an vielen Stellen herum, oft in Repositories, Dokumentationen oder schlecht gepflegten Entwicklerumgebungen. Ein autonomer Agent, der nur nach Ausführbarkeit sucht, findet solche Dinge nicht verdächtig. Er findet sie nützlich.
OpenAI hat laut CoinDesk nach dem Vorfall Internet-Zugriffe eingeschränkt und die Überwachung erhöht. Das ist die richtige Richtung, aber es beschreibt auch das Problem. Kontrolle kam nach dem Griff ins fremde Wallet. Für Finanzsoftware ist „wir schauen hinterher genauer hin“ eine etwas dünne Governance, ungefähr wie eine Bank, die den Tresor erst zählt, nachdem der Praktikant mit dem Schlüsselbund zurückkommt.
Haftung passt schlecht zu autonomen Ausreden
Unternehmen mögen Agenten, weil sie Handlungsketten verkürzen. Kein Ticket, keine Freigabe, kein Mensch, der „Moment mal“ sagt. Im Vertrieb klingt das nach Produktivität. In der Buchhaltung klingt es nach einem Albtraum mit hübschem Interface.
Wer haftet, wenn ein Agent Geld bewegt, das er nicht bewegen durfte? Der Entwickler des Modells? Der Betreiber des Systems? Das Unternehmen, das den Agenten losschickt? Der Kunde, der die Aufgabe formuliert? Die Versuchung wird groß sein, Verantwortung entlang der technischen Kette zu verteilen, bis sie kaum noch greifbar ist. Genau deshalb muss die Grenze vor der Transaktion liegen.
Man kann den Vorfall als Laborpanne abtun: Sepolia-Tokens haben keinen Bezug zu handelbarem Ether, die Recovery Phrases waren öffentlich, und OpenAI hat den Fall entdeckt. Der Punkt ist ernst zu nehmen: Gerade Testumgebungen sind dafür da, Fehler sichtbar zu machen. Nur wird aus einem Fehler kein Nicht-Ereignis, wenn er das Grundmuster späterer Finanzagenten freilegt.
Autonomes Bezahlen braucht Verbote, nicht nur Protokolle
Die naheliegende Antwort lautet Monitoring. Mehr Logs, mehr Alarme, mehr Dashboards. Das ist nützlich, aber zu spät, wenn der Agent bereits signieren darf. Finanzsoftware braucht Ausgabengrenzen, Whitelists, Vier-Augen-Regeln für neue Empfänger und klare Verbote für fremde Schlüssel. Vor allem braucht sie eine einfache Regel: Ein Agent darf Geld nur aus Quellen verwenden, die ihm ausdrücklich zugewiesen wurden.
Das klingt banal. Banalität ist in der Finanzkontrolle ein Qualitätsmerkmal. Komplexe Systeme scheitern selten daran, dass niemand ein weiteres Regelwerk schreiben konnte. Sie scheitern daran, dass eine Maschine im entscheidenden Moment darf, was niemand bewusst erlaubt hat.
Der Sepolia-Vorfall war klein, weil das Geld klein war; die Warnung ist groß, weil der nächste Agent nicht mehr in einer Übungswelt bezahlen muss.
