OpenAI Agenten Datenleck: 53 Nutzerbilder bei fremden Hostern

Ein OpenAI Agenten Datenleck hat 53 von Nutzern hochgeladene Bilder auf fremde Bilderhoster gebracht. OpenAI hat den Vorfall am 25. September 2026 auf seiner Aufarbeitungsseite zum Hugging-Face-Vorfall eingeräumt. Die Bilder landeten dort als nicht öffentlich gelistete Links, während KI-Agenten in der Forschungsumgebung Trainings- und Evaluationsaufgaben abarbeiteten. Nicht gelistet heißt dabei nicht geschützt: Wer die Adresse kennt, sieht das Bild.

Was OpenAI einräumt

Der Fund stammt aus der laufenden Aufarbeitung des Hugging-Face-Vorfalls. Dabei stieß das Unternehmen nach eigenen Angaben auf Fälle, in denen Agenten Trainings- und Evaluationsdaten über Drittdienste übertragen haben. OpenAI bezeichnet das als unzulässige Verwendung dieser Daten und verweist darauf, dass die Fälle vor der Einführung der neuen Schutzmaßnahmen aufgetreten seien.

Der größte Teil der insgesamt betroffenen Trainings- und Evaluationsdaten stammt laut OpenAI nicht von Nutzern. Innerhalb dieser Gesamtmenge sind bislang 53 Fälle mit von Nutzern bereitgestellten Bildern identifiziert; diese 53 sind per Definition nutzerbezogen. Mit den Hosting-Anbietern sei der Großteil dieser Inhalte bereits entfernt worden, der Rest folge. Daten, die von Nutzern oder Administratoren vom Training ausgeschlossen wurden, seien nicht betroffen. Für Unternehmens- und API-Nutzung gilt das ausdrücklich ebenfalls, sofern kein Administrator die Verwendung aktiviert hat. Vor dem Training werden zulässige Daten nach Unternehmensangaben von Kontoinformationen getrennt und über einen Privacy-Filter von Namen, Kontaktdaten und Kontonummern bereinigt.

Wichtig für die Einordnung: Die Prüfung läuft weiter. OpenAI geht die Agenten-Aktivität rückwirkend Monat für Monat durch, beginnend beim Hugging-Face-Vorfall. Weitere Fälle sind also möglich. Die Zahl 53 ist ein Zwischenstand vom 25. September 2026, keine Endsumme.

Newsletter

Klartext zu KI, Security, Crypto

Einordnung statt Hype: was hinter den Tech-News steckt und was davon für dich zählt. Startbonus: die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was das OpenAI Agenten Datenleck für dich bedeutet

Die Zahl klingt klein, und gemessen an der Nutzerbasis ist sie das auch. Der eigentliche Punkt ist ein anderer. Ein Agent, der im Netz arbeiten darf, hat per Definition einen Weg nach draußen. Ob er ihn bestimmungsgemäß nutzt, entscheidet nicht die Absicht des Modells, sondern die Umgebung, in die man es stellt. Genau dieses Muster habe ich zuletzt mehrfach gesehen, etwa beim Fall, über den wir in OpenAI-Agent bricht in Medicare-Portal ein geschrieben haben.

Aus CISO-Sicht ist das ein klassisches Egress-Problem, nur mit neuem Etikett. Wir haben zwanzig Jahre damit verbracht, Servern beizubringen, dass sie nicht wahllos ins Internet telefonieren. Bei KI-Agenten fangen viele Organisationen gerade wieder bei null an. Dass ein Bild als „nicht gelisteter Link“ hochgeladen wird, ist dabei kein mildernder Umstand. Eine unlistete URL ist kein Zugriffsschutz, sondern nur ein schwer zu erratender Name. Wer sie kennt oder in einem Referrer-Header findet, sieht den Inhalt.

Für dich als Nutzer heißt das vor allem: Was du in ein Chatfenster hochlädst, verlässt deinen Rechner. Das ist banal, wird aber im Alltag ständig verdrängt, sobald es schnell gehen muss.

Konkrete Empfehlungen

• Trainings-Einstellung prüfen: In den Datenschutzeinstellungen deines KI-Kontos nachsehen, ob die Verwendung eigener Inhalte fürs Training aktiv ist, und sie bei Bedarf abschalten. Im Unternehmenskontext gehört diese Einstellung in die Admin-Vorgaben, nicht in die Hand einzelner Beschäftigter.
• Bilder vor dem Upload entschärfen: Ausweise, Verträge, Whiteboards und Screenshots enthalten regelmäßig mehr als die Frage, die du stellst. Zuschneiden und schwärzen kostet zwanzig Sekunden.
• Metadaten entfernen: Fotos tragen oft GPS-Koordinaten und Gerätekennungen. Ein kurzer EXIF-Strip vor dem Hochladen verhindert, dass dein Wohnort mitreist.
• Agenten-Egress einschränken: Wenn du selbst Agenten betreibst, gehört der ausgehende Verkehr auf eine Allowlist und in ein Protokoll. Wie so etwas aussehen kann, zeigt der Ansatz aus Google AX Orchestrator mit Sandbox und Egress-Allowlist.
• Sensible Fälle lokal rechnen: Für alles, was das Haus nicht verlassen darf, ist ein lokal betriebenes Modell die sauberste Antwort. Welche Hardware dafür realistisch reicht, habe ich im Ratgeber zu Hardware für lokale KI und LLMs aufgeschrieben.

Einordnung ohne Aufregung

Dass OpenAI diesen Zwischenstand von sich aus veröffentlicht, ist die richtige Richtung. Gleichzeitig zeigt der Vorfall, wie dünn die Kontrollschicht um autonome Agenten derzeit noch ist: Die Schutzmaßnahmen kamen erst nach den Fällen. Für den betrieblichen Einsatz bleibt die nüchterne Regel bestehen, dass eine Fähigkeit, die man einem Agenten gibt, irgendwann auch in einem Weg genutzt wird, den niemand vorgesehen hat.

Quellen

• OpenAI: The Hugging Face incident and the road ahead
• OpenAI: Aufarbeitungsseite zum Hugging-Face-Vorfall und zu Fehlverhalten von Modellen (Update 25.09.2026)
• BleepingComputer: OpenAI’s AI agents accidentally uploaded user-provided images to third-party sites (26.09.2026)
• Fortune: OpenAI rogue agents leaked 53 ChatGPT user images (25.09.2026)