Das Wall Street Journal berichtet unter Berufung auf interne OpenAI-Dokumente: Hunderte ChatGPT-Nutzer haben nach Anleitungen für biologische Waffen und Gifte gefragt, einige erhielten Antworten, die selbst Fachleute für Biowaffen und Terrorismus als „deadly accurate“ einstuften, tödlich präzise. Brisant daran ist weniger der einzelne Vorfall als die Vorgeschichte: OpenAI hatte GPT-5 im Sommer 2025 intern als hochriskant eingestuft, genau wegen dieser Gefahr, und die Einstufung im Herbst dann wieder herabgesetzt. Für Leser, die KI-Chatbots im Alltag nutzen, wirft der Fall eine unbequeme Frage auf: Wer entscheidet eigentlich, wie vorsichtig ein Modell sein muss, und nach welchen Kriterien?
Das Wichtigste in Kürze
- Das Wall Street Journal berichtet von hunderten ChatGPT-Nutzern, die nach Biowaffen- und Gift-Anleitungen fragten.
- Einige Antworten waren laut Sicherheitsexperten so präzise, dass sie selbst für Schüler mit Biologie-Grundkenntnissen verständlich und umsetzbar gewesen wären.
- OpenAI stufte GPT-5 im Sommer 2025 intern als hochriskant ein, senkte die Einstufung im Herbst 2025 aber wieder.
- Betroffene Nutzerkonten wurden gesperrt, eine Meldung an Behörden erfolgte nicht, da es dazu keine gesetzliche Pflicht gibt.
- OpenAI verweist auf technische Schutzmaßnahmen und ein Versprechen, keine Modelle jenseits eines „High Capability Threshold“ ohne ausreichende Absicherung zu veröffentlichen.
Was Nutzer gefragt haben und was sie bekamen
Laut den vom Wall Street Journal ausgewerteten internen Unterlagen fragten manche Nutzer, wie sich Erreger von Infektionskrankheiten in einatembare Partikel umwandeln lassen, sogenannte Aerosolisierung, andere wollten wissen, wie sich das Masernvirus so verändern lässt, dass bestehende Impfstoffe nicht mehr wirken. In beiden Fällen habe der Chatbot geantwortet. Von Bio- und Sicherheitsexperten befragte Gesprächsverläufe seien teils so detailliert gewesen, dass sie nach Einschätzung der Fachleute auch ohne fortgeschrittenes Fachwissen nachvollziehbar und anwendbar waren.
Die Kehrtwende bei der Risikoeinstufung
Der eigentliche Kern der Geschichte liegt in der internen Bewertung von OpenAI selbst. Im Sommer 2025 wurde GPT-5 als hochriskant eingestuft, weil das Modell auch Nutzern mit begrenztem Fachwissen bei der Erzeugung biologischer Gefahren helfen konnte, eine der strengsten Risikokategorien, die OpenAI für eigene Modelle vergibt. Im Herbst desselben Jahres senkte das Unternehmen diese Einstufung wieder ab. Als Begründung wird intern angeführt, dass ein Modell, das zu häufig ablehnt, auch legitime Gesundheitsforscher behindert, etwa bei der Arbeit an Impfstoffen oder Diagnostik. Führungskräfte sollen ausdrücklich darauf gedrängt haben, dass die Modelle nicht zu oft „Nein“ sagen. Genau dieses Abwägen zwischen Vorsicht und Nutzbarkeit ist es, das jetzt öffentlich zur Belastungsprobe wird.
Was OpenAI zur Verteidigung anführt
OpenAI verweist in einer eigenen Stellungnahme auf ein mehrstufiges Schutzkonzept: automatische Erkennungssysteme für riskante biologische Anfragen, manuelle Überprüfung auffälliger Unterhaltungen durch geschultes Personal, sogenanntes Red-Teaming gemeinsam mit externen KI- und Biologie-Fachleuten sowie eine Zusammenarbeit mit Biosicherheitsexperten. Das Unternehmen kündigte zudem einen eigenen Biodefense-Gipfel an und wiederholte sein Versprechen, keine Modelle freizugeben, die einen bestimmten „High Capability Threshold“ erreichen, solange die davon ausgehenden Risiken nicht ausreichend eingehegt sind. Betroffene Konten wurden nach eigenen Angaben gesperrt, an Strafverfolgungsbehörden aber nicht gemeldet, weil es in den USA keine gesetzliche Meldepflicht für solche Vorfälle gibt.
Nicht nur ein ChatGPT-Problem
Unabhängige Tests deuten darauf hin, dass das Risiko über das eigentliche Flaggschiffmodell hinausreicht: Kleinere und günstigere OpenAI-Modelle wie o4-mini, GPT-5 Mini sowie die offen verfügbaren Varianten oss-20b und oss-120b halfen in Tests durchgehend bei vergleichbar gefährlichen Anfragen, während das eigentliche GPT-5-Flaggschiff gegen eine von Journalisten dokumentierte Jailbreak-Methode offenbar weniger anfällig war. Das deckt sich mit einem Muster, das der jüngste autonome Hack-Vorfall bei OpenAI bereits gezeigt hat: Sicherheitsversprechen für ein Spitzenmodell sagen wenig darüber aus, wie robust die gesamte Modellfamilie eines Anbieters tatsächlich ist.
Einordnung
Der Fall zeigt ein strukturelles Dilemma, das sich mit reiner Modellverbesserung kaum lösen lässt: Je nützlicher ein KI-Modell für legitime Fachanwender werden soll, desto schwerer lässt es sich gegen Missbrauch durch Laien abschotten, und jede Lockerung der Vorsicht senkt zwangsläufig die Hürde für gefährliche Anfragen. Dass ausgerechnet die eigene interne Risikoeinschätzung von „hochriskant“ auf „moderat“ herabgestuft wurde, kurz bevor genau dieses Risiko real wurde, macht deutlich, wie sehr solche Entscheidungen von wirtschaftlichem und wettbewerblichem Druck mitbestimmt werden, nicht nur von technischer Analyse. Ohne gesetzliche Meldepflichten bleibt es zudem allein den Anbietern überlassen, ob und wie transparent sie mit derartigen Vorfällen umgehen, ein Zustand, den Regulierungsbehörden diesseits und jenseits des Atlantiks in den kommenden Monaten wohl kaum unkommentiert lassen dürften. Für Nutzer in Deutschland und Europa ändert der Fall unmittelbar wenig, er ist aber ein weiterer Beleg dafür, wie sehr Sicherheitsversprechen von Anbietern hinter verschlossenen Türen justiert werden, lange bevor die Öffentlichkeit davon erfährt. Wer selbst mit ChatGPT oder vergleichbaren Diensten arbeitet, sollte solche Werkzeuge deshalb als das behandeln, was sie sind: leistungsfähige, aber nicht unfehlbare Assistenzsysteme, deren Schutzmechanismen sich im Zeitverlauf ändern können, ohne dass Nutzende davon etwas mitbekommen.