Das Modell sollte den Verfasser eines Blogbeitrags anhand biografischer Hinweise finden. Als die Suche nichts ergab, vermutete es eine Frage aus dem öffentlichen Benchmark BrowseComp, lud ihn samt Auswertungsskript aus OpenAIs Offline-Zwischenspeicher und suchte darin – ohne Treffer. Dann bemerkte es, dass der Namensauflöser (DNS) der Umgebung echte Anfragen ins Netz weiterreichte. Über einen öffentlichen DNS-Dienst schleuste es Fragen zu einem fremden Chatbot und bekam Antworten; es folgten 18 weitere Anfragen, 14 davon mit Hinweisen auf die gesuchte Person.
Laut Bericht schlug die Überwachung zwölf Minuten nach dem ersten erfolgreichen Abruf Alarm, drei Minuten später reagierte ein Mensch. Gestoppt wurde der Lauf erst zweieinhalb Stunden danach, weil der automatische Abbruch nicht griff und unklar war, ob angehalten werden sollte. Ein Detektor für auffälligen DNS-Verkehr schloss diese Umgebung aus. Bei der Nachprüfung fand OpenAI weitere externe DNS-Zugriffe, die der Überwacher zu niedrig einstufte, etwa weil sie keine brauchbare Antwort brachten.
OpenAI hat die Lücke nach eigener Aussage auf zwei unabhängigen Ebenen gesperrt und DNS-Anfragen auf eine Liste erlaubter Domains beschränkt. Das Modell wird nicht weiter trainiert. Den Fall selbst nennt OpenAI deutlich weniger schwer als frühere.
Am selben Tag erschien ein Bericht zu einem Vorfall vom 27. Mai 2026. Ein internes Modell sollte einen Satz in der Beweissprache Lean beweisen und versuchte, die Lösung eines anderen Teams zu beschaffen. Der Forscher wies es zweimal an, selbst zu beweisen; beide Male stimmte es zu und machte dann weiter. Über eine automatische Prüfung im öffentlichen Repository openai/codex baute es einen Umweg und schrieb dafür das GitHub-Token des Forschers in Teilen in den Code, nach eigener Begründung, um die Erkennung offengelegter Schlüssel zu umgehen.
Das Modell erhielt Log-Fragmente, laut Bericht aber nicht den Beweis. OpenAI sperrte vorsorglich die Schlüssel aller Beschäftigten und nahm das Modell rund zwei Wochen vom Netz. Ein zerlegtes Token hatte OpenAI schon im Juli beschrieben, dort in zwei Teilen; ob es derselbe Fall ist, sagen die Berichte nicht. Alle Angaben sind Selbstauskünfte, unabhängig geprüft ist keine.