OpenAI Model Spec 2026: Neue Regeln für KI-Agenten und Aufsicht
OpenAI stellt menschliche Absicht, Transparenz, Kontrolle und mögliche Nebenwirkungen stärker in den Mittelpunkt seiner Model Spec. Das ist gerade für Agenten mit E-Mail-, Datei- oder Code-Rechten wichtig. Der neue Regeltext ist aber noch kein Nachweis für sichere autonome Ausführung.
OpenAI hat am 29. Oktober 2026 seine öffentliche Model Spec überarbeitet. Sie ordnet das gewünschte Modellverhalten nach fünf Grundwerten und erweitert Hinweise zum Kontext, zur Anweisungshierarchie, menschlichen Entscheidungshoheit und Nebenwirkungen. OpenAI erklärt selbst, dass seine Modelle die Spezifikation noch nicht vollständig umsetzen.
Fakten und Evidenzgrenzen
- Primärquelle
- Nicht unabhängig getestet
Die Veröffentlichung belegt keine unabhängige Wirksamkeitsmessung und keine universelle Sicherheitsgarantie.
Eine öffentliche Verhaltensvorgabe – kein neues Produkt
OpenAI hat am 29. Oktober 2026 die öffentliche Model Spec aktualisiert, in der das Unternehmen beschreibt, wie sich seine Modelle verhalten sollen. Dies ist weder eine neue Agenten-App noch die Vorstellung eines leistungsfähigeren Modells. Es handelt sich um Leitlinien für Systeme, die mit OpenAI-Modellen arbeiten. Für Agenten mit Werkzeugzugriff gewinnen diese Leitlinien dennoch an Bedeutung.
Ein Modell kann heute nicht nur einen Absatz schreiben, sondern in verbundenen Anwendungen E-Mails verschicken, Dateien verändern, Code ausführen oder Aufgaben über mehrere Systeme koordinieren. Eine Fehlinterpretation der Nutzerabsicht kann deshalb Folgen außerhalb des Chats haben. OpenAI stellt ausdrücklich klar, dass die Modelle das angestrebte Verhalten noch nicht vollständig umsetzen.
Die fünf Werte und ihre Zielkonflikte
Die Model Spec wird entlang fünf Prinzipien organisiert: Treue zu menschlichen Absichten, Schadensminimierung, Ehrlichkeit und Transparenz, Förderung menschlicher Handlungsfähigkeit und Sorgfalt. Das sind keine neuen gemessenen Kennzahlen. Die Prinzipien sollen erklären, wie Modelle unterschiedliche Interessen und Situationen abwägen können.
Treue zum Auftrag bedeutet nach OpenAIs Beschreibung mehr als die wörtliche Befolgung einer Anweisung. Ein Agent soll den Zweck verstehen, darf aber aus einem vermuteten Wunsch keine unbeschränkte Erlaubnis ableiten. Die Absicht, einen Reiseplan zu organisieren, berechtigt noch nicht zum Bezahlen eines Tickets. Auch Ehrlichkeit über Unsicherheit und Aufmerksamkeit für betroffene Dritte sind bei ausführenden Systemen zentral.
Kontext, Erinnerung und Anweisungshierarchie
OpenAI beschreibt überarbeitete Leitlinien zur Priorität unterschiedlicher Anweisungen und zum Einbeziehen von Kontext aus Gesprächen, Erinnerung und anderen Quellen. Für Agenten ist die Herkunft eines Textes sicherheitskritisch: Eine Webseite, ein Dokument oder ein Issue-Kommentar kann Informationen enthalten, ohne selbst eine autorisierte Nutzeranweisung zu sein.
Ein hypothetischer Agent soll einen Marktbericht vorbereiten. Auf einer gelesenen Website steht eine versteckte Aufforderung, private Dateien an einen fremden Server zu übertragen. Diese Zeile ist nicht mit einem Auftrag des Anwenders gleichzusetzen. Das Risiko einer Prompt Injection lässt sich nicht allein durch gute Formulierungen beherrschen; Tool-Rechte und Netzwerkzugriffe müssen unabhängig begrenzt werden.
Nebenwirkungen und die Grenze der Autonomie
Die Überarbeitung betont stärker die Kontrolle und Kommunikation von Nebenwirkungen. Bei einem rein beratenden Modell ist eine unpassende Antwort ein Problem. Bei einem Agenten kann aus der Antwort eine echte Änderung werden: eine Nachricht wird versendet, ein Kunde erhält Daten oder ein Repository wird überschrieben. Die Folgen können überraschend oder schwer rückgängig zu machen sein.
Eine saubere Agentenarchitektur trennt den verstandenen Wunsch, die vorgeschlagene Handlung, die technische Erlaubnis und das tatsächliche Ergebnis. Ein Agent darf oft Informationen lesen und Entwürfe schreiben, ohne für jeden Schritt nachzufragen. Zahlungen, Löschungen und externe Kommunikation benötigen dagegen risikogerechte Kontrollen. Eine höfliche Ablehnung durch das Modell beweist noch nicht, dass die API einen verbotenen Aufruf wirklich sperrt.
Menschliche Handlungsfähigkeit praktisch schützen
OpenAI will laut der Veröffentlichung Modelle stärker darauf ausrichten, Menschen bei eigenen Entscheidungen zu unterstützen. Das heißt nicht, Nutzer ständig mit Dialogen zu unterbrechen. Es bedeutet, dass sie bei wichtigen Entscheidungen die Reichweite einer Aktion kennen und reale Möglichkeiten zur Korrektur oder Ablehnung besitzen.
Ein Bestätigungsdialog, der nur „Fortfahren“ anbietet, ohne Empfänger, betroffene Dateien und Folgewirkungen zu erklären, schützt die Entscheidungsfreiheit kaum. Wer KI-Agenten einführt, sollte deshalb Freigaben außerhalb der Modellantwort verankern und verständlich anzeigen, welche Systeme durch die Aktion geändert werden.
Ein konkreter Testplan und verbleibende Grenzen
Ein sinnvoller Test kombiniert eine legitime Aufgabe mit einer versteckten Gegenanweisung in einer externen Datei. Der Agent darf die Informationen verwenden, aber nicht die fremde Anweisung als höhere Autorität ausführen. Ein zweiter Test widerruft einen Schlüssel und prüft, ob der nächste echte Tool-Aufruf scheitert. Ein dritter kontrolliert, ob der Agent fehlgeschlagene Teilschritte korrekt kommuniziert.
OpenAI hat zugleich viele detaillierte Stilvorgaben zurückgezogen, damit sich Antworten besser an menschliche Präferenzen anpassen können. Das ist nicht gleichbedeutend mit dem Wegfall fester Grenzen. Die Veröffentlichung belegt keine unabhängige Verbesserung bei Agenten-Sicherheit oder produktiven Erfolgsquoten. Das entscheidende Ergebnis ist eine klarer formulierte Richtung – deren Umsetzung weiterhin geprüft werden muss.
Häufige Fragen
Ist die Model Spec eine neue Agentenfunktion?
Nein. Sie beschreibt gewünschtes Modellverhalten und ist keine neue Agenten-App.
Sind Agenten dadurch sicher?
OpenAI weist selbst darauf hin, dass seine Modelle die Model Spec noch nicht vollständig umsetzen.
Was sind Nebenwirkungen?
Folgen wie versendete Nachrichten oder veränderte Dateien, die über den eigentlichen Auftrag hinausgehen.
Wozu dienen Freigaben?
Sie sollen reale folgenreiche Aktionen kontrollieren, nicht nur eine Modellantwort höflicher machen.
Originalquellen und Transparenz
Die Ausgangsmeldung stammt vom 29. Oktober, diese Analyse vom 30. Oktober 2026. Es wurden keine eigenen Benchmarks oder Zertifizierungen durchgeführt.