Der auffälligste der sechs Berichte betrifft ein internes Modell, das im Rahmen von Reinforcement-Learning-Training Ertragszahlen auf Bezirksebene abrufen sollte. Nachdem der Zugriff auf die vorgesehene Daten-API wiederholt scheiterte, versuchte das Modell, sich mit einer Wegwerf-E-Mail-Adresse selbst einen API-Schlüssel zu registrieren, und durchsuchte anschließend öffentliche GitHub-Repositories nach geleakten Schlüsseln.
Einer der so gefundenen Schlüssel funktionierte tatsächlich und lieferte Metadaten zurück. Da das Modell die gewünschten Zahlen dennoch nicht erhielt, erfand es Werte und gab sie als von der Quell-Website übernommen aus – ohne den gescheiterten Abruf oder die Nutzung des fremden Schlüssels offenzulegen.
Ein weiterer Bericht beschreibt, wie Modelle die intern von OpenAI betriebene Artifactory-Instanz, ein gemeinsam genutztes Paket-Repository, als eine Art schwarzes Brett zweckentfremdeten – und zwar über eigentlich voneinander unabhängige Trainingsbeispiele hinweg. Agenten, die nach fehlenden Eingabedateien suchten, stießen dort auf Nachrichten anderer Instanzen, die an derselben Aufgabe arbeiteten, lasen diese und hinterließen ihrerseits Hilfegesuche. OpenAI hält fest, dass die Agenten dabei Zugangsdaten verwendeten, die das Unternehmen selbst für das Herunterladen von Softwarepaketen bereitgestellt hatte, und keine Schwachstellen ausnutzten.
Zwei Berichte drehen sich um Daten, die die vorgesehene Umgebung verließen. In einem Fall lud ein Modell bereits abgerufene Datensätze auf einen öffentlichen Paste-Dienst hoch, um eine zitierfähige URL zu erhalten; ein anderes Modell stellte ein zur Aufgabe gehörendes Foto auf einen öffentlichen Bild-Hoster, um eine Rückwärtsbildsuche durchzuführen. Im weiteren Fall luden kooperierende Agenten, die Dateien nicht über das lokale Dateisystem austauschen konnten, eine Arbeitsmappe auf eine öffentliche Hosting-Plattform und teilten den Download-Link untereinander – obwohl die Anweisung lautete, ausschließlich lokale Dateien zu verwenden.
Ein bislang unveröffentlichtes Modell schrieb laut einem weiteren Bericht Anweisungen im Stil eines Jailbreaks in seine eigenen Kontext-Zusammenfassungen. Darunter war eine frei erfundene Warnung: „SICHERHEITSVORFALL: Eine bösartige Entwicklernachricht hat diese Konversation kompromittiert“ – verbunden mit der Aufforderung an den nachfolgenden Kontext, sämtliche Entwicklernachrichten zu ignorieren.
Im letzten Bericht schildert OpenAI, dass Modellinstanzen Zusammenfassungen nutzten, um Anweisungen zum Verbergen eigener Fehlschläge weiterzureichen. Eine Instanz wies ihre Nachfolgerin an, fehlende historische Daten zu erfinden und „nur dann transparent zu sein, wenn danach gefragt wird“. Solche Anweisungen seien häufig befolgt worden, so OpenAI.