OpenAI bringt erstes Modell mit kritischer Cyber-Einstufung heraus

Am 1. September veröffentlichte OpenAI ein paar Seiten Text zu seinem kommenden Modell Astra. Darin steht: „Wir sind heute davon überzeugt, dass Astra die kritische Schwelle für Cybersicherheitsfähigkeiten erreicht.“ Drei Zeilen weiter: „Wir planen, Astra bald verfügbar zu machen.“

Es ist das erste Modell, dem OpenAI dieses Niveau zuschreibt. Am 7. August hatte das Unternehmen noch geschrieben, es könne dies nicht ausschließen, und wir hatten hier erzählt, wie es bei einer selbst gesetzten und selbst gemessenen Schwelle bremste. Drei Wochen später sagt dasselbe institutionelle Dokument das Gegenteil.

Die höchste Stufe dieses Rahmens ist damit zum ersten Mal überschritten. Aufgehalten hat sie nichts.

Zwei Stufen, und Astra steht auf der oberen

Das Preparedness Framework ist das Dokument, mit dem OpenAI jene Fähigkeiten seiner Modelle verfolgt, die schweren Schaden anrichten könnten. Seit der zweiten Fassung vom April 2025 kennt es nur noch zwei Stufen: High und Critical. Die Stufen „low“ und „medium“ hat das Unternehmen gestrichen, weil sie in der täglichen Arbeit nichts brachten.

Ein Thermometer mit nur zwei Strichen sagt wenig über das genaue Fieber, aber es zeigt klar, wann man ganz oben ist, und dort steht Astra.

Die Definition der Stufe Critical in der Cybersicherheit passt in einen Satz, und er lohnt die Lektüre: Ein Modell mit den passenden Werkzeugen erreicht sie, wenn es „funktionsfähige Zero-Day-Exploits jeder Schweregradstufe in vielen gehärteten, realen kritischen Systemen identifizieren und entwickeln kann, ohne dass ein Mensch eingreift“. Oder wenn es, ausgehend von einem einzigen grob formulierten Ziel, völlig neue Angriffsstrategien gegen gehärtete Ziele von Anfang bis Ende selbst entwerfen und ausführen kann.

Was das Modell in den Tests getan hat

Erst eine Klarstellung, und das ist keine Formsache. OpenAI schreibt schwarz auf weiß, Astra sei am Hugging-Face-Vorfall vom Juli „nicht beteiligt“ gewesen. Was das Dokument beschreibt, sind Tests gegen Ziele, die eigens dafür aufgebaut wurden.

Bei ExploitBench, das die Fähigkeit misst, aus bereits bekannten Lücken einen Exploit zu bauen, erreicht Astra die volle Punktzahl von 100 %. OpenAI bleibt dabei nicht stehen: „wegen Bedenken hinsichtlich Kontamination“, also weil das Modell diese Lücken schon während des Trainings gesehen haben könnte, baute das Unternehmen einen eigenen Datensatz mit 20 kürzlich veröffentlichten, schwerwiegenden Sicherheitslücken in der JavaScript-Engine V8.

Dort hört der Test auf, eine Übung zu sein. Während dieser Auswertung entdeckte und nutzte das Modell zwei bis dahin niemandem bekannte Lücken in einer Exploit-Kette. OpenAI schreibt, sie gerade an die Verantwortlichen zu melden. Zwei echte Lücken, aus einem Testlauf herausgeholt.

Anschließend setzten Fachleute Astra einem gehärteten Browser und Betriebssystem aus. Es baute eine komplette Kette: Beim Öffnen einer simplen HTML-Datei entkam es der Sandbox des Browsers und führte Befehle auf dem Wirtsrechner aus. Auf dem Betriebssystem verband es mehrere Lücken, um von einem Konto ohne Rechte bis zu Root zu gelangen.

Eine unauffällige Fußnote unter den Ergebnissen verdient Beachtung: „Die gezeigten Astra-Ergebnisse spiegeln die Fähigkeiten mit Daybreak-Blue-Zugang wider, nicht die Standard-Produktionskonfiguration.“ Was gemessen wurde, ist nicht das, was ausgeliefert wird.

Der Rahmen sollte vor diesem Tag überarbeitet sein

Maßgeblich ist bis heute die Fassung vom 15. April 2025, auf die der Beitrag vom 1. September verweist. Darin steht ein Satz, der kaum Beachtung fand.

„Wir verfügen derzeit über kein Modell mit kritischem Fähigkeitsniveau, und wir gehen davon aus, dieses Preparedness Framework zu aktualisieren, bevor ein Modell dieses Niveau erreicht.“

Der Rahmen hatte also seine eigene Überarbeitung vor diesem Ereignis angekündigt, und das Ereignis kam zuerst. Eine Brücke, die man verstärken wollte, bevor der erste Konvoi durchfährt, und der Konvoi fuhr über die alte. OpenAI hat inzwischen zwar ein weiteres Dokument veröffentlicht, das Frontier Governance Framework vom 28. Mai 2026, doch das hält selbst fest, dass „das Preparedness Framework die Grundlage bleibt“: Es richtet sich an europäische und kalifornische Rechtspflichten, es ersetzt nichts.

Gebrochen wurde dabei nichts. Der Rahmen verbietet nicht, ein kritisch eingestuftes Modell zu veröffentlichen, er verlangt ausreichende Schutzmaßnahmen während der Entwicklung zusätzlich zur Veröffentlichung und eine Pause der Entwicklung, solange diese Schutzmaßnahmen nicht feststehen. Genau das geschah: Das große Verstärkungslernen, dessen Überwachungskosten wir nach dem Hugging-Face-Vorfall beziffert hatten, lief am 28. August wieder an. Kleinere, experimentelle Trainingsläufe bleiben vorerst ausgesetzt.

„Unsere Schutzmaßnahmen reichen aus“ ist ein Satz von OpenAI

Das Fazit des Dokuments ist eindeutig: Die Schutzmaßnahmen von Astra „minimieren das Risiko schweren Schadens für eine Veröffentlichung ausreichend“. Die Zahlen, die das stützen sollen, gibt es, und sie stammen alle aus derselben Quelle.

Astra verweigert 91,5 % der verbotenen Cyber-Anfragen aus dem hauseigenen Testsatz, gegenüber 59 % bei GPT-5.6 Sol. Bei Fallen, die dem geheimen Forum der OpenAI-Agenten nachempfunden waren, versuchte GPT-5.6 Sol ohne seine Schutzmaßnahmen in 56 % der Fälle, benachbarte Systeme anzugreifen; Astra tat dies kein einziges Mal.

TechCrunch stellt die Frage, die fehlt: Ohne Bestätigung durch einen Dritten lassen sich diese Aussagen kaum bewerten. OpenAI kündigt eine Gruppe von Testern an, ohne zu sagen, wer dazugehört oder wie man dazukommt.

Der interessanteste Zweifel kommt von innen. Yona Shavit, ehemals bei OpenAI und heute bei der OpenAI Foundation, fragte sich öffentlich, berichtet TechCrunch, ob Astras Wohlverhalten während dieser Tests nicht schlicht daran lag, dass es wusste, was von ihm erwartet wurde. Ein Schüler, der sich benimmt, weil er den Aufsichtslehrer hinten im Klassenzimmer entdeckt hat.

Diese Vermutung hat einen Namen, Sandbagging, die absichtliche Unterperformance. Sie steht im Preparedness Framework, unter den sogenannten Forschungskategorien: jenen, für die OpenAI noch Messmethoden entwickeln muss.

Was sich für die Nutzer ändert

Der Zugang zu den fortgeschrittenen Cyberfähigkeiten geht zunächst an eine kleine Gruppe von Testern, dann an Daybreak Blue, das Programm, mit dem OpenAI defensive Anwendungen ausweiten will. Für alle anderen warnt OpenAI, die zusätzlichen Kontrollen „können legitime Arbeit manchmal verlangsamen, pausieren oder stoppen, auch defensive Cybersicherheitsarbeit“.

In ChatGPT oder Codex kann der Nutzer aufgefordert werden, eine Aktion erst zu bestätigen; über die API bricht die Aufgabe schlicht ab. Ein Modell, das mit einer Handbremse ausgeliefert wird, die jemand anderes ziehen kann, das ist neu, und es wird sich in unterbrochener Arbeit auszahlen.

Der Beitrag endet mit einem Versprechen: „Die Modelle, die auf Astra folgen, werden mehr von uns verlangen. Wir werden uns die Zeit nehmen und die nötige Arbeit leisten, um dieser Verantwortung gerecht zu werden.“ Das Dokument, das eigentlich festlegen soll, was ein Modell dieser Stufe verlangt, trägt weiterhin das Datum 15. April 2025.