Astra: OpenAI bremst an der Schwelle, die es selbst schreibt

OpenAI hat nicht gesagt, dass Astra seine kritische Schwelle überschritten hat. Das Unternehmen hat gesagt, es könne das nicht mehr ausschließen. Und die verschärfte Version, die am 7. August die Runde machte, stammt nicht aus der Presse - sie stammt ebenfalls von OpenAI.

Zwei Sätze vom selben Absender, am selben Tag

Am Freitag, den 7. August, veröffentlicht das Labor einen Blogbeitrag mit dem Titel „Responding to the next frontier of critical cyber capabilities“. Darin heißt es: „our preliminary evaluations indicate strong enough performance that we cannot rule out Critical capability level at this time“ - auf Deutsch: Die vorläufigen Auswertungen zeigten eine Leistung, die stark genug sei, dass sich die Stufe Critical zum jetzigen Zeitpunkt nicht ausschließen lasse.

Der Text datiert seine eigene Entscheidung: Auswertungen aus den letzten Tagen, ein Fazit, das „letzte Nacht“ gezogen wurde. Eine Weichenstellung dieser Tragweite, nachts getroffen, morgens veröffentlicht.

Am selben Tag ändert sich die Formulierung auf dem X-Konto von OpenAI: „we're treating it as our first 'critical' model for cybersecurity under our Preparedness Framework“ - man behandle es als das erste kritische Modell für Cybersicherheit im Rahmen des Preparedness Framework. Zwischen „wir können es nicht ausschließen“ und „wir behandeln es als solches“ liegt der Abstand zwischen einer Vorsichtsmaßnahme und einer Feststellung.

Die Schlagzeilen, die den Ton verschärften, haben sich also nichts ausgedacht. Die meisten blieben sogar nah dran, etwa The Decoder mit „potentially“. Wer sich festlegte, wählte die zweite Version - die, die das Labor in seinem kürzesten Kanal verbreitet hatte.

Was pausiert ist - und was nicht

Astra ist nicht abgesagt, und die Entwicklung steht nicht still. In der Pause: interne Aktivitäten, die die verschärften Sicherheitskontrollen noch nicht erfüllen. Das ist weniger eine Vollbremsung als ein Umzug - die Arbeit geht weiter, sie wechselt nur den Raum.

Ein Veröffentlichungstermin steht nicht fest: Das Unternehmen brauche noch etwas mehr Zeit, sagt Sam Altman.

OpenAI schreibt zudem von sich aus, Astra sei in den Hugging-Face-Fall „nicht involviert“ gewesen. Gefragt hatte das niemand. Ein Labor, das vorab entschärft, zeigt vor allem, dass es sehr genau weiß, wo man es erwartet.

Im selben Atemzug vertritt das Labor das Gegenargument: Es will Astra breit verfügbar machen, die Fähigkeiten in die Hände der Verteidiger legen, und Altman hält es für ungesund, den Zugang wenigen vorzubehalten. Das Argument trägt, und wir haben es bereits belegt: In genau diesem Fall hatten die Schutzmechanismen die Verteidigung ausgebremst, nicht den Angriff.

Eine private Skala, ein hauseigenes Thermometer

Die Stufe Critical ist keine regulatorische Kategorie. Sie ist die letzte Sprosse des Preparedness Framework, eines Dokuments, das das Unternehmen selbst schreibt und überarbeitet. OpenAI merkt zudem an, dass frühere Modelle, darunter GPT-5.6-Sol, eine Stufe darunter eingeordnet wurden.

Der Beitrag datiert dieses Rahmenwerk auf Dezember 2023, „lange bevor Modelle sich diesem Fähigkeitsniveau näherten“. Maßgeblich ist heute allerdings die zweite Fassung vom 15. April 2025. Das eigene Rahmenwerk ausgerechnet an dem Tag, an dem man sich ihm annähert, auf seine älteste Version zu datieren, ist eine leise Art, sich Vorlaufzeit zu verschaffen.

Ein Unternehmen hat also die Skala entworfen, das Instrument gebaut, die Messung vorgenommen und das Ergebnis veröffentlicht. Nichts davon ist illegal. Nachprüfbar von außen ist davon aber auch nichts.

Im Juli hatten wir notiert, dass ein unveröffentlichtes OpenAI-Modell seine Sandbox überlistet hatte, Anfang August dann, dass als Ausbruch erzählte Vorfälle auf wacklige Konfigurationen und absichtlich entfernte Schutzmechanismen zurückgingen. Diese drei Episoden ähneln sich mehr in ihrer Quelle als in ihrer Schwere: Jedes Mal ist die einzige Partei, die weiß, was passiert ist, auch diejenige, die davon erzählt.

Am selben Tag lockert das andere Labor

Ebenfalls am 7. August kündigt Anthropic an, die Biologie-Filter von Fable 5 zu lockern: rund 85 Prozent weniger Fehlalarme, eine Zahl von Anthropic, berichtet von The Decoder. Die Beschränkungen bei Virologie, Toxikologie und Moleküldesign bleiben bestehen. The Register hatte angemerkt, dass die ursprünglichen Einstellungen das Modell für Forscher und Biologen unbrauchbar gemacht hätten.

OpenAI verweist im Übrigen auf seinen eigenen Präzedenzfall vom Juni 2025, als sich seine Modelle der oberen Schwelle in Biologie näherten: Man wende hier „das gleiche Prinzip“ an. Das Verfahren ist eingespielt, und es ist dieselbe Art von Mechanismus, den Anthropic am selben Tag betätigt, um zu lockern.

Zwei Hände am selben Regler, die am selben Tag in entgegengesetzte Richtungen drücken - und keine von beiden gehört einem Schiedsrichter. Die 85 Prozent stammen von Anthropic, genau wie die kritische Schwelle von OpenAI stammt.

Fünf Tage nach Brüssel wurde Washington informiert

Am 2. August 2026 wurden die Befugnisse der EU-Kommission gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck durchsetzbar. Sie kann seither Unterlagen anfordern, eigene Bewertungen durchführen, Maßnahmen anordnen und Geldbußen von bis zu 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro verhängen - je nachdem, welcher Betrag höher ist. Das regelt Artikel 101 der Verordnung, der einzige Artikel, den der Gesetzgeber ausdrücklich aus der ersten Anwendungswelle von 2025 herausgehalten hat. Fünf Tage später gibt OpenAI bekannt, dass es die höchste Risikostufe seiner eigenen Skala nicht ausschließen kann.

Ausgelöst hat das nichts, und es ist auch kein Verstoß. Artikel 55 verpflichtet dazu, schwerwiegende Vorfälle unverzüglich an das AI Office zu melden, und die Verordnung definiert den schwerwiegenden Vorfall über seine Folgen: einen Todesfall, eine schwere Gesundheitsschädigung, eine Störung kritischer Infrastruktur, eine Verletzung der Grundrechte, einen schweren Schaden an Eigentum oder Umwelt. Das Ergebnis einer internen Bewertung an einem Modell, das noch gar nicht erschienen ist, erzeugt davon keine. Der Fall Astra fällt in eine Lücke des einzigen verbindlichen Textes, der existiert - fünf Tage, nachdem dieser Text sanktionsfähig geworden ist.

Die einzige Behörde, die informiert wurde, wurde es freiwillig - und es war nicht diese. Laut einem von Axios zitierten Vertreter des Weißen Hauses hat OpenAI die US-Regierung freiwillig über die Absicht informiert, die Veröffentlichung von Astra zu verschieben. Eine vorherige Zustimmung war nicht erforderlich. Keine der eingesehenen Quellen erwähnt das europäische AI Office.

Das Muster ist nicht neu: Ende Juli hatte ein schlecht isolierter Test von Anthropic die Systeme dreier Unternehmen erreicht, und die Angelegenheit wurde zwischen dem Labor und den betroffenen Firmen geregelt - ohne anderen Schiedsrichter als den guten Willen des Ersteren.

Zwei Versionen, die nebeneinander bestehen bleiben

OpenAI kündigt an, Astra von zuständigen Regierungsbehörden, ausgewählten Sicherheitsorganisationen und externen Testpartnern prüfen zu lassen, denen empfohlene Kontrollen zur Verfügung gestellt werden. Das ist eine reale Geste, und sie bleibt vollständig freiwillig: Das Labor wählt seine Prüfer, seinen Zeitplan, seinen Umfang - und sogar die Maßnahmen, die es ihnen zur Anwendung empfiehlt.

Der Beitrag endet mit einem Versprechen: Modelle mit starken Fähigkeiten in der Cybersicherheit sollen Verteidigern helfen, Lücken zu schließen, bevor sie ausgenutzt werden, und OpenAI wolle „an der Seite von Regierungen, Sicherheitsinstituten und der Zivilgesellschaft“ arbeiten. Kein Regulierer wird genannt, keine Verpflichtung, keine Frist. An der Seite von jemandem zu arbeiten heißt nicht, ihm zu unterstehen. Solange die Liste der Partner von demjenigen aufgestellt wird, den sie eigentlich beaufsichtigen sollte, werden die beiden Formulierungen vom 7. August weiter nebeneinander kursieren, ohne dass irgendetwas irgendjemanden je dazu zwingt zu sagen, welche davon die richtige war.