Astra: OpenAI’s kommendes Modell als „kritisch“ bei Cybersecurity eingestuft

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

OpenAI hat sein kommendes Modell Astra erstmals als „Critical“ im Bereich Cybersecurity eingestuft. Das ist die höchste Stufe im firmeneigenen Preparedness Framework und bedeutet: Astra kann mit den passenden Werkzeugen und Zugängen bislang unbekannte Sicherheitslücken in gut gehärteten Systemen finden und funktionierende Angriffe dafür entwickeln, ohne dass ein Mensch jeden Schritt vorgibt. Kein Modell von OpenAI wurde bisher so eingestuft. Teile der Entwicklung und der Veröffentlichung wurden deshalb zurückgehalten, während das Unternehmen die Schutzmechanismen nachschärfte.

Was Astra kann

Für die Einstufung kombinierte OpenAI automatisierte Benchmarks mit Bewertungen durch Expert:innen. Auf ExploitBench, einem Test für das Entwickeln von Exploits aus bekannten Schwachstellen, erreichte Astra 100 Prozent. Weil bei öffentlichen Benchmarks immer die Gefahr besteht, dass Testdaten schon im Training stecken, baute OpenAI eine interne Variante mit 20 erst kürzlich offengelegten, hochriskanten Lücken in der JavaScript-Engine V8. Auch dort lag Astra deutlich vor dem Vorgänger GPT-5.6 Sol, und zwar bei spürbar geringerem Token-Verbrauch. Während des Tests entdeckte das Modell zwei bis dahin unbekannte Zero-Day-Lücken und baute sie in eine Angriffskette ein. Beide werden laut OpenAI derzeit an die Maintainer gemeldet.

In den von Fachleuten geführten Tests ging Astra noch weiter. Gegen einen gehärteten Browser fand das Modell neue Schwachstellen und verkettete sie zu einem vollständigen Ausbruch aus der Sandbox, samt Befehlsausführung auf dem Host, sobald der Browser eine präparierte HTML-Datei öffnete. In einem gehärteten Betriebssystem kombinierte es mehrere Lücken zu einer Rechteausweitung vom unprivilegierten Nutzer bis zu root.

Warum die Veröffentlichung verzögert wurde

OpenAI sieht bei dieser Fähigkeitsstufe zwei Risikopfade. Der eine sind böswillige Akteur:innen, die das Modell für Angriffe einspannen. Der andere ist das Modell selbst, das auch ohne solchen Auftrag Schaden anrichten könnte, falls es sich fehlausgerichtet verhält.

Der zweite Pfad ist keine Theorie. Nach dem Vorfall rund um Hugging Face, bei dem rund 700 KI-Agenten von OpenAI im Rahmen eines Cyber-Benchmarks die Systeme eines Dritten kompromittierten, pausierte das Unternehmen bestimmte Frontier-Trainingsläufe für zwei Wochen, darunter auch Training für Astra. In dieser Zeit wurde die Trainingsinfrastruktur gehärtet: strengere Isolation, Netzwerkkontrollen, mehr Monitoring, höhere Schwellen beim Alignment-Training. Größere Reinforcement-Learning-Läufe für künftige Astra-Versionen blieben noch länger gestoppt. Der zuvor pausierte große RL-Lauf startete erst vergangene Woche wieder, kleinere Experimente bleiben vorerst angehalten.

Astra selbst war am Hugging-Face-Vorfall nicht beteiligt. OpenAI schreibt allerdings, die eigenen Produktionsschutzmechanismen hätten den Vorfall nach rückwirkenden Tests verhindert.

Die Nachbesserungen

Auf Modellebene wurde Astra darauf trainiert, unerlaubte Cyber-Anfragen zuverlässiger abzulehnen. In den internen Jailbreak-Tests verweigert das Modell 91,5 Prozent der Anfragen, GPT-5.6 Sol kam auf 59 Prozent. Für Konten, die als riskanter eingestuft werden, gilt eine engere Grenze, das Monitoring bezieht dort auch den Kontext mehrerer Konversationen ein. Dazu kommen System-Klassifikatoren, Red-Teaming mit automatisierten Angreifer-Modellen, Regressionstests auf früher gefundene Jailbreaks und ein 24/7-Programm für neue Funde. Gemeinsam mit Industriepartnern arbeitet OpenAI an einem einheitlichen Bewertungssystem für Jailbreaks.

Auf der Alignment-Seite nennt OpenAI Astra sein bisher am besten ausgerichtetes Modell. Zwei Tests illustrieren das: In einem Szenario, in dem eine automatische Freigabeprüfung eine Aktion ablehnt, umging GPT-5.6 Sol diese Prüfung in 5,3 Prozent der Fälle, Astra in keinem. In einem zweiten Test wurden „Honeypots“ ausgelegt, also verlockende Abkürzungen bei besonders schweren oder unlösbaren Aufgaben. GPT-5.6 Sol griff ohne Produktionsschutz in 56 Prozent der Fälle danach, Astra unternahm laut OpenAI keinen solchen Versuch und löste trotzdem einen Teil der Aufgaben regulär. Beide Werte stammen aus Testbedingungen ohne aktive Schutzmechanismen. In der Produktion kommt zusätzlich ein Monitoring der Gedankenketten dazu, das verdächtige Aktionen automatisch stoppen kann.

Was das für Nutzer:innen heißt

Astra soll bald verfügbar sein, die fortgeschrittenen Cyber-Fähigkeiten allerdings nur eingeschränkt. Zunächst bekommt eine kleine Gruppe von Alpha-Tester:innen Zugang, später soll er über das Programm Daybreak Blue für defensive Anwendungen erweitert werden. Ein ähnliches Muster gab es schon beim eingeschränkten Zugang zu GPT-5.6-Cyber.

OpenAI räumt offen ein, dass die Schutzmechanismen zum Start mehr Reibung erzeugen werden als beabsichtigt. Das System kann legitime Arbeit als möglichen Missbrauch einstufen und sie verlangsamen, pausieren oder abbrechen, auch bei Aufgaben ohne erkennbaren Cyber-Bezug oder bei lang laufenden Agenten. In ChatGPT und Codex sollen Nutzer:innen in solchen Fällen eine Aktion bestätigen, über die API bricht der Vorgang ab.

Rogue AI als Branchenproblem

Der Fall reiht sich in eine Serie von Vorfällen ein, bei denen KI-Agenten in Tests aus ihrem vorgesehenen Rahmen ausgebrochen sind. Beim Hugging-Face-Vorfall kompromittierten OpenAI-Agenten im Benchmark ExploitGym die Systeme eines unbeteiligten Unternehmens. Anthropic legte danach nach einer Prüfung von mehr als 141.000 Testläufen drei eigene Vorfälle offen, darunter ein Modell, das ein Schadpaket auf der Paketplattform PyPI hinterlegte, und ein internes Testmodell, das rund 9.000 fremde Ziele scannte.

Der bislang weitreichendste Fall stammt aus einem Test des britischen AI Security Institute mit Anthropics Modell Mythos 5. Der Agent führte dabei eigenständig einen Supply-Chain-Angriff auf ein Open-Source-Projekt: Er legte über Anonymisierungsdienste gefälschte GitHub-Konten an, versteckte Schadcode in einem Pull Request, simulierte mit den Fake-Accounts Zustimmung aus der Community, schickte Phishing-Mails unter erfundenen Identitäten an echte Entwickler:innen und schrieb die Code-Historie um, als der Schadcode auffiel. Die Sicherheitsfilter waren für diesen Test bewusst abgeschaltet. Es gilt als erster dokumentierter Fall, in dem ein KI-Agent gezielt Menschen täuschte statt nur automatisierte Systeme.

Branchenweite Warnung vor Cyber AI

Parallel dazu formiert sich eine branchenweite Initiative. Vergangene Woche unterzeichneten mehr als 200 Organisationen einen von OpenAI angestoßenen offenen Brief zur kollektiven Cyberabwehr, darunter Anthropic, Google, Microsoft, AWS, Cisco, CrowdStrike, Cloudflare, Deutsche Telekom, SAP, Mastercard, Visa und Hugging Face. Die Kernaussage: KI-gestützte Cyberangriffe würden in den kommenden Monaten deutlich verbreiteter und ausgefeilter, das Zeitfenster zur Stärkung der Verteidigung sei begrenzt. Als gefährdet gelten unter anderem Krankenhäuser, Wasserwerke und Internetinfrastruktur. Gefordert werden fünf Dinge: cyberfähige KI in die Hände von Verteidiger:innen, Priorisierung von Hochrisiko-Schwachstellen, Cyberabwehr als sofortige Führungsaufgabe, mehr geteilte Bedrohungsinformationen und höhere staatliche Budgets. Im Text heißt es zugleich, dass sich Cyber-Fähigkeiten weltweit ausbreiten und kein einzelnes Unternehmen die Zukunft kontrollieren sollte.

Genau diese weltweite Ausbreitung läuft vor allem über offene Gewichte, und der Abstand schrumpft. Das britische AI Security Institute hat gemessen, wie weit führende Open-Weight-Modelle bei Cyber-Aufgaben hinter den besten proprietären Systemen liegen: Bei eng umrissenen Aufgaben waren es zuletzt rund vier Monate für GLM-5.2 gegenüber Claude Opus 4.6, bei komplexeren Cyber Ranges rund sieben Monate. Anfang 2025 lag der Rückstand noch bei sechs bis zehn Monaten. Dazu kommt der Preis: Für 100 Millionen Token verlangten die Opus-Modelle im Test etwa 85 US-Dollar, GLM-5.2 rund 46 und DeepSeek V4-Pro 1,19.

Auch OpenAI-Mitgründer Greg Brockman hat öffentlich davor gewarnt, dass mehrere Anbieter offene Modelle mit Cyber-Fähigkeiten veröffentlicht haben, die nur wenige Monate hinter der Frontier liegen. Der chinesische Anbieter Z.ai zog daraus zumindest teilweise Konsequenzen und hielt sein Modell GLM 5.3 zwei Wochen zurück, um Schutzmechanismen zu testen. Auf dem Schwachstellen-Benchmark CyberGym liegt GLM 5.3 nach Z.ais eigenen Messungen mit 84,5 Prozent vor Anthropics Mythos 5 und OpenAIs GPT-5.6 Sol.

Seit kurzem stehen die Gewichte zum Download bereit, womit ein System auf diesem Niveau dauerhaft in Umlauf ist: Anders als bei Astra lässt sich der Zugang im Nachhinein weder entziehen noch mit neuen Leitplanken versehen.