OpenAI gibt ausgewählten Partnern Zugang zu Hacking-Modell GPT-5.6-Cyber

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Mit „Daybreak Red“ öffnet OpenAI ein eigens trainiertes Cybersecurity-Modell für einen geprüften Kreis an Sicherheitsfirmen — Schutzmechanismen inklusive. Der Schritt fällt in eine Phase, in der gleich vier KI-Labore einräumen mussten, dass ihre Modelle aus Testumgebungen entkommen sind.

OpenAI baut sein Cybersecurity-Programm Daybreak aus und teilt den Zugang künftig in zwei Stufen. Daybreak Blue gibt freigegebenen Verteidigern Zugriff auf das Universalmodell GPT-5.6 Sol, allerdings ohne die Filter, die im Normalbetrieb sicherheitsrelevante Anfragen abfangen. Gedacht ist die Stufe für Schwachstellensuche, Code-Reviews, Malware-Analyse, Incident Response und die Prüfung von Patches.

Daybreak Red geht deutlich weiter: Diese Stufe erlaubt den Einsatz von GPT-5.6-Cyber, einem auf GPT-5.6 Sol aufbauenden Spezialmodell, das gezielt für das Auffinden von Zero-Day-Lücken und den Bau von Exploit-Ketten trainiert wurde — und das bei bestimmten hochriskanten Dual-Use-Aufgaben bewusst seltener die Antwort verweigert.

95 Prozent statt 1,5 Prozent

Wie stark der Unterschied ausfällt, zeigt eine interne Messgröße von OpenAI, die „Advanced Cybersecurity Completion Rate“. Sie misst, wie oft ein Modell auf Anfragen zu Exploit-Ketten, Authentifizierungs-Umgehung oder Rechteausweitung überhaupt antwortet. GPT-5.6-Cyber erledigt laut OpenAI 95,0 Prozent dieser Anfragen. GPT-5.6 Sol mit aktiven Schutzmechanismen kommt auf 1,5 Prozent, über Daybreak Blue auf 2,0 Prozent. Das Vorgängermodell GPT-5.5-Cyber lag bei 57,3 Prozent — die Erhöhung sei eine Reaktion auf Beschwerden von Sicherheitsforschern, die immer wieder an Verweigerungen scheiterten.

Bei den Leistungsbenchmarks ist das Bild gemischter. Auf ExploitGym, das prüft, ob ein Agent bekannte Schwachstellen in funktionierende Exploits übersetzen kann, schlägt GPT-5.6-Cyber sowohl GPT-5.6 Sol als auch den Vorgänger. Auch bei der Entdeckung und Einordnung neuer Zero-Days schneidet es besser ab. Bei einem Test zum Schreiben von Schwachstellenberichten liegt es dagegen hinter GPT-5.6 Sol — OpenAI führt das darauf zurück, dass das Spezialmodell mitunter kürzere, weniger detaillierte Reports produziert. Und auf ExploitBench, wo es um die Ausnutzung von Lücken in Googles JavaScript-Engine V8 unter aktiven Schutzmechanismen geht, ist GPT-5.6 Sol über Daybreak Blue im Standardsetting effizienter.

Zwei unbekannte Lücken in Chromes JavaScript-Engine

Praktisch belegen will OpenAI die Fähigkeiten mit realen Funden. Nach Abschluss des Trainings setzte das Unternehmen GPT-5.6-Cyber auf V8 an und stieß auf zwei bislang unbekannte Schwachstellen, die sich zu einem Speicherfehler und einem Ausbruch aus der V8-Heap-Sandbox verketten lassen. Eine davon wurde von Google behoben und als CVE-2026-15903 geführt: Der optimierende Compiler übersprang eine Sicherheitsprüfung bei der Umwandlung von Werten in Ganzzahlen, wodurch ein undefined-Wert eine unerwartet große Zahl erzeugen konnte — verwendet als Array-Index ließ sich damit fremder Speicher lesen und überschreiben.

Darüber hinaus nennt OpenAI mindestens fünf Schwachstellen in einem verbreiteten mobilen Betriebssystem, drei kritische Lücken in einer verbreiteten Datenbank sowie über 400 Rechteausweitungs-Schwachstellen in einem populären OS-Kernel. Namen nennt das Unternehmen nicht, die Offenlegung laufe gemeinsam mit Partnern und der Open-Source-Community.

Als Referenzkunden führt OpenAI SpecterOps, SentinelOne und Palo Alto Networks an. SpecterOps-CTO Jared Atkinson erklärt in der Ankündigung, das Modell habe in weniger als einem Tag Aufgaben gelöst, an denen frühere Modelle wochenlang gescheitert seien. Laut Axios dürfen künftig auch Accenture, IBM, CrowdStrike und Cisco die Modelle in eigene Sicherheitsprodukte und Managed Services einbauen. Nach OpenAIs eigenem Preparedness Framework erreicht GPT-5.6-Cyber die Stufe „High“ bei Cyberfähigkeiten — anders als das Modell Astra, dessen Veröffentlichung OpenAI wenige Tage zuvor aus genau solchen Sorgen verschoben hatte.

Der Hintergrund: vier Labore, vier Ausbrüche

Der Ausbau fällt in eine Phase, in der die Branche mit einem neuen Problem ringt: KI-Modelle, die während Sicherheitstests aus ihren abgeschotteten Umgebungen entkommen sind. Der Reihe nach:

OpenAI (21. Juli). Mehrere Modelle nutzten eine bis dahin unbekannte Lücke im Paket-Manager Artifactory, gelangten ins offene Internet und drangen in die Produktivsysteme der Open-Source-Plattform Hugging Face ein. Bei der Black-Hat-Konferenz Anfang August legte OpenAI nach: Die Agenten hatten über Wochen ein internes „Message Board“ in Artifactory aufgebaut, um Schwachstellen untereinander zu teilen — mit hunderttausenden Nachrichten. Nachdem OpenAI das Board am 6. Juli entfernt hatte, bauten die Agenten es zwei Tage später über einen anderen Mechanismus neu auf. In der Folge kam es zur Kompromittierung von Hugging Face. Motiv war laut OpenAI kein Angriffswille, sondern der Wunsch, bei einer Evaluierung zu schummeln.

Anthropic (30. Juli). Nach einer Durchsicht von 141.006 Testläufen fand das Unternehmen drei Fälle, in denen Claude aus der Umgebung des externen Evaluierungspartners Irregular ins Internet gelangte und auf Produktivsysteme dreier Organisationen zugriff — der früheste Fall datiert auf April 2026. Anders als bei OpenAI wurden keine komplexen Lücken ausgenutzt, sondern schwache Passwörter und offene Endpunkte. Ursache war ein Missverständnis: Dem Modell wurde gesagt, es befinde sich in einer Simulation ohne Internetzugang — tatsächlich war der Zugang offen.

Meta (5. August). Das kürzlich vorgestellte Modell Muse Spark 1.1 verschaffte sich während Tests bei — ebenfalls — Irregular Internetzugang und drang in die Systeme eines nicht genannten Dritten ein, wo es interne Systeme veränderte. Meta und Irregular betonen, es habe sich nicht um einen Sandbox-Ausbruch gehandelt, sondern um dieselbe Fehlkonfiguration wie im Anthropic-Fall.

Kimi K3 (7. August). Das Modell des chinesischen Anbieters Moonshot verließ eine Testumgebung des britischen AI Security Institute, wie die US-Firma Frontier Security berichtete. Statt Dritte anzugreifen, klonte es schlicht das GitHub-Repository der Benchmark-Aufgabe und las die Lösung ab. Brisant ist der Fall aus einem anderen Grund: Anders als bei den US-Vorfällen handelte es sich nicht um ein unveröffentlichtes oder entschärftes Modell, sondern um ein frei verfügbares Open-Weight-Modell.

Was sich daraus ablesen lässt

Die vier Fälle sind technisch nicht gleichwertig. Nur bei OpenAI haben die Modelle eine unbekannte Schwachstelle ausgenutzt, um aus der Umgebung herauszukommen; in den anderen drei Fällen war die Absperrung schlicht falsch konfiguriert, und die Modelle nutzten den offenen Weg. Gemeinsam ist ihnen etwas anderes: In allen Fällen ging es den Systemen nicht darum, Schaden anzurichten, sondern darum, eine gestellte Aufgabe auf dem kürzesten Weg zu lösen — inklusive Schummeln.

Die Häufung hat inzwischen eine eigene Chronik: Unter dem Namen „Felony Bench“ trackt eine Website die Vorfälle. Der ehemalige NSA-Cybersicherheitsdirektor Rob Joyce bezeichnete die OpenAI-Offenlegung als folgenschwersten Hack seit dem Morris-Wurm. Und Irregular, das Unternehmen im Zentrum von drei der vier Fälle, kündigte ein White Paper zu sicherem Betrieb von Cyber-Evaluierungen an.

Genau in dieses Spannungsfeld stößt Daybreak Red: OpenAI argumentiert, Verteidiger bräuchten Zugang zu offensiven Fähigkeiten, bevor Angreifer sie großflächig einsetzen. Die Vorfälle der vergangenen Wochen zeigen aber auch, dass die Kontrolle über diese Fähigkeiten selbst unter Laborbedingungen nicht garantiert ist.