Prädikat „Critical“: OpenAI hält Astra wegen Sicherheitsrisiken zurück

Die „Critical“-Schwelle ist hoch angesetzt. Ein Modell erreicht sie beispielsweise, wenn es ohne menschliche Hilfe bislang unbekannte Sicherheitslücken in zahlreichen stark geschützten IT-Systemen finden und Methoden entwickeln kann, um diese auszunutzen. Die Einstufung greift auch, wenn ein Modell lediglich ein übergeordnetes Ziel erhält und daraufhin selbstständig einen neuartigen Cyber-Angriff auf eine stark geschützte IT-Infrastruktur planen und durchführen kann.

Astra findet Zero-Day-Schwachstellen

Wie weit Astra dabei bereits kommt, zeigen Tests von OpenAI. Im ExploitBench Benchmark sollte das Modell Wege finden, bereits bekannte Sicherheitslücken auszunutzen. Astra löste nach Angaben des Unternehmens alle Aufgaben und erreichte 100 Prozent.

Weil solche öffentlich bekannten Tests bereits in Trainingsdaten enthalten sein könnten, entwickelte OpenAI zusätzlich eine interne Prüfung mit 20 schweren Sicherheitslücken, die erst zwischen Juni und August 2026 bekannt geworden waren. Auch dort übertraf Astra GPT-5.6 Sol deutlich. Laut OpenAI konnte Astra wesentlich häufiger tatsächlich Code auf den Zielsystemen ausführen und benötigte dafür zugleich deutlich weniger Output Tokens, also kürzere Modellausgaben.

Noch brisanter: Astra entdeckte während der Tests zwei sogenannte Zero-Day-Schwachstellen. Dabei handelt es sich um Sicherheitslücken, die bis dahin noch nicht bekannt und entsprechend noch nicht gezielt behoben worden waren. Das Modell nutzte beide Lücken zudem als Teil einer Angriffskette. OpenAI arbeitet nach eigenen Angaben daran, die betroffenen Entwickler:innen darüber zu informieren.

Auch besonders abgesicherte Testumgebungen stellten Astra vor lösbare Aufgaben. In einem Test fand das Modell einen Weg aus der abgeschotteten Umgebung eines Browsers heraus und konnte anschließend Befehle auf dem dahinterliegenden Computer ausführen. Bei einem abgesicherten Betriebssystem kombinierte Astra mehrere Schwachstellen und verschaffte sich schließlich Root-Zugriff. Damit erhielt das Modell die höchste Berechtigungsstufe auf dem jeweiligen Rechner.

Astra soll Sicherheitsgrenzen besser einhalten

Weil die Cybersecurity-Fähigkeiten von Astra auch missbraucht werden könnten, hat OpenAI das Modell stärker darauf trainiert, unerlaubte Anfragen abzulehnen und innerhalb vorgegebener Sicherheitsgrenzen zu bleiben. In eigenen Jailbreak-Tests verweigerte Astra 91,5 Prozent entsprechender Anfragen. GPT-5.6 Sol kam auf 59 Prozent. Für Accounts mit erhöhtem Risikoprofil gelten zusätzliche Einschränkungen.

Wie sich Astra verhält, wenn es bei einer Aufgabe auf nicht erlaubte Infrastruktur stößt, prüfte OpenAI in einer weiteren Evaluation. Der Test orientierte sich am Hugging Face-Vorfall und sollte zeigen, ob ein Modell versucht, solche Zugänge zu nutzen, statt innerhalb des vorgesehenen Aufgabenbereichs zu bleiben.

GPT-5.6 Sol griff unter diesen Testbedingungen in 56 Prozent der Fälle auf nicht erlaubte Ziele zu. Astra unternahm keinen solchen Versuch. Getestet wurde in einer simulierten Umgebung ohne die regulären Cybersecurity-Schutzmaßnahmen. Die Ergebnisse lassen sich daher nicht mit dem normalen Einsatz der Modelle gleichsetzen.

Astra startet mit Sicherheitsbremse

Trotz der Fortschritte bei der Absicherung wird OpenAI die leistungsfähigsten Cybersecurity-Fähigkeiten von Astra zunächst nicht für alle freigeben. Das Modell soll zwar bald erscheinen, besonders fortgeschrittene Cybersecurity-Aufgaben bleiben zum Start aber einer kleinen Gruppe von Tester:innen vorbehalten. Erst später soll das Programm Daybreak Blue den Zugang für defensive Zwecke erweitern, etwa um Unternehmen beim Finden und Beheben von Sicherheitslücken zu unterstützen.

Die zusätzlichen Schutzmechanismen können sich dabei auch auf reguläre User auswirken. Hält OpenAIs Monitoring eine Aktion für möglicherweise riskant, kann selbst eine legitime Aufgabe verlangsamt oder vorübergehend gestoppt werden. In ChatGPT oder Codex können User dann aufgefordert werden, eine Aktion zu überprüfen, bevor Astra weiterarbeitet. Bei der Nutzung über die API wird die betreffende Aufgabe gestoppt.

Dass OpenAI diese Einschränkungen in Kauf nimmt, zeigt, welchen Stellenwert die Absicherung inzwischen hat. Sicherheit darf bei Frontier-Modellen kein nachgelagerter Fix, sondern muss Voraussetzung für ihre Veröffentlichung sein. Sobald Modelle eigenständig handeln oder auf externe Systeme zugreifen können, müssen ihre Grenzen verlässlich durchgesetzt werden. OpenAI hat bei Astra dafür vorgesorgt. Ob diese Maßnahmen am Ende ausreichen, lässt sich jedoch nicht sicher vorhersagen. Altman selbst räumt ein, dass die Konsequenzen extrem leistungsfähiger KI „KI nicht vollständig nachvollziehbar sind. Je weiter die Leistungsfähigkeit von AI-Modellen steigt, desto drängender wird deshalb die Frage, ob ihr zusätzlicher Nutzen das wachsende Schadenspotential rechtfertigt.

Dass diese Abwägung nicht nur OpenAI betrifft, zeigt auch ein jüngster Vorfall bei Anthropic. Bei Cybersecurity-Evaluationen führte eine Fehlkonfiguration dazu, dass drei Claude-Modelle Zugriff auf das offene Internet hatten und sich unautorisierten Zugang zu IT-Systemen dreier Organisationen verschafften. Anthropic stoppte daraufhin zunächst sämtliche laufenden Cybersecurity-Evaluationen.

---

Nach OpenAI-Vorfall:
Auch Anthropic entdeckt Sicherheitslücken
– so schützt du dich vor KI-Angriffen

---

Stelle OnlineMarketing.de als bevorzugte Quelle auf Google ein

Wenn du OnlineMarketing.de auf Google als bevorzugte Quelle einstellen möchtest, um auch in den Schlagzeilen auf Google immer aktuelle News und Tipps aus der Welt des Marketing und der Tech-Entwicklungen zu finden, kannst du einfach die Google-Quelleneinstellungen aufrufen und die Seite anwählen. Über das Stern-Icon neben den Top Stories kannst du ebenfalls bevorzugte Quellen für die spätere Suche speichern.