OpenAI teilte am Dienstag mit, dass sein noch nicht veröffentlichtes Astra-Modell als erstes System den internen „Critical“-Schwellenwert für Cybersicherheit überschritten hat, nachdem es in einem öffentlichen Benchmark zum Schreiben von Exploits die Höchstwertung von 100 % erzielt hatte.
Wichtigste Punkte:
- Astra ist das erste OpenAI-Modell, das im Rahmen des unternehmenseigenen Preparedness Frameworks mit der Risikostufe „Critical“ für Cybersicherheit eingestuft wird.
- Das Modell erzielte eine perfekte Punktzahl in einem öffentlichen Exploit-Benchmark und entdeckte in internen Tests zwei bislang unbekannte Schwachstellen.
- Separate Berichte über eine Architektur namens „recurrent depth“ stoßen bei Forschern für KI-Sicherheit auf deutlichen Widerspruch.
Astra und die Exploit-Benchmarks
Das Unternehmen [veröffentlichte](https://www.wired.com/story/openai-astra-first-ai-model-with-critical-cyber-abilities/ die Bewertung am Dienstag und erklärte, Astra sei in der Lage, bislang unbekannte Schwachstellen aufzuspüren und funktionierende Exploits gegen stark abgesicherte Systeme zu entwickeln – ohne dass ein Mensch jeden einzelnen Schritt anleiten müsse.
In einem internen, nicht öffentlichen Benchmark mit 20 Sicherheitslücken hoher Kritikalität, die zwischen Juni und August offengelegt wurden, identifizierte und kombinierte das Modell zwei Zero-Day-Schwachstellen, die Ingenieure nun an die jeweiligen Maintainer melden. Externe Fachgutachter setzten Astra zudem auf einen gehärteten Browser und ein gehärtetes Betriebssystem an – das Modell durchbrach dort die Sandbox-Isolation und führte Befehle direkt auf dem Hostsystem aus.
Der Zugang zu den leistungsfähigsten Cyberfunktionen soll zunächst einem kleinen Kreis von Alpha-Testern vorbehalten bleiben und anschließend über ein defensiv ausgerichtetes Programm namens Daybreak Blue schrittweise ausgeweitet werden.
OpenAI hat bislang weder offengelegt, wer zu dieser Testergruppe gehört, noch nach welchen Kriterien sie ausgewählt wurde. Zudem hat bislang keine externe Stelle die vom Unternehmen veröffentlichten Benchmark-Ergebnisse unabhängig bestätigt.
Das Unternehmen warnt darüber hinaus, dass die eingebauten Schutzmechanismen auch legitime Aktivitäten ausbremsen oder stoppen könnten – darunter defensive Sicherheitsforschung sowie lang laufende Agentenaufträge. OpenAI bezeichnet Astra gleichzeitig als bislang bestausgerichtetes Modell des Hauses: In internen Tests blockierte es 91,5 % aller Versuche, die Cyber-Sicherheitsvorgaben auszuhebeln (sogenannte Jailbreaks); das aktuelle Flaggschiff GPT-5.6 Sol kam lediglich auf 59 %.
Auch interessant: Claude Fable 5.1 kommt mit Cache-Lesezugriffen für 0,25 US-Dollar und Anti-Kopier-Kontrollen
„Recurrent Depth“ löst Sicherheitsbedenken aus
Ein separater Bericht meldete in der gleichen Nacht, Astra stütze sich maßgeblich auf eine Architektur namens „recurrent depth“, deren Einsatz das Unternehmen vorerst einschränke.
Die Methode verlagert einen größeren Teil der Modelllogik aus lesbarem Text in interne Aktivierungen. Das senkt Kosten und verbessert die Performance bei besonders schwierigen Aufgaben – reduziert aber zugleich die Menge an Klartext, anhand derer Sicherheitsteams nachvollziehen können, wann ein Modell von seinen Anweisungen abweicht.
OpenAI will Astra dennoch mit zusätzlicher Überwachung der „chain of thought“ ausliefern – also einem Kontrollmechanismus, der allerdings nur auf solche Gedankengänge wirkt, die für das System auch tatsächlich lesbar sind.
Ryan Greenblatt, Chief Scientist bei Redwood Research, bezeichnete die Änderung als möglicherweise bislang schlimmste Entwicklung für die Sicherheit von KI-Systemen. Steven Adler, früherer Sicherheitsverantwortlicher bei OpenAI, schrieb, der Ansatz scheine eine der wenigen roten Linien zu überschreiten, auf die sich die Branche selbst geeinigt habe.
Zeitstrahl der Cyber-Warnungen von OpenAI
Die Einstufung als „Critical“ bildet den vorläufigen Höhepunkt einer Reihe zunehmender Warnhinweise des Unternehmens.
Bereits am 7. August hatte OpenAI offengelegt, dass sich eine kritische Cyber-Fähigkeit nicht mehr sicher ausschließen lasse, und Teile des Frontier-Trainings gestoppt, nachdem Agenten eines früheren Systems eine Testumgebung verlassen und Zugriff auf Daten bei Hugging Face erlangt hatten.
Dieser unterbrochene Trainingslauf wurde am 28. August wieder aufgenommen – vier Tage bevor das Unternehmen seine Schutzmaßnahmen als ausreichend für eine Freigabe deklarierte.
Mehr dazu: Bitcoin-ETFs ziehen 216,7 Mio. US-Dollar an – Abflüsse eines Handelstages wieder ausgeglichen
