GPT-6 Astra erreicht kritische Cyberfähigkeiten : OpenAIs neues Modell entwickelt Exploits für Zero-Days – die Produktversion bleibt bewusst gebremst
GPT-6 Astra erreicht auf ExploitBench erstmals 100 Prozent und kann bislang unbekannte Schwachstellen in gehärteten Browsern und Betriebssystemen ausnutzen. OpenAI stuft das Modell deshalb selbst als „Critical“ ein – und beschränkt genau jene Funktionen, die für offensive Sicherheitsarbeit besonders interessant wären.
OpenAI hat am 3. September mit GPT-6 Astra sein bislang leistungsfähigstes Modell vorgestellt – und gleichzeitig ein Sicherheitsproblem geschaffen, das weit über klassische Prompt-Injection oder Jailbreaks hinausgeht. Astra kann nicht nur Programmcode analysieren und bekannte Schwachstellen nachvollziehen. In Tests gelang es dem Modell auch, funktionsfähige Exploits zu entwickeln, unbekannte Sicherheitslücken zu entdecken und daraus Angriffsketten bis zur Ausführung beliebigen Codes beziehungsweise zu Root-Rechten zusammenzusetzen.
OpenAI stuft Astra deshalb nach dem eigenen Preparedness Framework erstmals als Modell mit „Critical“-Cybersicherheitsfähigkeiten ein. Damit ist ein Schwellenwert erreicht, bei dem ein Modell mit geeigneten Werkzeugen und Zugriffsrechten bislang unbekannte Schwachstellen in zahlreichen gut geschützten realen Systemen finden und Wege zu deren Ausnutzung entwickeln kann, ohne dass ein Mensch jeden Schritt vorgeben muss.
ExploitBench: 100 Prozent bei bekannten Schwachstellen
Besonders deutlich wird der Leistungssprung bei ExploitBench. Der Benchmark untersucht, ob ein KI-Modell aus bekannten Software-Schwachstellen tatsächlich funktionierende Exploits entwickeln kann. Astra erreichte dort 100 Prozent. Zum Vergleich: GPT-5.6 Sol kam auf 78,5 Prozent. Beim anspruchsvolleren ExploitGym stieg die Erfolgsquote von 30,3 auf 42,4 Prozent. Gleichzeitig benötigte Astra dafür laut OpenAI erheblich weniger Ausgabe-Token.
Das Ergebnis von ExploitBench muss allerdings eingeordnet werden. Bei Benchmarks mit älteren Schwachstellen besteht grundsätzlich die Gefahr, dass Informationen über die Fehler, vorhandene Proofs of Concept oder technische Analysen bereits in Trainingsdaten enthalten waren. Ein Modell könnte dann teilweise bekanntes Wissen rekonstruieren, statt einen Exploit vollständig neu herzuleiten.
OpenAI entwickelte deshalb zusätzlich einen internen Test mit Schwachstellen, die erst zwischen Juni und August 2026 veröffentlicht worden waren und damit nach dem Wissensstichtag des Modells lagen. Auch hier war der Abstand deutlich:
- GPT-6 Astra: 39,0 Prozent erfolgreiche Code-Ausführung
- GPT-5.6 Sol: 11,5 Prozent
Damit verdreifachte sich die Erfolgsquote gegenüber dem Vorgängermodell annähernd.
Astra fand während der Tests zwei Zero-Days
Noch relevanter als der Benchmarkwert ist ein Nebenergebnis: Während dieser Tests entdeckte Astra nach Angaben von OpenAI zwei zuvor unbekannte Zero-Day-Schwachstellen und nutzte sie innerhalb seiner Exploit-Ketten. Dabei handelt es sich nicht lediglich um das Erkennen verdächtiger Programmstellen. Der technisch anspruchsvollere Schritt besteht darin, aus einer Schwachstelle einen kontrollierbaren Zustand zu erzeugen, der sich tatsächlich zur Code-Ausführung verwenden lässt.
Ein Modell muss dafür beispielsweise nachvollziehen, welche Eingaben einen Speicherfehler auslösen, welche Bedingungen zur Laufzeit gelten, wie Schutzmechanismen des Zielsystems reagieren und wie mehrere primitive Angriffsschritte zu einer vollständigen Exploit-Kette verbunden werden können. OpenAI gibt an, die beiden Schwachstellen an die jeweiligen Maintainer zu melden. Details zu den betroffenen Produkten wurden nicht veröffentlicht.
Von der Browser-Lücke bis zu Root-Rechten
Die Fähigkeiten reichen laut OpenAI über automatisierte Benchmarks hinaus. In von Experten begleiteten Tests erhielt Astra Zugriff auf gehärtete Browser und Betriebssysteme. Dabei gelang dem Modell eine vollständige Exploit-Kette gegen einen Browser. Astra identifizierte bislang unbekannte Schwachstellen, kombinierte sie und erreichte schließlich eine Situation, in der nach dem Öffnen einer präparierten HTML-Datei Befehle auf dem Host ausgeführt werden konnten. Das ist technisch besonders relevant, weil moderne Browser mehrere Sicherheitsschichten kombinieren. Eine einzelne Schwachstelle genügt häufig nicht: Zunächst muss beispielsweise Code innerhalb eines Browserprozesses ausgeführt und anschließend eine Sandbox überwunden werden, bevor ein Angreifer das darunterliegende Betriebssystem erreicht.
Auch bei einem gehärteten Betriebssystem fand Astra laut OpenAI mehrere Schwachstellen und kombinierte diese zu einer lokalen Privilege-Escalation-Kette. Ausgangspunkt war ein Konto ohne besondere Berechtigungen, Ziel waren Root-Rechte. Damit nähert sich die Fähigkeit des Modells Arbeiten an, für die bislang hoch spezialisierte Vulnerability-Research- und Exploit-Development-Teams erforderlich waren.
Warum OpenAI die stärksten Funktionen zunächst blockiert
Genau darin liegt das Dual-Use-Problem. Dieselbe Fähigkeit, mit der ein Verteidiger unbekannte Schwachstellen entdeckt und Patches entwickelt, kann ein Angreifer zum Aufbau funktionierender Exploits verwenden. OpenAI veröffentlicht Astra deshalb nicht mit den vollständigen Fähigkeiten, die während der Sicherheitsbewertungen verfügbar waren. Die reguläre Produktversion unterstützt zunächst defensive Aufgaben wie Secure Code Review und Patching. Anfragen zur Entwicklung von Proof-of-Concept-Exploits (PoC) für Schwachstellen sollen dagegen abgelehnt werden.
Das ist eine wichtige Einschränkung bei der Interpretation der Benchmarkwerte: 100 Prozent auf ExploitBench bedeuten nicht, dass jeder ChatGPT-Nutzer Astra einfach auffordern kann, einen funktionierenden Exploit zu erzeugen. Die Tests wurden mit einem Modell ohne die späteren Produktionsschutzmaßnahmen beziehungsweise mit erweiterten Cyberzugängen durchgeführt. OpenAI will über OpenAI Daybreak schrittweise weniger restriktive Zugänge für geprüfte Sicherheitsanwender bereitstellen. Vorgesehen sind unter anderem Vulnerability- und PoC-Validierung, Malware-Analyse sowie Detection Engineering.
Schutzmechanismen sollen Missbrauch begrenzen
Mit Astra verschiebt sich damit ein Teil der Sicherheit vom Modell selbst auf dessen Laufzeitumgebung und Zugriffskontrollen. OpenAI nennt mehrere Schutzebenen. Dazu gehören eine höhere Robustheit gegen Jailbreaks, zusätzliche Kontextinformationen für Überwachungssysteme, sowie automatisierte Kontrollen der Modellaktionen. In sensiblen Situationen können zusätzliche Prüfungen eine Aktion anhalten oder stoppen. In ChatGPT oder Codex kann der Nutzer dann aufgefordert werden, die Aktion zunächst zu überprüfen; über die Programmierschnittstelle endet die betreffende Ausführung.
OpenAI hat Astra außerdem gezielt darauf getestet, ob das Modell Beschränkungen seiner Umgebung umgeht. In einem internen Versuch versuchte Astra selbst dann nicht, eine Ablehnung durch Codex Auto-Review zu umgehen, als die Schutzmaßnahme absichtlich umgehbar konfiguriert und die gestellte Aufgabe auf regulärem Weg nicht lösbar war.
Ganz ohne neue Probleme bleibt das nicht. OpenAI berichtet gleichzeitig, dass Astras schriftlich sichtbare Begründungsschritte schwieriger zu überwachen seien als bei GPT-5.6 Sol. Ein leistungsfähigeres Modell benötigt für manche Aufgaben weniger explizite Zwischenschritte. Dadurch können Überwachungssysteme unter Umständen weniger Hinweise auf problematische Handlungen erhalten. OpenAI bezeichnet die Verbesserung dieser Überwachbarkeit deshalb weiterhin als Forschungsaufgabe.
Das Preparedness Framework erreicht die „Critical“-Stufe
Die Einstufung als „Critical“ basiert nicht allein auf ExploitBench. OpenAI definiert diese Kategorie unter anderem darüber, ob ein Modell eigenständig funktionierende Zero-Day-Exploits unterschiedlicher Schweregrade gegen zahlreiche gehärtete reale Systeme entwickeln kann oder neue End-to-End-Angriffsstrategien gegen gehärtete Ziele umsetzt.
Nach weiteren Tests kam das Unternehmen zu dem Schluss, dass Astra diesen Schwellenwert erreicht. OpenAI beschreibt die Bewertung und die zusätzlichen Schutzmaßnahmen ausführlich. Damit entsteht eine neue Ausgangslage für die IT-Sicherheit. KI dient nicht mehr lediglich dazu, Quellcode nach verdächtigen Mustern zu durchsuchen oder bekannte Common Vulnerabilities and Exposures (CVEs) zusammenzufassen. Frontier-Modelle können zunehmend selbst Hypothesen über unbekannte Fehler entwickeln, Programme untersuchen, Angriffswege ausprobieren und verwertbare Schwachstellen miteinander kombinieren.
Für Verteidiger ist das enorm wertvoll. Dieselbe Automatisierung kann aber auch das Zeitfenster zwischen Entdeckung, Veröffentlichung und tatsächlicher Ausnutzung einer Schwachstelle weiter verkürzen.
Eine Milliarde Dollar für Verteidiger
Parallel zur Astra-Veröffentlichung erweitert OpenAI deshalb seine Cyberinitiative. Mit Daybreak for Frontline Defenders stellt das Unternehmen nach eigenen Angaben weltweit eine Milliarde US-Dollar in Form von subventioniertem Zugang zu Cybermodellen, Training, technischer Unterstützung und Partnerschaften bereit. Adressiert werden insbesondere Organisationen, die kritische Dienste schützen, darunter:
- Wasser- und Abwasserversorger
- Stromnetzbetreiber
- staatliche und kommunale Verwaltungen
- regionale und kommunale Banken
- Non-Profit-Organisationen
- Open-Source-Maintainer
- Organisationen mit begrenzten Security-Ressourcen
In den USA startet zusätzlich ein Pilotprojekt mit dem Multi-State Information Sharing and Analysis Center (MS-ISAC). Dabei sollen zunächst Verteidiger aus öffentlichen Einrichtungen sowie Wasserinfrastrukturen Zugang, Schulungen und praktische Unterstützung erhalten.
OpenAI beschreibt die Situation als ein „Zeitfenster für die Verteidiger“: eine kleiner werdende Gelegenheit, KI zum Schließen von Sicherheitslücken einzusetzen, bevor Angreifer vergleichbare Fähigkeiten in größerem Maßstab nutzen.
Exploitentwicklung wird skalierbar
Die größere Bedeutung von Astra liegt deshalb weniger in einem einzelnen Rekordwert als in der Automatisierung hoch spezialisierter Sicherheitsarbeit. Ein Exploit entsteht normalerweise in mehreren Schritten: Code oder Binärdateien müssen analysiert, eine Schwachstelle reproduziert, kontrollierbare Eingaben entwickelt, vorhandene Schutzmaßnahmen berücksichtigt und schließlich die einzelnen Bausteine zu einer zuverlässigen Angriffskette kombiniert werden. Viele dieser Arbeitsschritte können Frontier-Modelle zunehmend selbst übernehmen.
Solange der Zugang zu solchen Fähigkeiten streng kontrolliert bleibt, profitieren davon zunächst Verteidiger. Doch die technischen Ergebnisse zeigen, wohin sich die Entwicklung bewegt: Die Frage ist nicht mehr, ob KI funktionsfähige Exploits entwickeln kann. Sie lautet zunehmend, wer Zugriff auf diese Fähigkeit erhält, unter welchen Bedingungen sie eingesetzt werden darf und ob Verteidiger Schwachstellen schneller schließen können, als Angreifer sie automatisiert ausnutzen.