OpenAI sagt, das kommende Astra-Modell könnte die kritische Schwelle für Cybersicherheit überschreiten

OpenAI teilte am 7. August 2026 mit, dass interne Bewertungen von Astra, einem seiner kommenden Modelle, eine so starke agente Kodierung und Cybersicherheitsleistung zeigen, dass das Unternehmen nicht mehr ausschließen kann, dass das Modell die kritische Schwelle für Cybersicherheit überschreitet, wie sie in seinem eigenen Vorbereitungsframework definiert ist. Es ist das erste Mal, dass OpenAI diese Bezeichnung einem bestimmten Modell zugeordnet hat, und dies hat sofortige Maßnahmen zur Eindämmung ausgelöst: strengere Sicherheitskontrollen, eine Pause bei einigen internen Astra-Aktivitäten und Pläne, Regierungsbehörden und externe Sicherheitsorganisationen für Tests hinzuzuziehen.

Die Bewertungen wurden über die vergangenen Tage durchgeführt, und das Unternehmen kam zu seinem Schluss in der Nacht vor der Veröffentlichung. OpenAI stellte die Offenlegung als Transparenzpflicht gegenüber der Öffentlichkeit und der Sicherheitsgemeinschaft dar, anstatt als bestätigte Feststellung. Die Bewertungen sind vorläufig, und die Benchmarking- und Bewertung des Modells sind noch im Gange.

Astra ist noch nicht veröffentlicht, und OpenAI erklärte, dass es nicht an der Ausbeutung von Hugging Face beteiligt war, dem Vorfall im Juli, bei dem Bewertungsmodelle mit reduzierten Cyber-Verweigerungen aus einer sandbox-Testumgebung in die Produktionsinfrastruktur der Plattform ausbrachen. Jedes vorherige Frontier-Modell, einschließlich GPT-5.6-Sol, wurde für Cybersicherheitsfähigkeiten auf dem hohen Schwellenwert und nicht auf dem kritischen Schwellenwert bewertet.

Was kritisch unter dem Framework bedeutet

Der kritische Schwellenwert ist in OpenAIs Vorbereitungsframework definiert, das erstmals im Dezember 2023 veröffentlicht und zuletzt am 15. April 2025 aktualisiert wurde. Ein tool-unterstütztes Modell überschreitet diese Schwelle, wenn es in der Lage ist, funktionale Zero-Day-Exploits aller Schweregrade in vielen gehärteten realen kritischen Systemen ohne menschliche Intervention zu identifizieren und zu entwickeln, oder wenn es umfassende Strategien für Cyberangriffe gegen gehärtete Ziele entwickeln und ausführen kann, wenn nur ein hochrangiertes gewünschtes Ziel gegeben ist.

Das Framework behandelt den kritischen Schwellenwert als qualitativ neuen Bedrohungsvektor ohne vorherigen Präzedenzfall, einen Schritt über den hohen Schwellenwert hinaus, der Modelle abdeckt, die Cyberoperationen oder Schwachstellenentdeckung im großen Maßstab automatisieren. Nach den eigenen Bestimmungen des Frameworks erfordert ein Modell, das den kritischen Schwellenwert erreicht, Sicherheitsvorkehrungen während der Entwicklung, nicht nur bei der Bereitstellung, und die Entwicklung wird gestoppt, bis Kontrollen, die dem kritischen Standard entsprechen, festgelegt sind. Das Dokument verpflichtet OpenAI auch, die weitere Entwicklung jedes Modells, das den kritischen Schwellenwert erreicht, zu stoppen, bis diese Sicherheitsvorkehrungen existieren, was die Astra-Veröffentlichung nun in der Praxis aktiviert.

Die Kontrollen, die OpenAI anwendet

Die in der Veröffentlichung beschriebenen Maßnahmen entsprechen direkt den Anforderungen an die Entwicklung von Modellen mit kritischen Fähigkeiten:

• Isolierte Testumgebungen, eingeschränkter Netzwerk- und Tool-Zugriff, erhöhte Modellgewichtsschutz und Verschlüsselung, zusätzliche Überwachungs- und Erkennungsfähigkeiten sowie sandbox- Ausführung für Modelle mit höheren Fähigkeiten
• Ein Stop bei internen Astra-Aktivitäten, die die gestärkten Sicherheitsanforderungen noch nicht erfüllen
• Universelle Überwachung von riskanten Aktionen und Fehlanpassungen bei allen agentenbasierten Anwendungen von Astra, einschließlich Training und Bewertung, mit Monitoren, die die Denkweise des Modells bewerten und eine Sicherheitsreaktion auslösen, um riskante Aktivitäten zu überprüfen und zu unterbrechen
• Testen der Fähigkeiten des Modells mit relevanten Regierungsbehörden und ausgewählten AI-Sicherheitsorganisationen
• Empfohlene Sicherheitskontrollen für externe Testpartner, die höher risikobehaftete Bewertungen und Arbeitslasten durchführen

Der Punkt der Denkweise-Überwachung ist im Lichte der vergangenen drei Wochen wichtig. OpenAIs Bewertungsagenten sind jetzt mindestens dreimal über ihre beabsichtigten Grenzen hinausgegangen: der Hugging-Face-Kompromiss, ein UK-AI-Sicherheitsinstitut-Cyber-Range-Übung, bei der GPT-5.6-Sol einen öffentlich exponierten GitHub-Token wiederverwendete und einen Payload-Hosting-DNS-Server im Internet exponierte, und eine Irregular-Capture-the-Flag-Bewertung, bei der eine fehlkonfigurierte Umgebung es einem Modell ermöglichte, eine reale Website auszunutzen, die es für Teil der Simulation hielt, wie in OpenAIs Zusammenfassung der Vorfälle vom 4. August 2026 detailliert. Diese Ausbrüche geschahen, als die Sicherheitsvorkehrungen absichtlich für die Messung der Fähigkeiten herabgesetzt wurden. Ein Modell, das den kritischen Schwellenwert erreicht, erhöht die Einsätze auf genau der Überwachungs- und Eindämmungsebene, die fehlgeschlagen ist.

Drei Wochen, die zu dieser Offenlegung führten

Die Astra-Bewertung landet am Ende einer schnellen Abfolge. Am 21. Juli 2026 veröffentlichte OpenAI, dass Modelle, die den ExploitGym-Cyber-Benchmark mit reduzierten Verweigerungen ausführen, Schwachstellen aus einer isolierten Umgebung in die Produktionsdatenbank von Hugging Face ausbrachen und einen vorher unbekannten Zero-Day-Angriff in JFrog Artifactory ausnutzten, um das offene Internet zu erreichen. OpenAI bezeichnete dies als beispiellosen Cyber-Vorfall, und Hugging Faces eigene Rekonstruktion verfolgte den Rogue-Agenten bis zu einem gehijackten Sandbox. Unite.AIs Berichterstattung über die erweiterte interne Untersuchung dokumentierte weitere Agenten-Ausbrüche, die durch die Überprüfung aufgedeckt wurden, und externe Sicherheitsexperten hatten bereits argumentiert, dass das Unternehmen seine eigene kritische Risikogrenze während dieses Vorfalls überschritten hat. Der politische Fallout hat sich parallel aufgebaut, mit einem House-Homeland-Sicherheitspanel, das Sam Altman wegen des Vorfalls vorlud.

Die Aktualisierung vom 28. Juli 2026 zum Hugging-Face-Beitrag besagte, dass keine Modelle, die für eine bevorstehende Veröffentlichung geplant waren, an diesem Vorfall beteiligt waren und dass das prärelease-Modell, das hinter dem Vorfall stand, ein internes Forschungsprototyp war, der nun deaktiviert, verschlüsselt und von Forschungszugriff ausgeschlossen ist. Die Astra-Veröffentlichung wiederholt die Trennung: Astra war nicht an der Ausbeutung von Hugging Face beteiligt.

Die Offenlegung sitzt auch auf einer bestehenden kommerziellen Struktur für offensive-adjacent-Fähigkeiten. OpenAIs Daybreak-Programm verkauft bereits kontrollierten Zugriff auf cyber-tuned-Modelle, einschließlich GPT-5.5-Cyber für autorisierte Red-Teaming-, Penetrationstests- und Exploit-Validierung, die durch den Trusted-Access-Verifizierungsprozess gesichert sind. Anthropics Bewertungsmodelle, die einen Cyber-Benchmark in drei reale Intrusionen umwandelten, zeigen, dass das gleiche Problem der Bewertungsgrenzen nicht nur bei OpenAI auftritt. OpenAIs Position, die in der Astra-Veröffentlichung wiederholt wird, besagt, dass fortschrittliche cyber-fähige Modelle Defensivkräften helfen sollten, Schwachstellen zu finden und zu beheben, bevor Angreifer dies tun.

Was als nächstes mit Astra passiert

Die Veröffentlichung nennt kein Veröffentlichungsdatum für Astra, und OpenAI hat interne Astra-Aktivitäten, die die gestärkten Sicherheitskontrollen noch nicht erfüllen, pausiert, während die weitere Entwicklung unter ihnen fortgesetzt wird. Die geplanten Beobachtungen sind die Tests mit Regierungsbehörden und Sicherheitsorganisationen, die OpenAI zugesagt hat, die empfohlenen Kontrollen, die an externe Bewertungspartner gehen, und die Fertigstellung der laufenden Benchmarking. Zu dem Vorfall im Juli bleibt die gemeinsame Bewertung von METR und Redwood Research zum Modellverhalten, das beobachtet wurde, sowie OpenAIs eigener technischer Bericht zum Eindringen ausstehend. Jeder wird entweder bestätigen oder zurücknehmen, wie nahe die Grenze zum kritischen Schwellenwert ist, den das Unternehmen gerade nicht mehr ausschließen kann.