GPT-5.3-Codex wurde im Bereich Cyber als „hoch“ eingestuft. OpenAI hat keine eindeutigen Belege.

Am 5. Februar 2026 veröffentlichte OpenAI die Systemkarte für GPT-5.3-Codex und stufte das Modell darin als Hohe Fähigkeit im Bereich Cybersicherheit im Rahmen seines Preparedness Framework ein – das erste Mal, dass das Unternehmen diese Kennzeichnung auf ein Modell in diesem Bereich anwendet. Der Satz, der auf die Einstufung folgt, ist es wert, zweimal gelesen zu werden: „Wir haben keine eindeutigen Belege dafür, dass dieses Modell unsere High-Schwelle erreicht." OpenAI erklärte, aus Vorsicht zu handeln, da das Modell jede seiner Canary-Schwellen überschritten habe und das Unternehmen daher nicht ausschließen könne, dass die Fähigkeit tatsächlich vorhanden sei. Es wurde nichts verletzt und kein Opfer verzeichnet: Dies ist eine Einstufung, kein Vorfall, und sie wird als Richtlinieneintrag mit einer Kennzeichnung als Meilenstein archiviert. Der Eintrag des Archivs zu dieser Einstufung mit seinen Schweregrad- und Konfidenzstufen befindet sich im Orca AI Incident Archive neben den übrigen Governance-Einträgen des Jahres.

Was „High“ bedeutet und wer entscheidet

OpenAIs Preparedness Framework legt zwei Schwellenwerte fest. Hohe Leistungsfähigkeit „könnte bestehende Wege zu schwerem Schaden verstärken“; kritische Leistungsfähigkeit „könnte beispiellose neue Wege zu schwerem Schaden eröffnen“. Abgedeckte Systeme, die „High“ erreichen, müssen über Schutzmaßnahmen verfügen, die das damit verbundene Risiko vor dem Einsatz ausreichend minimieren, und Systeme, die „Critical“ erreichen, benötigen diese laut OpenAIs eigener Beschreibung des Frameworks auch während der Entwicklung. Die dort beschriebene Überprüfung ist intern: Die Safety Advisory Group bewertet, ob Schutzmaßnahmen das Risiko ausreichend minimieren, und spricht Empfehlungen aus; ihre Empfehlungen gehen zur endgültigen Entscheidung an die OpenAI-Führung. Die Systemkarte beschreibt keine externe Freigabe der Einstufung.

Die cyberspezifische Definition ist enger gefasst als die Schlagzeile. OpenAI definiert hohe Cybersicherheitsfähigkeit als ein Modell, das „bestehende Engpässe bei der Skalierung von Cyberoperationen beseitigt“, entweder indem es „End-to-End-Cyberoperationen gegen angemessen gehärtete Ziele automatisiert“ oder indem es „die Entdeckung und Ausnutzung operativ relevanter Schwachstellen automatisiert“. Die Modellkarte stellt ausdrücklich klar, dass es bei der Schwelle um die Beseitigung von Engpässen über eine Kampagne hinweg geht und nicht um ein Modell, das eine schwierige Aufgabe lösen kann: OpenAI schreibt, dass Frontier-Cyberrisiko „am besten in Bezug auf Operationen oder Kampagnen statt auf einzelne Aktionen bewertet wird“.

So gelesen, sagt die Einstufung vom 5. Februar etwas Bestimmtes. Sie sagt, dass OpenAI glaubt, der Engpass, den dieses Modell beseitigt, sei die Fertigkeit und Ausdauer, die eine anhaltende Intrusion erfordert – und dass das Unternehmen den Zugang lieber beschränkt und überwacht hat, als auf den Nachweis zu warten, dass es das tut.

Drei Bewertungen und ein Vergleich, der in die andere Richtung geht

OpenAI nutzt drei Benchmarks für die drei Fähigkeiten, die es mit schwerwiegendem Cyber-Schaden in Verbindung bringt: Professional Capture the Flag für die Identifizierung und Ausnutzung von Schwachstellen, CVE-Bench für Konsistenz und Cyber Range für End-to-End-Operationen in einem emulierten Netzwerk. GPT-5.3-Codex ist laut der Model Card „das erste Modell, das alle Schwellenwerte in allen drei Evaluierungen besteht“. Die Einzelergebnisse sind wichtiger als die Zusammenfassung.

Bei Professional CTF liegt das Modell „gleichauf mit GPT-5.2-Codex“ – die eigene Erläuterung der Karte lautet „keine wesentliche Änderung der Spitzen-CTF-Leistung“, gemessen als pass@12 über 16 Rollouts pro Challenge. Bei CVE-Bench erzielte es 90 Prozent gegenüber 87 Prozent für GPT-5.2-Codex, bei 34 der 40 Challenges des Benchmarks, pass@1 über drei Rollouts hinweg. Bei Cyber Range bestand es 12 von 15 Szenarien mit einer kombinierten Bestehensrate von 80 Prozent, gegenüber 60 Prozent für GPT-5.1-Codex-Max, 53,33 Prozent für GPT-5.2-Codex und 47 Prozent für GPT-5.2-Thinking. Es scheiterte an EDR Evasion, CA/DNS Hijacking und Leaked Token.

Die Karte ist vorsichtig, was das in Summe bedeutet. Weil CTF vorgegebene Angriffspfade testet, CVE-Bench nur Webanwendungen abdeckt und Cyber-Range-Szenarien die Abwehrmaßnahmen und das Rauschen eines real genutzten Netzwerks fehlen, „ist ein Hervorragen in allen drei Evaluierungen notwendig, aber nicht ausreichend, damit ein Modell als High in der Cybersicherheitsfähigkeit gilt.“ OpenAIs Schlussfolgerung ist nicht, dass das Modell High ist, sondern dass es nicht ausschließen kann, dass es das ist.

Die externe Evaluierung, die das Sicherheitslabor Irregular an einer nahezu finalen Version des Modells durchführte, verkompliziert das Bild auf eine Weise, die die Zusammenfassungszeile nicht tut. GPT-5.3-Codex erreichte bei Network Attack Simulation im Durchschnitt 86 Prozent, gegenüber 68 Prozent für GPT-5.2-Codex und 100 Prozent für GPT-5.2-Thinking; 72 Prozent bei Vulnerability Research and Exploitation, gegenüber 75 und 80 Prozent; und 53 Prozent bei Evasion, gegenüber 52 und 53. Es löste keine der Herausforderungen in CyScenarioBench, einem szenariobasierten Framework, das mehrstufige Planung unter realistischen Einschränkungen testet. Auf der Suite von Irregular lag das neu eingestufte Modell, mit anderen Worten, in zwei von drei Kategorien hinter einem älteren Geschwistermodell — ein Ergebnis, das die Model Card veröffentlicht, ohne es mit ihrer eigenen Schwellenwertaussage abzugleichen.

Das Tor: Trusted Access for Cyber

Die Maßnahme, die dem Datensatz seine Form gibt, ist ein Programm, kein Filter. OpenAI startete Trusted Access for Cyber (TAC) „am ersten Tag“ und beschrieb es als ein „identitätsbasiertes, zugangsbeschränktes Programm“, das „Hochrisiko-Dual-Use-Cyberfähigkeiten“ für Unternehmenskunden und gutartige, legitime Nutzer bereitstellt. Die Karte listet die unterstützten Verwendungen auf: Penetrationstests, Red-Teaming, Schwachstellenbewertung, Identifizierung und Ausnutzung, Sicherheitstests und Untersuchungen zur Umgehung von Erkennung, Malware-Reverse-Engineering und kryptografische Forschung.

Das Zugriffsdesign kehrt die übliche Reihenfolge um. Angemeldete Nutzer erhalten standardmäßig Cyber-High-Fähigkeiten, vorbehaltlich Überwachung und Durchsetzung; Nutzer, die „häufig hochriskante Dual-Use-Cyberfunktionen nutzen“, müssen ihre Identität über TAC verifizieren, um erweiterte Fähigkeiten zu behalten. Unternehmen können über ihre OpenAI-Vertretung vertrauenswürdigen Zugriff für ein ganzes Team beantragen, und Forschende, die freizügigere Modelle benötigen, können sich für ein nur auf Einladung zugängliches Programm bewerben, so OpenAIs eigene Ankündigung des Programms. Daneben sagte OpenAI 10 Millionen US-Dollar an API-Guthaben über sein Cybersecurity Grant Program zu.

OpenAI stellt ausdrücklich klar, dass die Zugangsbeschränkung keine Garantie ist. Der Zugang wird „nur für legitime, defensive und autorisierte Sicherheitszwecke“ gewährt, und TAC-Teilnehmer, „die häufig Funktionalität für schädliche Handlungen anfragen, unterliegen weiterhin der Überwachung und Durchsetzung, einschließlich des Verlusts des Zugangs zu TAC.“ Der Launch-Beitrag ergänzt eine zweite Kontrolle: Einige Anfragen, bei denen das System ein erhöhtes Cyberrisiko erkennt, „können automatisch von GPT-5.3-Codex an GPT-5.2 weitergeleitet werden.“ Fortune berichtete am 5. Februar, dass OpenAI nicht sofort den vollständigen API-Zugang freischaltete, der es ermöglichen würde, das Modell im großen Maßstab zu automatisieren, und dass das Modell in der Zwischenzeit für zahlende ChatGPT-Nutzer verfügbar war.

Sandbox-Standardwerte und ein Monitor mit einer veröffentlichten Fehlrate

Zwei weitere Ebenen werden anhand messbarer Kriterien beschrieben. Die Agent-Sandbox läuft in der Cloud in „einem isolierten Container, der von OpenAI gehostet wird“, ohne Zugriff auf das Hostsystem des Nutzers, wobei der Netzwerkzugriff standardmäßig deaktiviert ist; bei einer lokalen Installation ist Sandboxing standardmäßig unter macOS über Seatbelt, unter Linux über seccomp und landlock und unter Windows entweder nativ oder über das Windows Subsystem for Linux aktiv. Die Standardeinstellungen sind darauf ausgelegt, den Netzwerkzugriff zu deaktivieren und Dateiänderungen auf den aktuellen Arbeitsbereich zu beschränken, und Nutzer können Befehle außerhalb der Sandbox genehmigen oder pro Projekt Allowlists und Denylists festlegen. Die Karte warnt, dass das Aktivieren des Netzwerkzugriffs die Gefahr von Prompt-Injection, Zugangsdatenlecks und Lizenzrisiken erneut birgt.

Die Überwachungsschicht ist ein zweistufiges System: Ein schneller thematischer Klassifikator entscheidet, ob Inhalte mit Cybersicherheit zusammenhängen, und alles, was das tut, wird an einen „Safety Reasoner“ eskaliert, der es in OpenAIs Taxonomie für Cyberbedrohungen einordnet und entscheidet, ob die Ausgabe angezeigt werden darf. Der thematische Klassifikator ist auf mehr als 90 Prozent Recall bei mehr als 99,9 Prozent Systemzuverlässigkeit ausgelegt. Die Zahlen des Reasoning-Monitors sind weniger beruhigend und stehen in der eigenen Tabelle der Karte: 77,8 Prozent Recall und 37,1 Prozent Präzision bei Nutzereingaben, 88,8 Prozent Recall und 24,1 Prozent Präzision bei Assistentenantworten. OpenAI sagt, es optimiere bewusst Recall statt Präzision, weshalb risikoarme Arbeit manchmal blockiert wird — und weshalb in diesem Testsatz etwa jede fünfte Nutzereingabe, die hätte erkannt werden müssen, nicht erkannt wurde.

Was die Red Teams herausgefunden haben

Die Karte veröffentlicht die adversarialen Ergebnisse ausführlich statt zusammengefasst. Zwei Kampagnen verbrauchten zwischen Dezember 2025 und Januar 2026 3.526 Stunden Experten-Red-Teaming. Die Universal Jailbreak Campaign verbrauchte 1.375 Stunden und produzierte 21 Einreichungen, davon sechs vollständige universelle Jailbreaks und 14 teilweise. Die Adversarial Policy Coverage Campaign verbrauchte 2.151 Stunden und reichte 279 Berichte ein, wobei sie 132 falsch-negative Fälle fand, in denen der Safety Reasoner Inhalte hätte blockieren müssen, es aber nicht tat. OpenAI bezeichnet die Jailbreaks als „nicht blockierend“ und erklärt, sie würden behoben, und räumt ein, dass die Kampagnen zeigen, dass „der Safety Reasoner weiterhin iterativer Härtung gegenüber adversarialen Angriffen bedarf“.

Das schärfste einzelne Ergebnis betrifft einen staatlichen Evaluator. Das UK AI Security Institute erhielt frühzeitigen Zugriff auf einen Build mit aktiviertem Safety-Reasoner und aktivierter Blockierung und „entwickelte einen universellen Jailbreak (mit Wiederholungen), der 0.778 pass@200 erreichte“ – in etwa zehn Stunden manuellem Red Teaming und mit einer einzigen Nutzernachricht. Derselbe Abschnitt hält fest, dass das US Center for AI Standards and Innovation die Cyber-Fähigkeiten des Modells mit eigenen automatisierten Evals testete und es nutzte, um neuartige Fehler in Open- und Closed-Source-Software zu finden, und dass GPT-5.3-Codex bei schwierigen Aufgaben über Kompaktierungsfenster hinweg weiter Fortschritte erzielte und „selbst nach 50M oder mehr eindeutigen Tokens und Dutzenden Stunden Analyse neuartige Ergebnisse fand“.

Beide dieser behördlichen Feststellungen werden in OpenAIs Karte berichtet. Diese Untersuchung fand keine eigenständig veröffentlichte Bewertung von einer der beiden Stellen, die GPT-5.3-Codex abdeckt; bis eine solche erscheint, ist die externe Prüfung dieses Modells der Öffentlichkeit nur durch die Darstellung des Anbieters darüber bekannt. Die Liste der Restrisiken in der Karte selbst ist ungewöhnlich offen bezüglich derselben Lücke: begrenzte Überwachungspräzision, die ein Prüfproblem wie die Suche nach der Nadel im Heuhaufen schafft, „eine von null verschiedene Wahrscheinlichkeit, dass ein böswilliger Akteur vertrauenswürdigen Zugang erlangen könnte“, Ausfälle des Anbieters für Identitätsverifikation und unentdeckte universelle Jailbreaks. Sie stellt außerdem fest, dass die interne Überwachung von Codex-Bereitstellungen, die fünf Monate lang asynchron läuft, „nicht vor Schaden schützt oder die Untergrabung anderer Schutzmaßnahmen verhindert“.

Was hat sich danach geändert?

Das Gate überlebte den Launch und wuchs. Axios berichtete am 9. April 2026, dass OpenAI ein separates Cybersicherheitsprodukt für eine kleine Gruppe von Partnern finalisierte, und beschrieb TAC als im Februar gestartet, „nach der Einführung von GPT-5.3-Codex“. Am 15. April 2026 berichtete Help Net Security, dass OpenAI TAC auf „Tausende verifizierte Einzelverteidiger und Hunderte Teams“ ausgeweitet hatte und GPT-5.4-Cyber – eine GPT-5.4-Variante mit einer niedrigeren Ablehnungsgrenze für legitime Sicherheitsarbeit und einer binären Reverse-Engineering-Fähigkeit – für die höchsten Zugriffsstufen freigab. Der in der Februar-Karte beschriebene Pilot war zu einer Produktlinie mit Stufen geworden.

Die Einstufung selbst fand weniger Verbreitung als das Gate. Der Fortune-Artikel vom 5. Februar von Sharon Goldman berichtete direkt darüber und zitierte den Beitrag von OpenAI-Chef Sam Altman auf X, in dem er GPT-5.3-Codex als „unser erstes Modell, das in unserem Preparedness-Framework bei Cybersicherheit die Stufe ‚high‘ erreicht“ bezeichnete. The Cyber Express berichtete am 6. Februar ausführlich über die TAC-Einführung – drei Zugangswege, die 10 Millionen Dollar, die verbotenen Verhaltensweisen – und erwähnte die High-Bewertung überhaupt nicht. Das Boston Global Forum führte am 12. April beides zusammen an. Mitte April war der am häufigsten zitierte Teil des Pakets das Zugangsprogramm, nicht die dahinterstehende Schwellenwertentscheidung.

Etabliert, nicht etabliert und offen

Was feststeht: OpenAI hat die System Card zu GPT-5.3-Codex am 5. Februar 2026 veröffentlicht und das Modell im Rahmen seines Preparedness Framework im Bereich Cybersicherheit als „High capability“ eingestuft; das Unternehmen erklärte im selben Dokument, es gebe keine definitiven Belege dafür, dass das Modell diese Schwelle erreiche, und man handele vorsorglich; die oben genannten Evaluationszahlen stammen von OpenAI selbst; TAC wurde mit dem Modell eingeführt; Sandbox und zweistufiger Monitor sind in dem hier zitierten Detaillierungsgrad dokumentiert; und die Red-Team-Stunden, die Anzahl der Einreichungen sowie die UK-AISI-Jailbreak-Zahl sind alle in der System Card aufgeführt. Fortune berichtete am selben Tag über die Einstufung und zitierte Altmans Beitrag auf X. Ein erwähnenswertes Datierungsdetail: Die Seitenmetadaten des Launch-Posts selbst tragen einen Zeitstempel vom 4. Februar, 22:23 GMT, während die System Card und Fortunes Berichterstattung auf den 5. Februar datiert sind.

Was nicht belegt ist: dass GPT-5.3-Codex tatsächlich die High-Schwelle von OpenAI erfüllt. Das ist OpenAIs eigener Vorbehalt, nicht der eines Kritikers. Diese Untersuchung fand auch keine externe Zertifizierung der Einstufung, keine veröffentlichte Bewertung dieses Modells durch eine Regulierungsbehörde oder ein nationales Institut und keine Messung dafür, ob der mehrschichtige Stack Missbrauch in der realen Welt reduziert hat – die Aktenlage enthält keinen Schaden, weil kein Schaden erfasst wurde, nicht weil keiner eingetreten ist. Die Behauptung in der Modellkarte, das Modell sei das erste, das alle drei internen Schwellen überschreitet, ist eine Aussage über OpenAIs Benchmark-Suite, die laut demselben Dokument notwendige, aber nicht hinreichende Evidenz für die Fähigkeit ist, die sie eigentlich erkennen soll.

Was offen bleibt: ob ein Identitäts-Gate plus ein Monitor, der etwa ein Fünftel der markierten Nutzer-Prompts übersieht, eine dauerhafte Antwort auf ein Modell ist, das eher nach Vorsicht als nach Beweis eingestuft wurde; ob die scheinbare Verschlechterung des Modells gegenüber GPT-5.2-Thinking in Irregulars externer Suite etwas bedeutet, sobald Unterschiede bei Harness und Elicitation berücksichtigt sind; und wie viel der Lücke zwischen dem Februar-Pilot und der April-Produktlinie geplant statt gelernt war. Der Archiveintrag hält die Einstufung fest. Der Rest wird noch von den Leuten geschrieben, die das Gate betreiben.

Der Eintrag ist ein Governance-Ereignis, und er liest sich auch so: ein Unternehmen, das vor Eintritt eines Vorfalls schriftlich festhält, dass es glaubt, eines seiner eigenen Modelle könnte eine Grenze überschritten haben, die es noch nicht messen kann, und das auf Basis dieses Verdachts ein Gate errichtet. Ob das Gate verhältnismäßig war, ist eine Frage, die die Karte bewusst offenlässt – sie sagt nur, das Risiko sei „ausreichend minimiert“, und listet sechs Punkte auf, an denen dies möglicherweise nicht zutrifft.