OpenAI konnte in Astra eine kritische Cyber-Fähigkeit nicht ausschließen und pausierte nur einen Teil seiner Arbeit.

Am Freitag, dem 7. August 2026, veröffentlichte OpenAI einen Beitrag, in dem es hieß, die jüngsten internen Evaluierungen von Astra, einem seiner kommenden Modelle, hätten „erhebliche Fortschritte bei agentischer Programmierung und Cybersicherheit“ ergeben, und das Unternehmen könne nicht ausschließen, dass das Modell Critical – die höchste Cyber-Stufe in seinem Preparedness Framework. Die Schlussfolgerung sei „gestern Nacht“ gezogen worden, heißt es in dem Beitrag, nach mehreren Tagen des Testens. Es entstand kein Schaden: Der Beitrag beschreibt Evaluierungen, keinen Eindringversuch, und OpenAI erklärte, Astra sei „nicht an der Ausnutzung von Hugging Face beteiligt gewesen“. Was sich änderte, war intern – Entwicklungsarbeit, die die verschärften Sicherheitskontrollen nicht erfüllte, wurde pausiert, während Arbeit, die den Kontrollen entsprach, weiterlief. Am direktesten betroffen sind die Entwicklerinnen und Entwickler von OpenAI sowie die Tester und Verteidiger, die letztlich Zugang erhalten würden. Der Beleg für die Entscheidung ist ein Eintrag in dem KI-Vorfallarchiv, das die Quellen, die Bewertung und die benachbarten Einträge zu diesem Vorfall enthält.

Der auffälligste Punkt an diesem Governance-Ereignis ist, wie wenig der Beitrag behauptet. Er nennt keine Punktzahl, kein Testergebnis, kein Transkript und keinen namentlich genannten externen Evaluator. Er berichtet ein Urteil: dass OpenAI auf Grundlage der verfügbaren Evidenz eine Fähigkeitsstufe nicht ausschließen konnte, die das Unternehmen zuvor keinem seiner Modelle zugeordnet hatte. Das macht den Bericht als zweierlei zugleich lesenswert – als Offenlegung über ein Modell und als Prüfung, ob der eigene Sicherheitsrahmen eines Unternehmens daran etwas ändert, was das Unternehmen tut.

Was „Critical“ im OpenAI-Framework bedeutet

Das Preparedness Framework, erstmals im Dezember 2023 veröffentlicht und am 15. April 2025 in Version 2 überarbeitet, erfasst drei Kategorien: biologische und chemische Fähigkeiten, Cybersicherheit und Selbstverbesserung von KI. Jede hat zwei Fähigkeitsstufen: Hoch und Kritisch. Die Cyber-Schwelle erscheint sowohl im Framework als auch in OpenAIs Beitrag vom August in nahezu identischen Worten: Ein Modell erreicht Kritisch, wenn es „funktionsfähige Zero-Day-Exploits aller Schweregrade in vielen gehärteten kritischen Systemen der realen Welt ohne menschliches Eingreifen identifizieren und entwickeln kann“ oder wenn es „neuartige End-to-End-Strategien für Cyberangriffe auf gehärtete Ziele entwickeln und ausführen kann, wenn ihm lediglich ein gewünschtes Ziel auf hoher Ebene vorgegeben wird“.

High ist die darunterliegende Stufe. OpenAI schreibt in seinem Beitrag, frühere Modelle – „darunter GPT-5.6 Sol“ – seien auf ihre Frontier-Cyber-Fähigkeiten geprüft und als High statt als Critical eingestuft worden. Der Unterschied ist wichtig, weil der Rahmen an jede Stufe unterschiedliche Verpflichtungen knüpft. Für ein Modell, das Critical erreicht, verlangt der Rahmen Schutzmaßnahmen, die „die damit verbundenen Risiken während der Entwicklung ausreichend minimieren, unabhängig von Bereitstellungsplänen“. Seine Cyber-Tabelle ist unverblümter: „Bis wir Schutzmaßnahmen und Standards für Sicherheitskontrollen festgelegt haben, die einem Critical-Standard entsprechen würden, ist die weitere Entwicklung einzustellen.“

Die Formulierung vom 7. August ist keine Einstufung. In dem Beitrag heißt es, seine „vorläufigen Bewertungen deuteten auf eine ausreichend starke Leistung hin, sodass wir die Stufe „Critical capability“ derzeit nicht ausschließen können“. Das Unternehmen führte noch Benchmarking durch – und sagte das auch.

Was OpenAI tat und was die Pause abdeckte

Der Beitrag listet fünf interne Maßnahmen auf, alle als Bedingungen für die Fortsetzung der Arbeit formuliert und nicht als Gründe, sie zu beenden:

• Strengere Sicherheitskontrollen für leistungsfähigere Modelle und damit verbundene Aktivitäten: „isolierte Testumgebungen, eingeschränkter Netzwerk- und Toolzugriff, verbesserter Schutz und Verschlüsselung der Modellgewichte, zusätzliche Überwachungs- und Erkennungsfunktionen sowie Ausführung in einer Sandbox.“

• Eine Aussetzung von „internen Aktivitäten mit Astra, die diese verschärften Anforderungen an Sicherheitskontrollen noch nicht erfüllen.“ Arbeiten, die sie erfüllten, könnten fortgesetzt werden.

• „Universelle Überwachung riskanter Aktionen und von Fehlausrichtungen über alle agentischen Anwendungen von Astra hinweg, einschließlich Training und Evaluierung“, wobei Monitore die Gedankenkette des Modells lesen und eine Sicherheitsreaktion auslösen, um hochriskante Aktivitäten zu prüfen und zu unterbrechen.

• Tests mit „relevanten Regierungsbehörden und ausgewählten KI-Sicherheitsorganisationen.“

• Empfohlene Sicherheitskontrollen für externe Testpartner, die Evaluierungen und Workloads mit höherem Risiko durchführen.

OpenAI beschrieb den Präzedenzfall selbst. „Im Juni 2025, als sich unsere Modelle im Rahmen des Preparedness Framework der hohen Fähigkeitsschwelle für Biologie näherten“, heißt es in dem Beitrag, habe das Unternehmen Schritte zur Stärkung der Schutzvorkehrungen, zur Ausweitung der Tests, zur Zusammenarbeit mit externen Fachleuten und zur Ergänzung von Sicherheitskontrollen skizziert, und es habe „hier dasselbe Prinzip angewandt“. Das erwähnenswerte Detail ist die Stufe: OpenAIs eigene Darstellung ordnet diesen Biologiefall vom Juni 2025 der Stufe Hoch zu, eine Stufe unter der Cyber-Bewertung, die nun offengelegt wurde.

Die unmittelbare Lesart in der Presse war, dass ein Labor auf die Bremse getreten war. The Next Web, in einem am 7. August um 17:36 UTC veröffentlichten Artikel, beschrieb eine Pause bei „einigen internen Arbeiten“, während die Tests weitergingen, und berichtete, dass Axios es „möglicherweise das erste Mal“ nannte, dass „ein Frontier-Labor eines seiner eigenen Modelle wegen Cyberrisikos verlangsamt hat.“ Das ist eine faire Beschreibung der Ankündigung. Es ist nicht dasselbe wie ein Stopp, und der Beitrag behauptet keinen.

Was der Beitrag vom 7. August nicht belegt

Die Kluft zwischen „kann nicht ausschließen“ und „hat erreicht“ macht die gesamte Unsicherheit des Berichts aus, und der Beitrag versucht nicht, sie zu schließen. Er nennt keinen Benchmark-Namen, keine Erfolgsquote, keine Anzahl gefundener Schwachstellen, keine Beschreibung der getesteten Systeme, kein Transkript, keine unabhängige Bewertung und kein Veröffentlichungsdatum. Er sagt nicht, welcher der beiden kritischen Bedingungen Astra sich näherte oder um wie viel. Er sagt nur, dass die Belege stark genug waren, dass das Unternehmen die oberste Stufe nicht ausschließen konnte.

Der Eintrag belegt mit Stand dieses Datums eine Offenlegung und eine Reaktion – keine gemessene Fähigkeit. Die Einschätzung der Fähigkeiten stammt von OpenAI selbst und beruht auf internen Evaluierungen, die das Unternehmen nicht veröffentlicht hatte; OpenAI nannte keine externe Prüfstelle, und kein externes Labor hatte Astra öffentlich an der Critical-Definition getestet. Der Eintrag ist mit der höchsten Konfidenzstufe bewertet, als unbestritten gekennzeichnet und ohne tatsächlichen Schaden erfasst, was dem entspricht, was der Beitrag tatsächlich enthält: eine Unternehmenserklärung, keinen Vorfallbericht.

Was geschah als Nächstes

Bis zum 1. September 2026 hatte sich die vorläufige Formulierung geändert. In einem Folgebeitrag mit der Überschrift „Der Weg zu Astra: kritische Fähigkeiten und Schutzmaßnahmen an der Frontier,“ OpenAI schrieb: „Wir glauben nun, dass Astra die kritische Schwelle für Cybersicherheitsfähigkeiten im Rahmen unseres Preparedness Framework erfüllt ... Es ist das erste Modell, das wir auf dieser Stufe einordnen.“

Derselbe Beitrag lieferte die Einzelheiten, die in der Offenlegung vom August gefehlt hatten. Es lohnt sich, sie nach Art zu trennen:

• Benchmarks.Astra erzielte 100 % bei ExploitBench, einem öffentlichen Benchmark dafür, bekannte Schwachstellen in Exploits umzuwandeln. Wegen Bedenken hinsichtlich Kontamination baute OpenAI zudem eine interne Portierung mit 20 V8-Schwachstellen hohen Schweregrads, die zwischen Juni und August 2026 offengelegt wurden; in diesem Datensatz entdeckte Astra, wie es in dem Beitrag heißt, „zwei Zero-Day-Schwachstellen als Teil einer Exploit-Kette“, die OpenAI nach eigenen Angaben gerade den Maintainern offenlegte.

• Expertengeführte Bewertungen.Gegen einen gehärteten Browser baute Astra eine Kette, die die Sandbox entkam und Befehle auf dem Host ausführte; die Systemkarte verzeichnet, dass der erste Erfolg 29 Stunden gegen einen Build dauerte, von dem Experten feststellten, dass ihm einige Produktions-Mitigationen fehlten, und dass die Anpassung des Exploits an die offizielle stabile Version weitere 12 Stunden dauerte. Gegen ein gehärtetes Betriebssystem kombinierte es Schwachstellen zu einer lokalen Privilegienausweitung von einem unprivilegierten Benutzer zu Root innerhalb von 12 Stunden.

• Ablehnungsraten. Bei OpenAIs Cyber-Jailbreak-Evaluierungen lehnte Astra 91,5 % der Anfragen ab, gegenüber 59 % für GPT-5.6 Sol – eine Zahl, die die Systemkarte wiedergibt.

• Eine unabhängige Prüfung – mit Einschränkung. Die Systemkarte, veröffentlicht am 3. September 2026 für das Modell, das OpenAI an diesem Tag als GPT-6 Astra herausbrachte, enthält eine externe Bewertung durch das Sicherheitslabor Irregular. Irregular stellte fest, dass Astra 86 von 226 FrontierCyber-Herausforderungen löste, gegenüber 34 von 226 bei GPT-5.6 Sol, darunter Zero-Day-Schwachstellen in Browsern, Mobiltelefonen und Cloud-Datenbanken. Außerdem „wurden keine erfolgreichen Angriffe auf vollständig gehärtete Ziele beobachtet“, und keines der beiden Modelle löste eine der sieben Elite-Herausforderungen.

Der Beitrag vom 1. September machte außerdem die Ausgestaltung der Pause bekannt. OpenAI erklärte, man habe in den vergangenen Wochen „Teile der Entwicklung und Veröffentlichung von Astra verzögert“ und am 28. August 2026 „den großen Frontier-RL-Lauf, der zuvor pausiert war, neu gestartet“, nachdem die neuen Sicherheits- und Schutzanforderungen umgesetzt waren. Der Zugang war gestuft: Fortgeschrittene Cybersicherheitsarbeit sollte zuerst an eine kleine Gruppe von Testern gehen, wobei das Programm Daybreak Blue folgen sollte.

Etabliert, vorläufig und nicht etabliert

• Bestätigt. OpenAI veröffentlichte die Offenlegung am 7. August 2026 und erklärte, eine kritische Cyber-Fähigkeit in Astra nicht ausschließen zu können; es listete die Kontrollen und die oben beschriebene teilweise Aussetzung auf. The Next Web berichtete am selben Tag über den Beitrag, und Axios stellte es als Verlangsamung wegen des Cyberrisikos dar.

• Später festgelegt. Am 1. September 2026 stufte OpenAI Astra als Modell ein, das die kritische Schwelle erreicht — das erste Modell, das es auf dieser Stufe eingestuft hatte — und veröffentlichte Ergebnisse von Benchmarks und Experteneinschätzungen. Die Systemkarte vom 3. September enthält dieselbe Verweigerungsquote und die externe Bewertung durch Irregular.

• Vorläufig und selbstbewertet. Die Feststellung zur Fähigkeit stammt von OpenAI und beruht auf den Evaluierungen von OpenAI. Stand 7. August hatte kein externes Labor das Modell öffentlich gegen die Definition von „Critical“ getestet, und der Beitrag nannte keinen externen Prüfer. Die spätere externe Prüfung durch Irregular ist enger gefasst als die Einstufung und ergab ausdrücklich, dass keine erfolgreichen Angriffe auf vollständig gehärtete Ziele stattfanden.

• Nicht belegt. Dass Astra am 7. August tatsächlich die kritische Schwelle erreicht hat; der Beitrag sagt lediglich, dass das Unternehmen dies nicht ausschließen konnte. Dass irgendein reales System kompromittiert wurde: Das Protokoll verzeichnet keinen Schaden, und OpenAI erklärte, Astra sei nicht in den Vorfall bei Hugging Face verwickelt gewesen. Ebenso wenig ist belegt, dass die teilweise Aussetzung die eigene Formulierung „weitere Entwicklung einstellen“ des Rahmenwerks erfüllte – OpenAI setzte Arbeiten fort, die seinen neuen Kontrollen entsprachen, und das Unternehmen, nicht eine externe Stelle, beurteilte, ob diese Kontrollen ausreichten.

Die Governance-Frage, die der Bericht offen lässt

Das Framework ist ein selbstbindendes Instrument. Es verpflichtet OpenAI auf Schwellenwerte und Schutzmaßnahmen und überlässt die Bewertung und die Entscheidung über die Angemessenheit OpenAI selbst, mit interner Prüfung durch seine Safety Advisory Group und Aufsicht durch den Vorstand. Der Beitrag vom 7. August beschreibt Konsultationen – Regierungsbehörden und „ausgewählte KI-Sicherheitsorganisationen“ würden das Modell testen –, nennt aber keine Regulierungsbehörde, veröffentlicht keine Kriterien und legt kein Datum fest. Nichts in den Unterlagen zeigt, dass eine außenstehende Partei diese Entscheidung überprüft.

Was die Aufzeichnung jedoch zeigt, ist, dass sich der Apparat in Bewegung gesetzt hat. Eine Fähigkeitsbewertung veränderte die interne Praxis innerhalb eines Tages: Kontrollen wurden verschärft, einige Arbeiten eingestellt, die Überwachung auf Training und Evaluierung ausgeweitet und der Zugang zu den leistungsfähigsten Funktionen später auf Tester beschränkt. Das ist mehr als eine Pressemitteilung und weniger als eine externe Verifizierung.

Der ungelöste Teil ist derjenige, den das Framework nicht aus eigener Kraft klären kann. „Cannot rule out“ ist eine Aussage über Beweise, nicht über Fähigkeiten, und sie überlässt es dem Unternehmen zu entscheiden, wie viele Beweise ausreichen, bevor es wieder aufnimmt. OpenAI startete den großen Trainingslauf am 28. August neu, stufte das Modell am 1. September als Critical ein und veröffentlichte es am 3. September als GPT-6 Astra. Jeder Schritt ist dokumentiert. Ob jeder Schritt zu dem Zeitpunkt, an dem er erfolgte, hätte erfolgen sollen, ist ein Urteil, das die Aufzeichnung festhält, aber nicht beantwortet.