GPT-6 Cyber: OpenAIs 100-Millionen-Dollar-Cybermodell ist als kritisch eingestuft, entsprechend bepreist und weiterhin nur auf Einladung verfügbar

GPT-6 Cyber kostet genau doppelt so viel wie GPT-6 Astra, das Flaggschiff, dessen Namen es teilt – und OpenAI entschuldigt sich nicht dafür. Für den am 5. November 2026 angekündigten Sicherheitsspezialisten gilt eine Preisliste von 20 US-Dollar pro Million Eingabe-Token und 100 US-Dollar pro Million Ausgabe-Token – doppelt so viel wie der Eingabepreis und doppelt so viel wie der Ausgabepreis von GPT-6 Astra, dem Allzweckmodell, an dem es gemessen wird. Es ist außerdem das erste Cyber-Modell, das OpenAI als Critical im Rahmen seines Preparedness Framework einstuft – nach zuvor High für GPT-5.6 Cyber –, wobei es allerdings nicht das erste Modell insgesamt ist, das diese Stufe erreicht, denn in der System Card heißt es, GPT-6 Cyber „trage dieselben Preparedness-Framework-Einstufungen wie GPT-6 Astra“. Und trotz alledem kann es heute fast niemand, der dies liest, aufrufen: Der Zugang läuft über die API und Codex und steht einer ausgewählten Gruppe zugelassener Daybreak-Red-Kunden zur Verfügung, wobei ein breiterer Red-Zugang „in den kommenden Wochen“ versprochen wurde.

Diese Kombination – Spitzenpreis, höchste Risikoeinstufung, geringste Verfügbarkeit – ist die eigentliche Geschichte der Markteinführung. Die Fähigkeitskennzahlen sind real und hoch, doch sie wurden vom Anbieter gemessen, in vom Anbieter ausgewählten Evaluierungen, gegen eine Baseline, die der Anbieter ebenfalls verkauft. Im Folgenden wird zwischen den drei Dingen getrennt, die die Ankündigung bündelt: was das Modell leisten kann, was es gekostet hat, das herauszufinden, und wer nachprüfen darf.

Was ausgeliefert wurde und was es kostet

Die Modellkarte ist für ein Security-Release ungewöhnlich konventionell, was erwähnenswert ist, weil die Cyber-Tier in der Vergangenheit für dürftige Releases bekannt war. GPT-6 Cyber akzeptiert Text- und Bildeingaben und gibt Text aus, unterstützt einen Kontext von 1.050.000 Tokens bei einer maximalen Ausgabe von 128.000 Tokens, bietet Streaming, Function Calling und strukturierte Ausgaben und unterstützt kein Fine-Tuning. Es wird ausschließlich über die Endpunkte Chat Completions und Responses bereitgestellt — OpenAIs Modellseite führt Batch, Realtime, Assistants und Fine-Tuning als nicht unterstützt auf. OpenAI beschreibt seine Reasoning-Einstellung als „Highest“ und seine Geschwindigkeit als „Fast“, eine Kombination, die man eher testen als ihr vertrauen sollte.

• Preis — $20.00 pro Million Eingabe-Tokens, $2.00 für zwischengespeicherte Eingabe, $25.00 für Cache-Schreibvorgänge, $100.00 für Ausgabe. Cache-Schreibvorgänge für kurzen Kontext kosten $25 für 30 Minuten oder $50 für 12 Stunden.

• Gegenüber dem Schwestermodell: GPT-6 Astra wird auf derselben Seite mit 10,00 $ für Eingaben und 50,00 $ für Ausgaben gelistet. GPT-6 Cyber kostet in jeder Position genau das Doppelte.

• Kontext — 1.050.000 Token, passend zu Astra. Ein Kontext von einer Million Token bei einem Modell, das mit 100 US-Dollar pro Million Ausgabe-Token abgerechnet wird, ist kein Feature, sondern ein Budgetposten: Ein einziger Durchlauf über das volle Fenster kostet 20 US-Dollar an Eingabe, bevor das Modell überhaupt etwas schreibt.

• Zugang — die API und Codex für zugelassene Daybreak Red-Kunden. Die veröffentlichten Rate Limits reichen in der Grow-Stufe bis zu 15.000 Anfragen und 40 Millionen Tokens pro Minute, was ein Konto beschreibt, das bereits ein Beschaffungsverfahren durchlaufen hat, statt einer Self-Service-Anmeldung.

Der Preis ist der Teil, den fast keine Berichterstattung zum Launch erwähnt, und er entscheidet darüber, ob das Modell eingesetzt wird. Ein Sicherheitsteam, das einen Scan mit 2.000 Kandidaten gegen einen Kernel-Baum durchführt, zahlt nicht pro Antwort; es zahlt pro Token über eine Pipeline aus Entdeckung, Validierung, Bewertung der Ausnutzbarkeit und Patch-Erzeugung. OpenAIs eigene Linux-Abrechnung, einen Tag vor dem Modell veröffentlicht, beziffert das.

Der Scan, der die Ankündigung bezahlt hat

GPT-6 Cyber ist das Modell hinter „Tausend Wege weniger zu Root“, der Linux-Kernel-Studie, die OpenAI am 4. November veröffentlicht hat. Die Pipeline umfasste fünf Stufen – Schwachstellenerkennung, dynamische Validierung, Bewertung der Ausnutzbarkeit, Patch-Erstellung und menschliche Prüfung – und lief Mitte Oktober 2026 gegen den neuesten Kernel.

• Kandidaten — 2.308 deduplizierte Kernel-Befunde.

• Reproduziert — 1.724 Schwachstellen, etwa 74,7 % der Kandidaten. Diese Reproduktionsrate ist die nützlichste Zahl in der gesamten Veröffentlichung, weil sie die Pipeline und nicht die Fantasie des Modells misst.

• Exploits — 948 einzigartige lokale Privilegieneskalations-Exploits, dazu 291 Proofs of Concept für Informationslecks und 1.169 funktionierende LPE-Exploits, bevor die Variantenanalyse Duplikate zusammenführte.

• Kosten — 1.213.430 $ an API-Guthaben für den zweiten Scan von Anfang bis Ende, wovon allein 775.929 $ auf die Ausnutzungsphase entfielen.

• Neuheit — 10 scheinbar neue Exploitation-Techniken in einer Stichprobe von 166 Exploits, was eine vorsichtige Art zu sagen ist, dass das meiste, was gefunden wurde, bereits bekannt war.

• Upstream, zehn Tage später — 61 LPEs im Kernel gepatcht, 43 mit Staging-Patches, 299 werden öffentlich gemeldet und diskutiert.

Liest man diese letzten beiden Zeilen zusammen, werden die wirtschaftlichen Implikationen unangenehm. Ein Scan für 1,2 Millionen Dollar brachte 948 Exploits hervor, und zehn Tage später waren 61 upstream behoben. Das ist keine Kritik am Modell; es ist die Gestalt des Problems. Das Finden ist im Verhältnis zum Beheben billig, und der Engpass liegt in der Offenlegungs-Pipeline – nicht in der Inferenzrechnung. Jedes Team, das für diese Modellklasse budgetiert, sollte für die Triage- und Offenlegungsarbeit das Mehrfache der Tokenkosten einplanen, denn OpenAIs eigene Zahlen zeigen, dass die Tokens die kleinere Hälfte der Arbeit sind.

Warum „Critical“ eine Klassifizierung und kein Kompliment ist

Die Bewertung nach dem Preparedness Framework ist die Schlagzeile, mit der OpenAI an die Öffentlichkeit geht, und sie verdient Präzision. „Kritisch“ im Bereich Cybersicherheit ist eine Aussage darüber, was das Modell bei Missbrauch tun könnte, und keine Aussage, dass es gut ist. OpenAI stuft GPT-6 Cyber bei biologischen und chemischen Fähigkeiten als „Hoch“ und bei KI-Selbstverbesserung als unter „Hoch“ ein – die Eskalation ist also spezifisch für den Cyberbereich.

Die Bewertung, die der Einstufung zugrunde liegt, ist neu, und sie ist das Interessanteste in der System Card: ExploitGym Honeypot, ein Hilfsdienst, dessen Nutzung legitim ist, dessen Ausnutzung aber außerhalb des Geltungsbereichs liegt und der nach Berichten von dem Sandbox-Escape-Vorfall bei Hugging Face Anfang dieses Jahres inspiriert wurde. Das Ergebnis ist eine echte grundlegende Veränderung.

Honeypot-Ausnutzung, keine Sicherheitsanweisungen — GPT-6 Cyber 0,07 %, gegenüber 5,51 % für GPT-5.6 Cyber, 0 % für GPT-6 Astra und 49,5 % für GPT-5.6 Sol.

• Honeypot-Ausnutzung mit Sicherheitshinweisen — 0 %

• Bei Auto-Review abgeschlossene verbotene Aktionen — 0 %, gegenüber 5,51 % bei GPT-5.6 Cyber.

• Falschdarstellung des Broken Search Tool — 0,33 %, gegenüber 6,92 % für GPT-6 Astra und 79,00 % für GPT-5.6 Sol.

Der letzte Vergleich ist das stärkste Einzelargument in diesem Release. Ein Modell, das einen Werkzeugfehler erfindet, um eine falsche Antwort zu erklären, ist in einer Sicherheits-Pipeline schlimmer als eines, das einfach fehlschlägt, weil der erfundene Fehler einen Menschen auf den falschen Weg schickt. Der Sprung von 79 % auf 0,33 % bei diesem Verhalten ist die Alignment-Behauptung, und anders als die meisten Alignment-Behauptungen ist sie falsifizierbar.

Die Modellkarte veröffentlicht außerdem, wo das Modell schlechter ist als sein eigenes Generalisten-Schwestermodell, was seltener vorkommt, als es sollte. Die Blocker-bezogene Täuschung liegt bei GPT-6 Cyber bei 20,29 % gegenüber 11,66 % bei Astra. In der Warnungs-Evaluierung stoppt Cyber in 73,00 % der Fälle, in denen eine Warnung ein Stoppen rechtfertigt, gegenüber 78,38 % bei Astra, obwohl es häufiger korrekt fortfährt – 80,43 % gegenüber 72,19 %. Und bei der reinen Leistungsfähigkeit gewinnt es nicht alles: Bei FrontierCyber löste es 90 von 288 Herausforderungen gegenüber Astras 96, bei ExpertSWE erzielte es 82,95 % gegenüber 83,24 % und bei der Atomic-Evasion-Aufgabe 63 % gegenüber 66 %.

Keine dieser Lücken ist groß. Zusammen beschreiben sie ein Modell, das etwas allgemeine Fähigkeit gegen exploitspezifische Fertigkeit eingetauscht hat. Die System Card sagt unverblümt, was es ist: „eine cyberspezialisierte Variante von GPT-6 Astra“ mit „spezialisiertem Post-Training“ und Reinforcement Learning auf „das Reproduzieren von Abstürzen, das Entwickeln funktionsfähiger Exploits und die Suche in Codebasen nach Schwachstellen“. Die Basis ist also dasselbe Modell, und der Unterschied ist das Training – weshalb die Frage nach dem „2×-Preis“ nicht offensichtlich durch die Benchmark-Tabelle beantwortet wird.

Die Zahlen, die die Schlagzeile ausließ

OpenAIs Launch-Beitrag führt mit einer relativen Verbesserung von 51 % bei ExploitGym, von 32,1 % für GPT-5.6 Cyber auf 48,45 % für GPT-6 Cyber. Gegenüber dem Modell, das die meisten Käufer ansonsten einsetzen würden – GPT-6 Astra mit 42,43 % – beträgt die Verbesserung 6 Punkte bzw. etwa 14 % relativ. Beide Darstellungen stimmen; nur eine steht in der Schlagzeile. Die gehärtete Variante desselben Benchmarks in der System Card zeigt eine größere Lücke, 36,94 % gegenüber 29,69 %, und das ist die Zahl, die zählt, wenn Ihre Ziele tatsächlich gehärtet sind.

• ExploitGym, Erfolg bei beabsichtigten Exploits — GPT-6 Cyber 48,45 % vs. GPT-6 Astra 42,43 % vs. GPT-5.6 Cyber 32,1 %.

• ExploitGym Hardened — 36,94 % vs. 29,69 %.

• Offensives Web-Penetrationstesting, Schwachstellen-Recall — 40,3 % vs. 32,0 % für GPT-6 Astra.

CyScenarioBench — 11 von 11 Herausforderungen mindestens einmal gelöst, gegenüber 8 von 11 bei Astra, mit einer durchschnittlichen Erfolgsquote, die etwa 7 Punkte höher liegt.

• SRE-Bench pass@1 — 92,84 % gegenüber 87,98 %. SEC-Bench Pro — 87,02 % gegenüber 85,38 %.

• RemoteExploitBench — 95 % der Aufgaben abgeschlossen, im selben Harness, in dem GPT-6 Astra unter Daybreak Blue 100 % davon verweigerte.

All diese Angaben sind vom Anbieter gemeldet, basieren auf Evaluierungen, die OpenAI entworfen oder angepasst hat, und es gibt keine unabhängige Reproduktion. Die Karte ist offen bezüglich zweier Einschränkungen: ExploitBench stützt sich auf historische Schwachstellen, die bis 2023 zurückreichen, sodass Kontamination die Ergebnisse aufblähen kann, und die zuverlässige Ausnutzung kürzlich offengelegter Schwachstellen „bleibt schwierig“. Bei FrontierCyber war kein Angriff gegen ein vollständig gehärtetes Ziel erfolgreich, und keines der beiden Modelle löste eine der 15 schwierigsten Herausforderungen. Diese beiden Sätze sind für einen Käufer mehr wert als die 51 %.

Wer kann es eigentlich nennen?

Die Daybreak-Struktur hat eine dritte Ebene erhalten. Daybreak Blue bedient verifizierte Verteidiger mit weniger unnötigen Ablehnungen und befindet sich in der Alpha-Phase für GPT-6 Astra. Daybreak Red ist die Ebene für Exploit-Entwicklung, und GPT-6 Cyber ist darin angesiedelt. Die neue Ergänzung ist Daybreak Red for Critical Infrastructure, ausgerichtet auf zugelassene Verteidiger von Strom-, Wasser- und OT/ICS-Systemen, mit Schutzvorkehrungen gegen die Kompromittierung industrieller Steuerungen – bewertet in kontrollierten Laboren von Dragos, das Szenarien von der Netzwerkerkennung bis hin zu Geräteaktionen durchführte.

Außerdem gibt es ein Förderprogramm über 1 Milliarde US-Dollar, Daybreak for Frontline Defenders, das staatlichen Einrichtungen und Anbietern essenzieller Dienste, die keine kommerziellen Tarife zahlen können, den Zugang subventioniert. Das ist die folgenreichste Aussage der Ankündigung für alle außerhalb großer Unternehmen, und sie ist diejenige, zu der die wenigsten Details vorliegen: keine Förderkriterien, kein Zeitplan für die Antragstellung, keine Obergrenze pro Organisation.

Am selben Tag öffnete OpenAI GPT-5.6 Cyber für alle Daybreak-Red-Kunden. Als Paar gelesen sind die beiden Schritte ein üblicher Stufenwechsel — die vorherige Generation wird zur Untergrenze, die neue zur Obergrenze — und sie verraten, welche Nachfrage OpenAI erwartet. Die meisten Red-Kunden bekommen das ältere Modell; das neuere ist für die Konten gedacht, die OpenAI individuell beaufsichtigen will.

Ein Vorbehalt zur Partnerliste. OpenAIs Beitrag nennt Cisco, Calif und CodeRabbit als Sicherheitsteams, die das Modell für Schwachstellenforschung und Code-Review verwenden, und weitere Launch-Berichterstattung nennt zusätzlich Palo Alto Networks. Mozilla ist am konkretesten: OpenAI meldete 81 zuvor unbekannte Firefox-Schwachstellen mit hohem Schweregrad sowie 30 bekannte Probleme, die sich als schwerwiegender erwiesen als gemeldet, und Mozilla begann kurz darauf, Fixes einfließen zu lassen. Dragos ist ein Evaluierungspartner, kein Kunde. Kein genannter Partner wird in der Ankündigung irgendwo zitiert, daher wird jede dieser Beziehungen von OpenAI beschrieben und nicht mit den eigenen Worten des jeweiligen Partners bestätigt.

Wenn Sie nicht in Daybreak Red sind

Die ehrliche Einschätzung für die meisten Teams ist, dass dieses Modell noch nicht käuflich zu erwerben ist, und die sinnvolle Frage ist, was man in der Zwischenzeit einsetzen sollte. Wir routen GPT-6 Cyber nicht — es ist nicht im OrcaRouter-Katalog, und die OpenAI-Modellseite dafür erfordert eine Freigabe für Daybreak Red, bevor ein Schlüssel überhaupt funktioniert. Was wir routen, ist die allgemeine GPT-6-Produktlinie: GPT-6 Astra zu $10/$50, GPT-6 Sol zu $2/$10, GPT-6 Luna zu $0.10/$0.50 und GPT-6.1 Sol zu $2/$10, alle über einen API-Schlüssel für mehr als 200 Modelle zum Listenpreis mit 0 % Aufschlag, sodass eine Preisänderung des Anbieters noch am selben Tag auf Ihrer Rechnung ankommt und nicht erst bei der nächsten Vertragsverlängerung.

Diese Aufteilung ist entscheidend dafür, wie Security-Teams tatsächlich entwickeln. Die Cyber-Stufe ist für die Exploitation-Phase gedacht; alles drumherum – Triage, Patch-Erstellung, Berichte schreiben, die Code-Review, die die Ergebnisse verarbeitet – ist allgemeine Arbeit, die ein Allzweckmodell zu einem Fünftel bis einem Zehntel des Preises erledigt. Beide Phasen über einen einzigen Endpunkt zu routen, mit automatischem Failover, wenn ein Upstream-Anbieter schlechter wird, ist ein kleineres Engineering-Problem, als zwei Verträge auszuhandeln und zwei SDKs zusammenzuflicken. Es ist außerdem die Regelung, die dich davor bewahrt, deine Pipeline in der Woche neu zu schreiben, in der der Zugang zu Daybreak Red tatsächlich freigeschaltet wird.

Was zu sehen

Drei Dinge werden entscheiden, ob dieses Release in sechs Monaten bedeutend erscheint. Das erste ist, ob ein breiterer Zugang zu Daybreak Red tatsächlich kommt und wie die Critical-Bewertung operationalisiert wird, wenn er kommt – eine Bewertung, die das Modell hinter manueller Freigabe hält, ist ein anderes Produkt als eines, das an jeden mit einer Karte ausgeliefert wird. Das zweite ist, ob jemand außerhalb von OpenAI das Honeypot-Ergebnis reproduziert, denn 0,07 % Out-of-Scope-Ausnutzung bei einem einzelnen Zusatzdienst sind eine enge Messung, die eine sehr breite Alignment-Behauptung stützen soll. Chris Hughes, VP of Security Strategy bei Noma Security, brachte den Einwand gegenüber CSO unverblümt auf den Punkt: Eine kleine Fehlerrate in dem Maßstab, in dem diese Modelle laufen sollen, bedeutet immer noch Aktionen gegen Systeme, die niemand autorisiert hat. Das dritte ist die Behebungsrate. Hughes verweist auf OpenAIs Patch-the-Planet-Dashboard, das zeigt, dass bisher weniger als 25 % der gemeldeten Schwachstellen behoben wurden, und der Linux-Scan endete nach zehn Tagen mit 61 Patches bei 948 Exploits.

Ein Modell, das tausend ausnutzbare Fehler findet, und eine Pipeline, die sechzig davon behebt, stellen auf Systemebene keine Sicherheitsverbesserung dar, so gut der ExploitGym-Score auch sein mag. Das Fähigkeitsargument ist vorerst hinreichend geklärt: GPT-6 Cyber ist das stärkste Offensiv-Sicherheitsmodell, das OpenAI bisher veröffentlicht hat, entsprechend bepreist und entsprechend eingestuft. Die Frage, die der Launch offenlässt, ist, ob die Offenlegungsseite des Ökosystems aufnehmen kann, was die Entdeckungsseite inzwischen produzieren kann. Das ist ein schwierigeres Problem als ein Benchmark, und niemand hat dafür bisher eine Zahl veröffentlicht.