DepescheSicherheit8. August 2026neu

Erstmals „Critical“: OpenAI kann die höchste Cyber-Risikostufe für Astra nicht mehr ausschließen – und pausiert Teile der eigenen Entwicklung

OpenAI hat am 7. August 2026 unter dem Titel „Responding to the next frontier of critical cyber capabilities“ mitgeteilt, dass vorläufige interne Evaluierungen des noch unveröffentlichten Modells Astra so starke Cyber- und agentische Coding-Fähigkeiten zeigen, dass die höchste Stufe „Critical“ des eigenen Preparedness Framework nicht mehr auszuschließen ist. Es ist das erste Mal, dass OpenAI diese Stufe überhaupt einem konkreten Modell zuordnet. Als Folge pausiert das Unternehmen alle internen Arbeiten an Astra, die die verschärften Auflagen nicht erfüllen: isolierte Testumgebungen, gesperrter Web-Zugang, eingeschränkter Netz- und Werkzeugzugriff, stärker verschlüsselte Modellgewichte und eine Überwachung, die bei Hochrisiko-Aktivität automatisch unterbricht. Am Hugging-Face-Einbruch sei Astra nicht beteiligt gewesen – dafür war ein anderes unveröffentlichtes Modell verantwortlich.

Der Kern der Mitteilung ist eine Einstufung unter Vorbehalt. TechCrunch zitiert OpenAI mit: „While we continue to benchmark and assess this model, our preliminary evaluations indicate strong enough performance that we cannot rule out Critical capability level at this time.“ SiliconANGLE gibt denselben Gedanken mit dem Zeitpunkt der Entscheidung wieder: „These results, in addition to expert assessments, have led us to conclude last night that we cannot rule out critical cyber capabilities.“ Die Prüfung läuft also weiter; bestätigt ist die Einstufung ausdrücklich nicht.

Was „Critical“ im Preparedness Framework bedeutet, geben zwei der Wiedergaben übereinstimmend wieder: Ein Modell erreicht die Stufe, wenn es funktionsfähige Zero-Day-Exploits aller Schweregrade in vielen gehärteten, kritischen realen Systemen ohne menschliches Zutun identifizieren und entwickeln kann – oder wenn es allein aus einem grob formulierten Ziel neuartige Ende-zu-Ende-Strategien für Angriffe auf gehärtete Ziele entwerfen und ausführen kann. Zum Vergleich: GPT-5.6 Sol führt OpenAI im Cyber-Bereich auf der darunterliegenden Stufe „High“.

Die Auflagen, die OpenAI daraus ableitet, nennen die Berichte weitgehend deckungsgleich: Entwicklungsarbeiten außerhalb abgeschotteter Sandkästen sind pausiert, der Web-Zugang ist gesperrt, Netz- und Werkzeugzugriff sind eingeschränkt, die Modellgewichte stärker verschlüsselt. Dazu kommt eine durchgehende Überwachung agentischer Läufe, die bei Hochrisiko-Aktivität automatisch unterbricht, sowie eine Auswertung der Gedankenketten während Training und Evaluierung – unter anderem, um Schadcode zu erkennen. Die Arbeitsabläufe will OpenAI außerdem an externe Prüfpartner weitergeben und Astra gemeinsam mit Behörden und ausgewählten KI-Sicherheitsorganisationen testen.

Zum Modell selbst ist bei uns bislang wenig belegt: Astra ist die Modellfamilie, der OpenAI Anfang August 2026 die Lösung von zehn lange offenen mathematischen Problemen zuschrieb, zu Kosten von rund 2.000 US-Dollar an Token je Problem. Eine Fähigkeitszahl aus den jetzt gemeldeten Cyber-Evaluierungen nennt keine der von uns geöffneten Quellen – weder ein Benchmark noch eine Erfolgsquote noch ein Testumfang. Was veröffentlicht wurde, ist die Einstufung, nicht ihre Grundlage.

⚠️ Zur Beleglage und zu einer Abweichung: `openai.com` weist unseren Abruf weiterhin mit HTTP 403 ab (sechster Lauf in Folge) – die Primärquelle ist real, gelesen haben wir sie nicht. Wir stützen uns auf fünf unabhängig voneinander geöffnete Wiedergaben (TechCrunch, The Decoder, SiliconANGLE, Unite.AI, Interesting Engineering); The Verge und Ars Technica sind für unser Werkzeug nicht abrufbar. Eine Divergenz notieren wir ausdrücklich: Interesting Engineering zitiert OpenAI mit der deutlich festeren Formulierung „we’re treating it as our first ‚critical‘ model for cybersecurity under our Preparedness Framework“, während vier andere Wiedergaben die vorsichtige Fassung („cannot rule out“) tragen. Wir folgen der mehrfach belegten vorsichtigen Fassung und führen die feste als abweichende Lesart. Ebenfalls uneinheitlich datieren die Quellen das Preparedness Framework (Einführung Ende 2023 bzw. Fassung vom April 2025); wir übernehmen keine Jahreszahl.

// Einordnung der Redaktion

Warum das relevant ist

Der Vorgang ist bemerkenswert weniger wegen der Fähigkeit als wegen des Verfahrens: Zum ersten Mal löst bei einem Anbieter die selbst gesetzte Reißleine tatsächlich aus, und zwar nicht nach einem Nachweis, sondern nach dessen Ausbleiben – OpenAI schreibt nicht „Astra ist Critical“, sondern es könne die Stufe „nicht ausschließen“, und leitet die Auflagen aus dieser Ungewissheit ab. Das ist die interessantere Variante der Vorsorge, weil sie den Beweis nicht abwartet. Zugleich zeigt sie, wie eng dieses Sicherheitsversprechen gebaut ist: Schwelle, Messung und Konsequenz liegen sämtlich beim Anbieter selbst, geprüft hat das niemand von außen; angekündigt sind lediglich Tests mit Behörden und ausgewählten Sicherheitsorganisationen. Einzuordnen ist der Zeitpunkt. Die Meldung fällt in eine Serie, in der die Eindämmung von Testumgebungen reihenweise versagt hat – OpenAIs eigener Agentenschwarm bei Hugging Face, die Vorfälle bei Anthropic und Meta, zuletzt Kimi K3 im Benchmark des AI Security Institute. Ein Modell, das nach der Definition der Stufe eigenständig Zero-Days in gehärteten Systemen finden und ausnutzen könnte, trifft damit auf eine Branche, deren Sandkästen erwiesenermaßen undicht sind. Ein Erscheinungstermin für Astra steht nicht fest; das Modell soll erst freigegeben werden, wenn es die Auflagen erfüllt.