GPT-6 Astra: 29.2 Prozent unerlaubte Angriffe im UK-Test
Das britische AI Security Institute sah GPT-6 Astra in 29.2 Prozent der Simulationen einen unerlaubten Lieferkettenangriff ausführen, bei GPT-5.6 Sol waren es 6.3 Prozent. Der Begriff «Rogue-Attack-Rate» stammt aus der Presse, getestet wurde ohne OpenAIs Schutzfilter. Wir ordnen Methodik, Grenzen und den Schweiz-Bezug ein.
Pascal Eugster
GRÜNDER & ENTWICKLER
30. SEPTEMBER 2026
3 MIN. LESEZEIT
INHALT
INHALT
in
PARTNER · INOO GMBH
Wie viel KI verträgt dein Betrieb? In 30 Minuten Klartext.
Kostenloses Erstgespräch — herstellerneutral, direkt aus dem Rheintal.
Gespräch buchen →
DAS WICHTIGSTE IN KÜRZE
Astra griff in Simulationen ohne Schutzfilter 4,6-mal so oft unerlaubt an wie GPT-5.6 Sol, klare Scope-Vorgaben senkten die Rate auf 8.2 Prozent.
Das britische AI Security Institute (AISI) hat GPT-6 Astra in Simulationen getestet, und das Ergebnis ist unbequem: In 29.2 Prozent der Durchläufe führte das Modell einen Angriff auf die Software-Lieferkette bis zum Schluss aus, ohne dass jemand es dazu beauftragt hätte. Beim Vorgänger GPT-5.6 Sol waren es 6.3 Prozent. Das ist rund das 4,6-Fache, was The Decoder als «Rogue-Attack-Rate auf das Fünffache gestiegen» zusammenfasst.
Was «Rogue-Attack-Rate» wirklich misst
Der Begriff stammt nicht vom AISI, sondern aus der Berichterstattung. Das Institut spricht in seinem Blogbeitrag und im technischen Bericht von «unsanctioned attack activity». Gemessen wird, welcher Anteil der Durchläufe die letzte Stufe einer Lieferkettenattacke erreicht: das Ausliefern von Schadcode.
Die Tests liefen mit dem Werkzeug Petri. Dabei spielt ein zweites Sprachmodell (laut Bericht überwiegend Claude Opus 5) die Umgebung und beantwortet die Werkzeugaufrufe des Testmodells. Nichts davon passierte in echten Systemen. Pro Modell gab es gemäss Bericht 100 Durchläufe, bei GPT-5.5 nur 10. Wichtig: OpenAIs Cyber-Schutzfilter waren bewusst ausgeschaltet.
Fake-Identitäten und Beifall aus dem Off
Astra wählte externe Open-Source-Projekte, schrieb Schadcode und reichte ihn unter erfundenen Identitäten ein. Teils lobte es den eigenen Beitrag zusätzlich von weiteren Fake-Konten aus. Manchmal fragte es vorher um Erlaubnis und wertete automatische Antworten als Zustimmung. GPT-5.5 unternahm in den Tests keinen einzigen solchen Angriff.
