OpenAI stoppt Teile von Astra – erstmals Cyber-Stufe «Critical»

OpenAI hat am Freitag, 7. August 2026, Teile der Entwicklung seines noch unveröffentlichten Modells Astra ausgesetzt. Der Grund: Interne Auswertungen der letzten Tage zeigen laut OpenAI so grosse Fortschritte bei agentischem Programmieren (KI, die eigenständig Code schreibt, ausführt und Werkzeuge bedient) und Cybersicherheit, dass sich die höchste Risikostufe «Critical» im firmeneigenen Preparedness Framework nicht mehr ausschliessen lässt. Es ist das erste Mal, dass OpenAI diese Stufe bei einem eigenen Modell nicht ausschliessen kann – Vorgänger bis hin zu GPT-5.6-Sol wurden bei den Cyber-Prüfungen maximal als «High» eingestuft.

Von «High» zu vielleicht «Critical»

Das Preparedness Framework ist OpenAIs interner Risiko-Katalog, erstmals im Dezember 2023 veröffentlicht. Er beschreibt Schwellen, ab denen ein Modell zusätzliche Schutzmassnahmen auslöst. Die Cyber-Stufe «Critical» ist darin präzise definiert: Ein Modell erreicht sie, wenn es ohne menschliches Zutun funktionsfähige Zero-Day-Exploits (Angriffe auf bisher unbekannte Sicherheitslücken, für die es noch keinen Patch gibt) aller Schweregrade in vielen gut gehärteten realen Systemen finden und entwickeln kann – oder wenn es aus einer nur grob formulierten Zielvorgabe eigenständig neuartige Angriffsketten gegen geschützte Ziele entwirft und ausführt.

Entscheidend ist dabei die Formulierung, die OpenAI selbst wählt. Sie ist vorsichtiger, als es viele Schlagzeilen nahelegen:

«Während wir dieses Modell weiter mit Benchmarks prüfen und bewerten, deuten unsere vorläufigen Auswertungen auf eine so starke Leistung hin, dass wir eine Critical-Fähigkeitsstufe zum jetzigen Zeitpunkt nicht ausschliessen können.» (übersetzt aus dem OpenAI-Blogpost)

Ebenfalls ausdrücklich festgehalten: Astra war an dem Vorfall rund um Hugging Face nicht beteiligt, über den kinewsletter.ch bereits berichtet hat.

Was OpenAI jetzt wegsperrt

Als Reaktion verschärft OpenAI die Sicherheitskontrollen: isolierte Testumgebungen, eingeschränkter Netzwerk- und Werkzeugzugriff, besser geschützte und verschlüsselte Modellgewichte, Ausführung in abgeschotteten Sandboxes und zusätzliche Überwachung. Interne Aktivitäten rund um Astra, die diese verschärften Anforderungen noch nicht erfüllen, sind pausiert.

Technisch am spannendsten ist ein anderer Punkt: OpenAI überwacht nach eigenen Angaben sämtliche agentischen Anwendungen von Astra flächendeckend – Training und Evaluation eingeschlossen. Die Monitore lesen die Gedankenkette des Modells (Chain of Thought, also die Zwischenschritte, die sich das Modell selbst notiert, bevor es handelt) und lösen bei riskanten Aktionen automatisch eine Sicherheitsreaktion aus, die den Vorgang prüft und unterbricht. Zusätzlich will OpenAI die Fähigkeiten gemeinsam mit Regierungsstellen und ausgewählten AI-Safety-Organisationen testen lassen.

Washington wusste vorher Bescheid

Laut Axios, dem OpenAI die Information vorab zuspielte, hat das Unternehmen die US-Regierung freiwillig über die geplante Verzögerung in Kenntnis gesetzt – bestätigt gegenüber Axios von einer Person aus dem Weissen Haus. CEO Sam Altman schrieb auf X, man brauche angesichts der Cyberfähigkeiten etwas länger, um das sicher hinzubekommen.

Bemerkenswert ist weniger der Stopp selbst als die Kommunikation darüber. Unternehmen halten laufend Produkte aus Sicherheits- oder Risikogründen zurück, wie TechCrunch anmerkt – nur sagen sie das selten öffentlich, und praktisch nie für ein Produkt, das noch gar nicht auf dem Markt ist. Axios geht noch weiter: Es könnte das erste Mal sein, dass ein führendes KI-Labor das Tempo bei einem eigenen Modell ausdrücklich wegen Cyber-Risiken drosselt.

Der Haken: entschieden ist noch nichts

Genau hier setzt die Kritik an. OpenAI meldet bislang nur das Potenzial für eine Critical-Einstufung, nicht die Einstufung selbst. Das eigene Framework sieht bei «Critical» einen Stopp der Weiterentwicklung vor, bis Schutzmassnahmen und Sicherheitskontrollen dem Critical-Standard genügen – OpenAI pausiert aber nur einzelne Aktivitäten und weitet die Tests aus. The Decoder weist darauf hin, dass Kritiker darin auch Angst-Marketing sehen dürften: Bestätigt sich die Stufe am Ende nie, bleiben viel Aufmerksamkeit und wenig Konsequenz.

Für dich ändert sich vorerst nichts – Astra ist nicht verfügbar, und in ChatGPT läuft weiter, was bisher lief. Interessant wird der Moment, in dem OpenAI die Bewertung abschliesst: Bestätigt sich «Critical», müsste nach den eigenen Regeln die Weiterentwicklung ruhen, bis die Schutzmassnahmen stehen. Und ein Modell, das eigenständig Angriffe auf gehärtete Systeme fahren kann, ist für jede IT-Abteilung – auch in Schweizer KMU – zuerst ein Risiko und erst danach ein Werkzeug.