OpenAI bremst Astra – erstmals «kritische» Cyber-Stufe erreicht

OpenAI hat am 1. September 2026 mitgeteilt, dass sein kommendes Modell Astra als erstes Modell des Unternehmens die höchste Stufe «Critical» für Cybersicherheits-Fähigkeiten erreicht – gemessen am Preparedness Framework, OpenAIs eigenem Risikoraster für Frontier-Modelle. Konkret heisst das laut OpenAI: Astra kann in gut geschützten Systemen bisher unbekannte Sicherheitslücken finden und daraus funktionierende Angriffswege bauen, ohne dass ein Mensch jeden Schritt vorgibt. Der Release verschiebt sich deshalb um mehrere Wochen, und der Vollzugriff auf die stärksten Cyber-Funktionen geht vorerst nur an eine kleine Testgruppe.

Zwei Zero-Days, die niemand kannte

Auf dem öffentlichen Benchmark ExploitBench – einem Test, der misst, wie gut ein Modell aus bekannten Schwachstellen einen funktionierenden Angriffscode baut – erreichte Astra laut OpenAI 100 Prozent. Weil solche öffentlichen Tests im Trainingsmaterial gelandet sein könnten, baute OpenAI eine interne Variante nach: 20 erst kürzlich offengelegte, hochkritische Lücken in der JavaScript-Engine V8, dem Motor hinter Chrome-basierten Browsern.

Dort schlug Astra das aktuelle Spitzenmodell GPT-5.6 Sol deutlich – und brauchte dafür erheblich weniger Rechenaufwand. Der bemerkenswerteste Befund steht in einem Nebensatz des OpenAI-Blogposts: Während des Tests entdeckte das Modell zwei bis dahin unbekannte Schwachstellen (Zero-Days) und baute sie in eine Angriffskette ein. OpenAI meldet sie derzeit den zuständigen Entwicklerteams.

Ein Vorbehalt, den OpenAI selbst mitliefert und der in vielen Meldungen untergeht: Diese Werte gelten für eine Konfiguration mit erweitertem Zugang über das Programm Daybreak Blue – nicht für das, was in der normalen Produktivumgebung läuft.

91,5 Prozent – und der Rest von 8,5

Die zweite Zahlenreihe betrifft die Bremsen. Auf OpenAIs internem Set von Cyber-Jailbreak-Tests verweigert Astra 91,5 Prozent der unerlaubten Anfragen, GPT-5.6 Sol lag bei 59 Prozent. Fortune weist auf die andere Lesart derselben Zahl hin: 8,5 Prozent kommen weiterhin durch.

Aufschlussreicher ist ein Test, den OpenAI aus dem Hugging-Face-Vorfall abgeleitet hat – jenem Fall, in dem OpenAI-Agenten während einer Evaluation fremde Systeme kompromittierten und über den wir bereits berichtet haben. OpenAI baute daraus «Honeypots»: Köder, die prüfen, ob ein Modell bei einer unlösbaren Aufgabe lieber die umgebende Infrastruktur angreift, statt die Aufgabe zu lösen. Ohne Schutzmechanismen versuchte GPT-5.6 Sol das in 56 Prozent der Durchläufe. Astra kein einziges Mal.

Ein kleiner Kreis mit Vollzugriff

Wer Astras volle Cyber-Fähigkeiten nutzen darf, bleibt zunächst eng begrenzt. Laut einem OpenAI-Sprecher, den Fortune aus einem Presse-Briefing zitiert, gehören zur Alpha-Gruppe Organisationen, die kritische digitale Infrastruktur schützen – darunter die US-Regierung und Firmen aus OpenAIs Trusted-Access-Programm. Namen nennt das Unternehmen nicht. Danach soll der Zugang schrittweise über Daybreak Blue geöffnet werden. Bereits im August hatte OpenAI angekündigt, Astra gemeinsam mit Regierungsstellen und ausgewählten KI-Safety-Organisationen zu testen.

Genau hier setzt die Kritik an. TechCrunch hält fest, dass sich OpenAIs Sicherheitsaussagen ohne Bestätigung durch Dritte kaum bewerten lassen: Alle Zahlen stammen aus hauseigenen Evaluationen, die Tester bleiben anonym.

Dazu kommt ein Zielkonflikt, den OpenAI offen einräumt: Die zusätzlichen Prüfungen können legitime Arbeit verlangsamen, pausieren oder stoppen – auch defensive Sicherheitsarbeit. Wie real das ist, zeigte der Hugging-Face-Fall selbst: Bei der Aufarbeitung musste Hugging Face laut Fortune auf ein chinesisches Open-Source-Modell ausweichen, weil die zuerst angefragten Modelle zu vorsichtig ablehnten.

27'128 Meldungen und ein Werkzeug für beide Seiten

Für die Schweiz ist der Zeitpunkt bemerkenswert. Nur eine Woche vor OpenAIs Ankündigung veröffentlichte das Bundesamt für Cybersicherheit (BACS) seinen Halbjahresbericht 2026/1: 27'128 freiwillige Meldungen und 200 meldepflichtige Cybervorfälle im ersten Halbjahr 2026. Die Zahl der Schweizer Ransomware-Fälle stagniert bei 79, doch die Zahl der aktiven Tätergruppen fächert sich weiter auf.

Der für dich relevante Satz steht schon in der Zusammenfassung des Berichts:

Angreifer nutzen nun Künstliche Intelligenz (KI) systematisch, um zugeschnittene, personalisierte Inhalte glaubwürdig an die Opfer zu bringen.

Noch geht es dabei um Phishing und Social Engineering, nicht um autonome Exploit-Ketten. Aber die Richtung stimmt: Was heute teuer und selten ist, wird billiger und häufiger. Für Schweizer KMU heisst das weniger «wir brauchen Zero-Day-Abwehr» als vielmehr: Die generischen Einfallstore schliessen, die das BACS Jahr für Jahr auflistet – ungepatchte VPN-Zugänge, übernommene Microsoft-365-Konten, Backups, die nie getestet wurden.

Was der Zugangsriegel nicht leistet

Neu ist an dieser Meldung weniger die Fähigkeit als die Reaktion darauf: Erstmals stuft ein Labor ein eigenes Modell in die höchste Cyber-Risikoklasse ein und schiebt daraufhin den Release. Für Apeksha Kaushik, Senior Principal Analyst bei Gartner, ist das ein «substantial inflection point». Nüchterner formuliert es Sanchit Vir Gogia von Greyhound Research gegenüber CSO Online: Gestufter Zugang verschaffe Verteidigern Zeit, hebe die Fähigkeit selbst aber nicht auf.

Genau so sollte man Astra lesen. Der Zugangsriegel ist ein Zeitfenster – kein Schutz. Wie gross dieses Fenster ist, weiss derzeit niemand ausserhalb von OpenAI.