OpenAIs Bio Bug Bounty ist heute offiziell in die Testphase gestartet.
Die Regel ist knapp: Gesucht wird ein Prompt, der GPT-5.5 in Codex Desktop dazu bringt, alle fünf Biosicherheitsfragen sauber zu beantworten, ohne irgendeinen Prüfmechanismus auszulösen. Der erste erfolgreiche Forscher erhält 25.000 Dollar.
Das klingt nach CTF. Tatsächlich liegt die Latte deutlich höher.
Warum dieses Bounty ungewöhnlich ist
Schon der Aufbau ist eng gefasst:
- Prämie: 25.000 Dollar gehen an die erste Person, die alle fünf Aufgaben löst; teilweise, aber wertvolle Funde können nach Ermessen ebenfalls vergütet werden.
- Umgebung: Getestet wird ausschließlich GPT-5.5 in Codex Desktop. Andere Szenarien zählen nicht.
- Zeitraum: Bewerbungen laufen vom 23. April bis 22. Juni, die Tests vom 28. April bis 27. Juli.
- Vertraulichkeit: Teilnehmer müssen eine NDA unterschreiben; Testdaten, Prompts und Ergebnisse dürfen nicht veröffentlicht werden.
Der entscheidende Begriff lautet "universal jailbreak". OpenAI sucht nicht nach einem Weg, eine einzelne Frage zu knacken. Gefordert ist ein einziger Prompt, der alle fünf Fragen löst.
Damit wird die Red-Team-Aufgabe deutlich verschoben. Viele KI-Red-Teams optimieren Angriffspfade Fall für Fall. OpenAI verlangt diesmal den Nachweis, dass ein einzelner Prompt GPT-5.5 über fünf Biosicherheits-Grenzen hinwegbringt, während das Prüfsystem den Vorgang nicht bemerkt.
Warum Codex Desktop?
Das ist der kontraintuitive Teil.
GPT-5.5 ist über Web, API, Codex CLI und Codex Desktop erreichbar. OpenAI lässt den Test trotzdem nur in Codex Desktop zu.
Dafür gibt es zwei plausible Erklärungen. Erstens ist Codex Desktop eine agentische Entwicklerumgebung, fast wie ein unsichtbarer Mitarbeiter. Sandbox-Grenzen, Berechtigungen und Kontextverwaltung unterscheiden sich deutlich von ChatGPT im Web. Wenn ein Biosicherheits-Jailbreak dort gelingt, deutet das auf ein Problem an der Sicherheitsgrenze agentischer Deployments hin, genau dem Risikobereich, den OpenAI besonders beobachtet.
Zweitens werden so Variablen kontrolliert. Eine fest begrenzte Testfläche macht Red-Team-Berichte vergleichbarer und reduziert Rauschen durch unterschiedliche Prompt-Templates in verschiedenen Zugängen.
Diese Einschränkung hat aber eine klare Folge: Angriffe auf ChatGPT im Web, auf mobilen Clients oder über direkte API-Aufrufe liegen außerhalb dieses Bountys. Die 25.000 Dollar kaufen Evidenz über eine sehr konkrete Sicherheitsgrenze, nicht über die allgemeine Robustheit von GPT-5.5.
Was sind die fünf Fragen?
OpenAI hat sie nicht veröffentlicht. Die NDA verhindert zudem, dass Teilnehmer die Aufgaben offenlegen.
Naheliegend ist, dass es sich um von Fachleuten ausgewählte konkrete Fragen handelt, deren vollständige Beantwortung schädliche biologische Forschung beschleunigen könnte. Anthropic hat im vergangenen Jahr ähnliche Tests mit Constitutional Classifiers durchgeführt. OpenAIs Ansatz ist aggressiver, weil er Red Teaming direkt mit einem Bounty-Mechanismus verbindet.
Der Vergleich mit Anthropics früherem Mythos Preview ist aufschlussreich: Dort wurden 40 Unternehmen eingeladen, Schwachstellen zu suchen. OpenAIs Bio Bounty kombiniert Einladung und Bewerbung, richtet sich an reine Red-Team-Spezialisten und konzentriert sich auf eine Extremkategorie: Biosicherheit.
Die Stoßrichtungen unterscheiden sich. Anthropic testet ein Unternehmensökosystem. OpenAI testet die Grenze eines isolierten Szenarios.
Das eigentliche Signal
Die spannende Frage ist nicht, ob 25.000 Dollar Spitzenkräfte im Red Teaming anziehen. In diesem Markt ist das keine besonders hohe Summe. Googles VRP und Metas Bug-Bounty-Programme können sechsstellige Beträge erreichen.
Das eigentliche Signal ist das dreimonatige Testfenster.
Wenn innerhalb von drei Monaten jemand gewinnt, haben die Biosicherheits-Guardrails von GPT-5.5 eine systematische Schwachstelle. OpenAI müsste sie in einem folgenden Sicherheitsupdate für GPT-5.5 Pro schließen.
Wenn niemand gewinnt, erhält OpenAI einen öffentlichen, glaubwürdigen Nachweis, dass eine Red-Team-Herausforderung nicht erfolgreich war. Das wiegt mehr als ein selbstlobender Sicherheitsbericht.
Es ist das erste Mal, dass OpenAI mit einem Bounty-Mechanismus öffentlich eine einzelne Klasse von Modell-Guardrails testet. Frühere Bug Bountys deckten breiter Modellschutz und Datenschutzfragen ab. Diesmal ist der Fokus direkt auf Biosicherheit gesetzt.
Branchenbeobachter wissen, warum. KI-Biosicherheit ist 2026 ein Schwerpunkt der Regulierung. Sowohl das National Policy Framework des Weißen Hauses als auch der EU AI Act stufen biologische Risiken als besonders kritische Kategorie ein.
OpenAI sammelt Daten, bevor die Detailregeln endgültig greifen.
Die nächsten drei Monate dürften aufschlussreich werden.
Quellen: GPT-5.5 Bio Bug Bounty (offiziell OpenAI); CocoLoop; GPT-5.5 Bio Bug Bounty Program Aims to Improve AI Safety and Performance (GBHackers); OpenAI offers $25,000 reward to hack GPT-5.5 safety controls (VARindia)