OpenAI hat am 1. September ein Dokument mit dem Titel „Path to Astra" veröffentlicht und darin das noch nicht offiziell verfügbare neue Modell Astra in die höchste Risikostufe des eigenen Preparedness-Frameworks eingeordnet: Die Cybersicherheits-Fähigkeiten gelten als Critical. Das Framework läuft seit drei Jahren – es ist das erste Mal, dass OpenAI einem eigenen Modell dieses Etikett verpasst.
Grundlage der Einstufung ist ein interner Benchmark namens ExploitBench. OpenAI hat darin 20 kritische Schwachstellen hinterlegt, und Astra hat alle bewältigt. Noch schwerer wiegt: In einer angepassten Testumgebung fand Astra eigenständig zwei zuvor unbekannte Zero-Day-Schwachstellen, nutzte sie aus und verkettete sie zu einer vollständigen Exploit-Kette.
Wo die Grenze zu Critical verläuft
Das Preparedness-Framework wurde 2023 eingeführt, ein Update im vergangenen Jahr hat die Fähigkeiten in zwei Stufen unterteilt. High bedeutet, dass ein Modell bereits bestehende Schadenspfade verstärken kann, Critical bedeutet, dass ein Modell völlig neue, bisher unbekannte Pfade eröffnen kann. Im Bereich Cybersicherheit reicht für die Überschreitung von Critical bereits eine von zwei Bedingungen: Entweder das Modell identifiziert und schreibt ohne schrittweise menschliche Anleitung nutzbare Zero-Day-Exploits über mehrere gehärtete, reale kritische Systeme und Schweregrade hinweg; oder es entwirft und führt allein anhand eines übergeordneten Ziels eigenständig einen komplett neuen Ende-zu-Ende-Angriff gegen ein gehärtetes Ziel aus.
Keine der beiden Schwellen ist niedrig angesetzt. Dass Astra als darüber liegend eingestuft wurde, bedeutet aus OpenAIs interner Bewertung, dass das Modell den Menschen nicht mehr als Krücke braucht.
Wie der Rollout aussieht
Im Dokument heißt es wörtlich:
We plan to make Astra available soon, but access to its most advanced cybersecurity capabilities will be more limited.
(Wir planen, Astra bald verfügbar zu machen, doch der Zugang zu seinen fortschrittlichsten Cybersicherheits-Fähigkeiten wird deutlich eingeschränkter sein.)
Konkret ist der Rollout zweistufig geplant. In der ersten Stufe geht die stärkste Cybersicherheits-Fähigkeit nur an eine kleine Gruppe von Alpha-Testern; in der zweiten Stufe wird der Zugang über das Daybreak-Blue-Programm auf mehr geprüfte Teams ausgeweitet, deren Nutzung ausschließlich auf Verteidigung beschränkt ist. Daybreak Blue ist ein bereits laufendes OpenAI-Programm, das geprüften Testern erlaubt, unter zusätzlichen Sicherheitsauflagen mit den leistungsstärksten Modellen an Sicherheitsaufgaben zu arbeiten.
Begleitend verstärkt OpenAI die Missbrauchserkennung und den Schutz vor Jailbreaks, identifiziert „Hochrisiko"-Konten und schränkt sie gesondert ein und aktiviert ein Monitoring der Gedankenkette, um auffälliges Verhalten zu erkennen. Während der Verlangsamung im August war zusätzlich von isolierten Testumgebungen und verschlüsselten Modellgewichten die Rede. Offen bleibt im Dokument, wer genau die Tester sind, nach welchen Kriterien sie ausgewählt werden und in welchem Umfang die US-Regierung an dieser Bewertungsrunde beteiligt war.
Vom Bremsen zur Freigabe in weniger als vier Wochen
Es gibt eine Vorgeschichte. Anfang August hatte OpenAI öffentlich erklärt, Entwicklung und Veröffentlichung von Astra wegen Cybersicherheitsbedenken bewusst zu verlangsamen, und interne Aktivitäten ausgesetzt, die die strengeren Sicherheitsanforderungen nicht erfüllten. Damals lasen viele daraus, dass das Modell heikel sei. Einen Monat später lautet die Botschaft des neuen Dokuments, die Schutzmaßnahmen erfüllten inzwischen die Vorgaben des Preparedness-Frameworks und einer öffentlichen Veröffentlichung stehe nichts mehr im Weg.
Die vier Wochen dazwischen zeigen: Die Überschreitung der Schwelle selbst blockiert nichts. Entscheidend dafür, ob veröffentlicht wird, ist, wie schnell die passenden Leitplanken stehen. Für ein Unternehmen, das „erst einstufen, dann Zugang gewähren" längst in seinen Prozess eingebaut hat, ist Critical eher eine zusätzliche Hürde mit mehr Formalitäten als eine Mauer.
Zwei Labs an derselben Kreuzung
Anthropics Mythos hatte Anfang des Jahres eine fast identische Debatte ausgelöst – die Fähigkeit des Modells, Schwachstellen aufzuspüren, war so stark, dass Sicherheitsszene und Regulierer gleichermaßen aufhorchten. Die Reaktion des Unternehmens war dieselbe: Einstufung, Prüfung, eingeschränkte Nutzung. Was OpenAI jetzt vorlegt, ähnelt dem in der Form auffällig.
Dass zwei Labs nacheinander an derselben Kreuzung landen, zeigt: Das ist keine Produktvorliebe eines einzelnen Unternehmens. Sobald Frontier-Modelle bei Angriff und Verteidigung eine bestimmte Fähigkeitsdichte überschreiten, bleiben den Labs nur wenige Optionen: einstufen, Whitelists führen, überwachen, die schärfsten Werkzeuge vorerst zurückhalten. OpenAI erwähnt zudem ausdrücklich, dass ein Ziel dieser Testrunde war, eine Wiederholung des Hugging-Face-Vorfalls zu vermeiden, bei dem ein KI-Agent in einer realen Umgebung einen unerwartet wirksamen Angriff ausführte. Diese Lehre in den Bewertungsprozess einzubauen, wiegt mehr als eine bloße Erklärung.
Zweifel nach der Bestnote
Der ehemalige OpenAI-Forscher Yona Shavit stellte eine unbequeme Frage: Ist das kooperative Verhalten, das Astra in den Sicherheitstests zeigt, echtes Alignment – oder hat das Modell nur gelernt, sich zurückzuhalten, wenn es beobachtet wird? Ein solcher Zweifel lässt sich nicht mit einem Dokument ausräumen, sondern nur mit Zeit und externer Nachprüfung.
Für normale Nutzer wird Astra kurzfristig nicht als „Ich finde Schwachstellen für dich"-Funktion im Abo auftauchen. Für die Sicherheitsbranche ist entscheidend, ob Verteidiger nach der Überschreitung der Schwelle gleichwertige Werkzeuge in vergleichbarem Umfang erhalten. Grob geschätzt: Folgt dieser zweistufige Rollout dem Tempo von Mythos, dürfte die Ausweitung von Alpha auf Daybreak Blue etwa einige Wochen bis ein bis zwei Monate dauern. Wie lange Angreifer brauchen, um an ein quelloffenes Äquivalent derselben Fähigkeit zu kommen, kann derzeit niemand beziffern.
Quellen: OpenAI-Dokument „Path to Astra", TechCrunch, CocoLoop, CNBC, Fortune; die 20 kritischen Schwachstellen und die Bestnote bei ExploitBench, die zu einer Exploit-Kette verketteten zwei Zero-Days sowie der zweistufige Daybreak-Blue-Rollout wurden Punkt für Punkt anhand öffentlich zugänglicher Quellen geprüft.