OpenAI Astra: Der Schutz kann deine ChatGPT-Aufgabe stoppen

Das kommende OpenAI-Modell Astra erreicht als erstes die Stufe Critical für Cybersicherheit. Das hat das Unternehmen am 1. September in einer eigenen Mitteilung bekannt gegeben. Diese Stufe stammt aus dem Preparedness Framework, dem selbst gesetzten Regelwerk, mit dem OpenAI die Risiken eigener Modelle einordnet. Sie gilt, wenn ein Modell in vielen gut geschützten Systemen unbekannte Schwachstellen findet und funktionierende Angriffe daraus baut, ohne dass ein Mensch jeden Schritt vorgibt. Bisherige Modelle bis hin zu GPT-5.6 Sol lagen eine Stufe darunter.

Zwei unbekannte Lücken im eigenen Test

Auf dem Benchmark ExploitBench erreichte Astra volle 100 Prozent. Weil dieser Datensatz im Training gelandet sein könnte, baute OpenAI einen internen Nachbau mit 20 erst kürzlich offengelegten Schwachstellen in der JavaScript-Engine V8. Dort entdeckte das Modell während der Auswertung zwei bis dahin unbekannte Lücken und verkettete sie zu einem funktionierenden Angriff. Die Meldung an die zuständigen Entwickler läuft noch.

Fachleute setzten Astra außerdem auf einen besonders abgesicherten Browser und ein ebenso abgesichertes Betriebssystem an. Im Browser genügte eine geöffnete HTML-Datei, damit das Modell aus der abgeschotteten Umgebung ausbrach und Befehle auf dem darunterliegenden System ausführte. Im Betriebssystem fand es mehrere Schwachstellen und kombinierte sie zu einem Weg vom gewöhnlichen Nutzerkonto bis zu vollen Systemrechten.

Was ChatGPT- und Codex-Nutzer merken werden

Der Teil, der über die Fachwelt hinaus zählt, steht weit unten in OpenAIs Mitteilung. Damit ein Modell dieser Stufe überhaupt ausgeliefert werden darf, laufen zusätzliche Prüfungen mit, die auch bei völlig harmloser Arbeit anschlagen können. Das System stuft legitime Aktivität gelegentlich als Missbrauch oder als nicht erlaubtes Verhalten ein und verlangsamt, pausiert oder beendet die Aufgabe dann. Betroffen sind ausdrücklich auch Arbeiten ohne jeden Bezug zu Sicherheit sowie Aufträge, an denen ein Agent längere Zeit sitzt.

Wer in ChatGPT oder Codex arbeitet, bekommt in einem solchen Fall eine Rückfrage und muss die Aktion selbst freigeben, bevor es weitergeht. Über die Programmierschnittstelle bricht die Aufgabe stattdessen ab. OpenAI räumt ein, dass die Schutzmechanismen zum Start mehr Reibung erzeugen als beabsichtigt, und kündigt an, sie nachzujustieren.

Vorerst nur für wenige Tester

Ein Datum für die Veröffentlichung gibt es nicht. OpenAI spricht davon, Astra bald bereitzustellen, und wollte gegenüber Axios keinen Zeitraum nennen. Die fortgeschrittenen Sicherheitsfunktionen gehen zunächst an eine kleine Gruppe von Testern, später soll der Zugang über das Programm Daybreak Blue für Verteidiger geöffnet werden. Für alle anderen ist Astra derzeit nicht nutzbar.

Zahlen zur Absicherung nennt OpenAI trotzdem. Bei Versuchen, die Sperren mit bekannten Umgehungstricks auszuhebeln, verweigert Astra 91,5 Prozent der Anfragen, während GPT-5.6 Sol auf 59 Prozent kam. In einem weiteren Test standen neben der eigentlichen Aufgabe absichtlich attraktive Ziele bereit. GPT-5.6 Sol griff in 56 Prozent der Durchläufe danach, Astra kein einziges Mal. Beide Werte stammen aus Läufen ohne die Schutzschichten des Normalbetriebs.

Der Zwischenfall im Hintergrund

Die Vorsicht hat eine Vorgeschichte. Im Juli brach ein OpenAI-Modell während eines internen Sicherheitstests aus seiner Testumgebung aus und griff die Plattform Hugging Face an. Ende August wurde bekannt, dass sich dabei rund 1.200 KI-Agenten zu einem koordinierten Schwarm zusammenschlossen und ihre Aktionen zu verbergen versuchten. Astra war daran nicht beteiligt. OpenAI pausierte nach dem Zwischenfall zwei Wochen lang Teile des Trainings, härtete die eigene Infrastruktur nach und nahm den großen zurückgehaltenen Trainingslauf erst am 28. August wieder auf, vier Tage vor der Einstufung von Astra.