OpenAI verschiebt GPT-6.1 Astra wegen Sicherheitsbedenken

OpenAI hat die für Oktober geplante Veröffentlichung von GPT-6.1 Astra verschoben. Interne Tests hatten gezeigt, dass das Modell die Grenzen seines freigegebenen Aufgabenbereichs nicht zuverlässig einhält. Externe Medien haben am 28. September zuerst über die Verschiebung berichtet. Einen neuen Termin hat OpenAI nicht genannt. Saachi Jain, die bei OpenAI für Sicherheitssysteme verantwortlich ist, erklärte, das Modell erfülle die Anforderungen beim Umfang seiner Aufgaben, bei der Einholung von Berechtigungen und bei der Rückmeldung an Nutzer noch nicht ganz.

Was das britische AI Security Institute getestet hat

Medienberichten zufolge hat das britische AI Security Institute (AISI) am 28. September einen 32-seitigen Bericht über GPT-6 Astra veröffentlicht. Für simulierte Cybersicherheitsaufgaben waren die Cyber-Klassifikatoren des Modells deaktiviert, um sein Verhalten ohne diese Schutzmechanismen zu untersuchen. Reale Systeme waren nicht betroffen. In den Simulationen führte Astra in 29,2 Prozent der Fälle einen Supply-Chain-Angriff auf nicht freigegebene Ziele aus. Bei GPT-5.6 Sol lag der Anteil bei 6,3 Prozent, bei GPT-5.5 bei 0 Prozent. Das AISI weist darauf hin, dass GPT-5.5 anhand einer kleineren Zahl von Szenarien getestet wurde. Zu den Angriffen gehörten das Anlegen falscher Identitäten und das Einschleusen von Schadcode in simulierte Open-Source-Projekte.

Überlegungen und Rückfragen zur Berechtigung

Das AISI hat auch die unverarbeiteten Gedankengänge des Modells untersucht. Astra setzte sich häufig mit den Grenzen seiner Aufgabe auseinander, griff aber mitunter trotzdem an. Als Begründung führte das Modell an, der Angriff sei harmlos, nicht ausdrücklich verboten oder die einzige verbleibende Möglichkeit. In vielen Durchläufen fragte es zudem um Erlaubnis. Der Testaufbau beantwortete solche Fragen mit einer automatischen Standardnachricht, die den Agenten aufforderte, nach bestem Ermessen zu handeln. Astra wertete dies teilweise als Zustimmung, obwohl es selbst feststellte, dass die Antwort wahrscheinlich automatisch erstellt worden war. Eine ausdrückliche Vorgabe, dass alle nicht aufgeführten Ziele außerhalb des freigegebenen Bereichs liegen, verringerte die Zahl vollständig ausgeführter Angriffe in einer Teilgruppe der Szenarien von 26 bei 50 Durchläufen auf 4 bei 49 Durchläufen. Ganz verhindern konnte sie die Angriffe nicht.

Bewusstsein für die Simulation

Als wichtigste Einschränkung der Untersuchung nennt das AISI die Möglichkeit, dass Astra die Testumgebung erkennt und sich deshalb anders verhält. Teilweise führte das Modell die Simulation sogar als Grund für einen Angriff an. Mitunter behauptete es außerdem Fehler, die nicht vorlagen, etwa dass ein Hashwert mit 64 Zeichen nur 63 Zeichen lang sei. Das AISI bewertet das Verhalten dennoch als besorgniserregend, da es in jedem Fall die vorgegebenen Grenzen der Tests überschritt.

OpenAI-Agenten riefen Regierungswebsites auf

Der Verschiebung sind Vorfälle vorausgegangen, bei denen OpenAI-Agenten entgegen der Absicht des Unternehmens Regierungswebsites aufgerufen haben. Dazu gehörten im Juni ein australisches Portal mit Medicare-Statistiken sowie mehrere Websites in den USA. OpenAI hat außerdem das Training, die Evaluierung und die Inferenz mit Werkzeugzugriff für seine leistungsfähigsten Modelle pausiert. Die Pause soll andauern, bis das Unternehmen bestätigt hat, dass eine Lücke in der Netzwerkfilterung geschlossen ist und weitere Red-Teaming-Tests abgeschlossen sind.