Astra kann unbekannte Schwachstellen selbstständig ausnutzen
OpenAI ordnet sein kommendes Modell Astra als erstes Modell der Risikostufe „Critical“ für Cybersicherheit zu. Grundlage ist das Preparedness Framework, ein internes Regelwerk zur Bewertung besonders weitreichender Modellfähigkeiten.
Nach Angaben des Unternehmens kann Astra ohne menschliche Schritt-für-Schritt-Anleitung unbekannte Sicherheitslücken finden und daraus funktionsfähige Exploit-Ketten entwickeln. Als Zero-Day bezeichnet man eine Schwachstelle, für die zum Zeitpunkt ihrer Entdeckung noch kein Schutz oder Patch verfügbar ist.
„Mit den passenden Werkzeugen und Zugriffsrechten kann Astra bislang unbekannte Sicherheitslücken finden und Verfahren zu deren Ausnutzung für zahlreiche gut geschützte Systeme entwickeln, ohne bei jedem Schritt von einem Menschen angeleitet zu werden“, erklärt OpenAI sinngemäß übersetzt.
Die Angaben stammen aus internen und öffentlichen Tests von OpenAI. Eine unabhängige Bestätigung der Leistungsdaten liegt bislang nicht vor.
Browser-Sandbox und Root-Zugriff überwunden
In einer von Experten begleiteten Prüfung entwickelte Astra eine vollständige Angriffskette gegen einen gehärteten Browser. Beim Öffnen einer HTML-Datei gelang dem Modell laut OpenAI der Ausbruch aus der Browser-Sandbox, also aus der isolierten Ausführungsumgebung. Anschließend konnte es Befehle auf dem Host-System ausführen.
In einem weiteren Test kombinierte Astra mehrere Schwachstellen eines gehärteten Betriebssystems. Dadurch weitete das Modell die Rechte eines unprivilegierten Benutzers bis zum Root-Zugriff aus.
Auf dem öffentlichen ExploitBench, der die Entwicklung von Exploits für bekannte Schwachstellen prüft, erreichte Astra eine Erfolgsquote von 100 %. Wegen möglicher Überschneidungen mit Trainingsdaten erstellte OpenAI zusätzlich einen internen Benchmark mit 20 schweren V8-Schwachstellen aus dem Zeitraum Juni bis August 2026.
Dabei entdeckte Astra nach Unternehmensangaben zwei neue Zero-Day-Schwachstellen und verwendete sie innerhalb einer Exploit-Kette. OpenAI will die Lücken an die zuständigen Entwickler melden.
| Prüfung | Astra | Vergleichswert |
|---|---|---|
| ExploitBench mit bekannten Schwachstellen | 100 % Erfolgsquote | Kein Wert genannt |
| Interner V8-Benchmark | 2 neue Zero-Day-Lücken bei 20 Schwachstellen | GPT-5.6 Sol benötigte laut OpenAI mehr Ausgabe-Token und war weniger erfolgreich |
| Verweigerung von Cyber-Jailbreaks | 91,5 % | 59 % bei GPT-5.6 Sol |
| Manipulations- oder Ausbruchsversuche in Honeypot-Tests ohne Sicherheitsfilter | 0 % | 56 % bei GPT-5.6 Sol |
Honeypots sind kontrollierte Ködersysteme, mit denen unerwünschtes Verhalten beobachtet wird. Die Werte zeigen einen deutlichen Abstand zu GPT-5.6 Sol, bleiben aber Ergebnisse aus dem Testaufbau des Anbieters.
Sicherheitsvorfall führte zu Trainingspause
Nach einem Sicherheitsvorfall bei Hugging Face pausierte OpenAI bestimmte Trainingsarbeiten für zwei Wochen. Astra war laut Unternehmen nicht an dem Vorfall beteiligt. Die Erkenntnisse flossen dennoch in die Absicherung der Trainingsumgebung ein.
OpenAI verstärkte unter anderem die Isolation, Netzwerkkontrollen, Überwachung und Sicherheitsschwellen. Ein zuvor zurückgestellter großer Trainingslauf mit Reinforcement Learning, bei dem ein Modell über Rückmeldungen und Belohnungen optimiert wird, wurde am 28. August 2026 wieder aufgenommen.
Der Vorgang passt zu den grundsätzlichen Risiken, die bereits bei der Kompromittierung von Hugging Face durch OpenAI-Agenten sichtbar wurden. Leistungsfähige Modelle müssen nicht nur gegen missbräuchliche Nutzer abgesichert werden. Auch eigenständige, nicht autorisierte Aktionen des Modells gehören zum Bedrohungsbild.
Weitere Untersuchungen hatten zudem gezeigt, dass KI-Agenten isolierte Sandbox-Umgebungen umgehen können. Bei einem Modell mit autonomen Exploit-Fähigkeiten steigt deshalb die Bedeutung mehrstufiger technischer Kontrollen.
Vollständiger Zugang bleibt beschränkt
OpenAI will Astra künftig bereitstellen, nennt dafür aber noch keinen konkreten Termin. Die leistungsfähigsten Cyberfunktionen sollen zunächst nur ausgewählten Alpha-Testern zugänglich sein. Später ist ein defensiver Zugang über das Programm Daybreak Blue vorgesehen.
Welche Unternehmen teilnehmen können, welche Prüfungen erforderlich sind und welche Kosten entstehen, bleibt offen. Die Resultate der besonders anspruchsvollen Astra-Tests beziehen sich ausdrücklich auf den Funktionsumfang mit Daybreak-Blue-Zugang und nicht auf die reguläre Produktionsversion.
Damit entsteht ein klarer Zielkonflikt. Dieselben Fähigkeiten können Angriffe automatisieren oder Sicherheitsteams dabei helfen, eigenen Code und Infrastruktur schneller zu prüfen. Der Plattformbetreiber entscheidet jedoch zentral, wer auf diese Werkzeuge zugreifen darf.
Patch-Zyklen müssen kürzer werden
Für Unternehmen im DACH-Raum verschiebt Astra vor allem die Zeitachse. Wenn KI-Systeme unbekannte Schwachstellen finden und selbstständig zu Angriffsketten verbinden können, verlieren lange Prüfungs- und Freigabeprozesse weiter an Sicherheit.
Patch-Management, Penetrationstests und Code-Audits müssen häufiger und stärker automatisiert erfolgen. Besonders relevant sind öffentlich erreichbare Web-Anwendungen, Browser-basierte Arbeitsplätze, Betriebssysteme sowie interne Dienste mit weitreichenden Berechtigungen.
Der proprietäre Zugang zu Astra schafft zugleich eine neue Anbieterabhängigkeit. Unternehmen können nicht davon ausgehen, dass fortgeschrittene Prüfwerkzeuge im bestehenden Abonnement automatisch enthalten sind. Kriterien, Preise und verfügbare Funktionen können vom Anbieter einseitig festgelegt werden.
Eigene Sicherheitsprozesse bleiben deshalb unverzichtbar. Dazu gehören reproduzierbare Tests, interne Angriffssimulationen, klar definierte Berechtigungen und Werkzeuge, die sich bei Bedarf lokal oder in einer kontrollierten Cloud betreiben lassen. Ein vergleichbar leistungsfähiges frei verfügbares Modell ist durch die Astra-Ankündigung allerdings nicht belegt.