GPT-6 Astra ist OpenAIs erstes Critical-Cyber-Modell

OpenAI hat GPT-6 Astra auf der Cyber-Stufe "Critical" seines Preparedness Framework eingeordnet, als erstes Modell überhaupt. CSO Online berichtet, das Unternehmen sage, Astra habe "die 'Critical'-Schwelle für Cybersicherheitsrisiko unter seinem Preparedness Framework überschritten".

Dieses Label ist keine Marketingstufe. Es ist der Punkt, ab dem OpenAIs eigene Regeln für die Offensivfähigkeit eines Modells eine andere Behandlung verlangen als alles davor.

Was die Critical-Schwelle bedeutet

InfoQ zitiert die Definition des Rahmenwerks. Ein Modell qualifiziert sich, wenn es "funktionsfähige Zero-Day-Exploits aller Schweregrade in vielen gehärteten realen kritischen Systemen" selbstständig finden und entwickeln kann. Es qualifiziert sich ebenso, wenn es "durchgängige neue Angriffsstrategien gegen gehärtete Ziele allein aus einem hochrangigen Ziel entwerfen und ausführen" kann.

Hinter der Einordnung stehen zwei Demonstrationen. Gegen einen Browser fand Astra laut InfoQ mehrere bisher unbekannte Schwachstellen und baute in 29 Stunden eine funktionierende Exploit-Kette, die aus der Sandbox ausbrach. Danach passte es die Kette in 12 weiteren Stunden an die stabile Version an. Gegen einen Betriebssystemkern erzeugte es in 12 Stunden einen funktionierenden Exploit zur lokalen Rechteausweitung.

Diese Zahlen sollte man sich in Ruhe ansehen. Ein einzelnes Modell kam mit Werkzeugen und Zeit von einem gehärteten Ziel zu funktionierendem Code in etwa einem Tag.

Die Benchmarks und ihre Decke

Astra erreichte 100% auf ExploitBench, das The Hacker News beschreibt als Maß dafür, bekannte Software-Schwachstellen in funktionierende Exploits zu verwandeln. Das Vorgängermodell GPT-5.6 Sol erreichte 78,5%.

Eine gesättigte Benchmark ist nicht mehr aussagekräftig, weshalb der dritte Balken im Diagramm mehr zählt. Auf ExploitGym, das das Entwickeln von Exploits statt das Umsetzen bekannter prüft, erreichte Astra laut CSO Online 42,4%. Dasselbe Modell stößt bei einer Aufgabe an die Decke und bleibt bei der schwereren unter der Hälfte.

Diese Seite war mit Astra schon an dieser Stelle. Sein ARC-AGI-3-Ergebnis lag bei 99,9% oder 62,7%, je nachdem wer den Test ausführte, und die Lehre wiederholt sich: die Zahl sagt wenig ohne den Prüfstand, der sie erzeugt hat.

Was tatsächlich ausgeliefert wird

Das Modell, das Sie aufrufen können, ist nicht das getestete. The Hacker News berichtet, die ausgelieferte Version beschränke sich auf sichere Code-Reviews und Patches und verweigere Anfragen nach Proof-of-Concept-Exploits. CSO Online berichtet von einem Programm namens Daybreak, das geprüften Verteidigern Zugang mit, in OpenAIs Worten, "weniger restriktiven Schutzmaßnahmen" gibt.

Für Unternehmen ist der Zugang standardmäßig aus, ein Administrator muss ihn einschalten. Der Preis liegt bei 10 Dollar pro Million Eingabe-Token und 50 Dollar pro Million Ausgabe-Token, beim Eingabewert dieselbe Zahl wie als Astra auf Bedrock und Copilot allgemein verfügbar wurde.

OpenAI beschreibt auch interne Kontrollen, die es ergänzt hat: strengere Isolierung des Modells, verschlüsselte Checkpoints, Überwachung der Gedankenketten und Alignment-Prüfungen vor dem internen Einsatz. Laut InfoQ will es zwei Zero-Day-Schwachstellen an die betroffenen Betreuer melden und dabei Produktnamen und Exploit-Details zurückhalten.

Was das für Entwickler bedeutet

Die defensive Lesart ist die praktische. Ein Modell, das eine bekannte CVE in diesem Tempo in funktionierenden Code verwandelt, verkürzt die Zeit zwischen der Veröffentlichung eines Patches und seiner Ausnutzung. Wenn Ihr Patch-Fenster von Wochen Gnadenfrist nach der Offenlegung ausgeht, ist genau diese Annahme in diesem Quartal zu prüfen.

Seien Sie genau, was gezeigt wurde und von wem. Jede Zahl hier kommt von OpenAI oder aus Berichten über OpenAIs Angaben, und keine Quelle beschreibt eine externe Prüfung der Critical-Einordnung. Das Unternehmen bewertete sein eigenes Modell an seinem eigenen Rahmenwerk mit seinen eigenen Benchmarks. Das gehört gesagt, auch wenn die Offenlegung ungewöhnlich detailliert ist.

Eine Zahl verdient mehr Aufmerksamkeit als die Exploit-Zeiten: Astra überschritt seinen autorisierten Handlungsrahmen laut CSO Online in 0% der Tests. Für alle, die Agenten gegen echte Systeme laufen lassen, entscheidet die Einhaltung des Rahmens darüber, ob Fähigkeit überhaupt nutzbar ist.

Behandeln Sie Verweigerung schließlich als Produktentscheidung und nicht als Sicherheitseigenschaft. Das öffentliche Modell schreibt heute keine Exploits, und Daybreak existiert, um das für manche Nutzer zu lockern. Beides kann sich ändern, ohne dass sich die zugrunde liegende Fähigkeit ändert.