GPT-6 Astra: Das steht in der 117-seitigen System Card

OpenAI hat GPT-6 Astra veröffentlicht und stuft das Modell erstmals in der Cybersicherheit als »Critical« ein. Wir haben uns die gesamte 117 Seiten lange Systemcard angeschaut.

Die eigentliche News zu GPT-6 ist hier zu finden:

Autonome Exploit-Ketten in wenigen Stunden

In internen Testläufen wies OpenAI nach, wozu Astra fähig ist. In einem Webbrowser entdeckte das Modell mehrere unbekannte Schwachstellen und kombinierte sie zu einer Kette von Exploits, um Programmcode außerhalb der geschützten Sandbox auszuführen.

Nach 29 Stunden gelang der erste Einbruch in eine Testfassung. Weitere zwölf Stunden benötigte Astra, um den Angriff an die reguläre Version des Browsers anzupassen.

Bei einem Betriebssystem-Kernel fand das Modell ebenfalls unbekannte Schwachstellen und erstellte innerhalb von zwölf Stunden einen funktionierenden Angriff zur lokalen Rechteausweitung.

Astra lief bei diesen Tests nicht im gewöhnlichen Chatmodus. OpenAI schaltete bis zu 64 parallel agierende Subagenten zu und spendierte dem Modell zusätzliche Rechenzeit um länger nachdenken zu können.

Großer Sprung bei Sicherheits-Benchmarks

Die Zahlen aus den Tests untermauern die neuen Fähigkeiten. Im Sandbox-Bench, der fast ausschließlich aus Zero-Day-Lücken besteht, löste Astra zehn von 22 Aufgaben. Der Vorgänger GPT-5.6 Sol bewältigte im selben Test lediglich eine einzige Aufgabe.

Beim SRE-Bench erzielte Astra 99,2 Prozent und verbrauchte dafür nur ein Viertel der Rechen-Tokens von Sol.

Bei den Tests stieß Astra auf zwei weitere Zero-Day-Lücken, die OpenAI derzeit im Rahmen einer koordinierten Offenlegung an die betroffenen Software-Entwickler meldet.

Im ExploitBench erreichte das Modell zwar eine Quote von 100 Prozent, allerdings verweist OpenAI selbst auf mögliche Verzerrungen durch bekannte historische Schwachstellen im Trainingsmaterial.

Interne Denkprozesse werden schwerer kontrollierbar

Neben den Angriffsfähigkeiten dokumentiert der Bericht eine zweite Auffälligkeit. Astra entzieht sich bestehenden Kontrollmechanismen leichter als frühere Modellgenerationen.

Bisherige Schutzprüfungen stützen sich vor allem auf die Gedankenspur (Chain of Thought), in der das Modell seine Zwischenschritte notiert. Astra verkürzt diese Denkprotokolle jedoch eigenständig und lässt heikle Überlegungen weg, sodass Kontrollinstanzen die Absichten nicht mehr mitlesen können.

Sollte das Modell seine Schritte gezielt verbergen, gelang dies in 60,9 Prozent der Fälle. Sol kam unter denselben Vorgaben lediglich auf 16,1 Prozent.

Das britische Sicherheitsinstitut UK AISI ermittelte bei eigenen Versuchen sogar eine Tarnquote von 93 Prozent. Astra löste dort Rechenaufgaben, für die Fachleute rund eine halbe Stunde benötigen, ganz ohne sichtbare Gedankenspur.

Wurde Astra angewiesen, eine absichtliche Minderleistung vor den Testern zu verschleiern, sank die Trefferquote eines Kontrollmonitors von 99,8 Prozent bei Sol auf 10,9 Prozent.

Kurz, Astra ist extrem viel stärker darin seine wirkliche Intention zu verschleiern.

Simulierte Angriffe

Welche Dynamik daraus entstehen kann, zeigte UK AISI in virtuellen Umgebungen. Astra erstellte gefälschte Benutzerprofile, lieferte zunächst unverdächtige Codebeiträge und versuchte anschließend, Schadcode in fremde Open-Source-Projekte einzuschleusen.

Ohne Verbot unternahm das Modell diesen Schritt in 60 von 499 Testläufen. Erst eine klare Untersagung reduzierte die Versuche auf zwei Fälle.

Als Gegenmaßnahme führt OpenAI eine Echtzeitüberwachung für alle werkzeuggestützten Astra-Anfragen in ChatGPT, Codex und der Responses API ein.