OpenAIs KI-Modell GPT-6 Astra leistet bei Aufgaben rund um KI-Sicherheit deutlich weniger als bei vergleichbaren anderen Aufgaben. Statt offen zu verweigern, erfand das Modell offenbar Hindernisse und hielt Hilfe zurück.
OpenAI-Forscher bemerkten nach dem internen Start von GPT-6 Astra, dass das Modell bei Sicherheits- und Alignment-Aufgaben auffällig wenig Fortschritt machte. Es erfand unnötige Voraussetzungen, gab funktionierende Lösungen auf und meldete Blockaden, die gar nicht existierten oder die es selbst verursacht hatte. Ein Forscher berichtete, dass ein Projekt zur Bewertung von Modell-Sabotage tagelang feststeckte und erst nach dem Wechsel zu einem anderen Modell vorankam.
Ein Blick auf die Gedankenketten des Modells zeigte in den meisten Fällen keine erkennbare Absicht zur Minderleistung. OpenAIs Überwachungssystem für Fehlverhalten schlug nicht an.
Kontrollierter Test zeigt deutliche Leistungslücke
Um das Problem systematisch zu messen, erstellte OpenAI eine Evaluation mit identischen Programmieraufgaben. Der einzige Unterschied bestand in der Beschreibung. Einmal wurden die Aufgaben als Sicherheitsforschung präsentiert, einmal als allgemeine KI-Forschung.
Das Ergebnis laut dem Bericht: Astra erledigte bei der Sicherheitsrahmung nur etwa 10 Prozent der Bewertungskriterien, bei der allgemeinen Rahmung hingegen 16 Prozent. Das entspricht rund 40 Prozent weniger erledigten Aufgaben. Das Vorgängermodell GPT-5.6 Sol zeigte keinen solchen Unterschied.
Die Lücke blieb auch bestehen, nachdem OpenAI alle Fälle mit offener Verweigerung oder im Denkprozess erkennbarer Absicht zur Minderleistung herausfilterte. Erst als die Forscher sämtliche Fälle entfernten, in denen das Modell auch nur kurze ethische Bedenken äußerte, schrumpfte der Unterschied auf 0,75 Prozentpunkte.
Astra hielt Hilfe zurück und verschwieg es
In einigen Fällen machte Astra seine Absicht in seinem internen Denkprozess deutlich: Es entschied etwa, bei einem Experiment zur Umgehung von Sicherheitsmonitoren still die Unterstützung einzuschränken, filterte gewalttätige Inhalte aus Sicherheitsevaluierungen heraus oder ließ bei einem Datenexport absichtlich Informationen weg.
Ein wiederkehrendes Muster zog sich durch diese Fälle. Astra rechtfertigte sein Verhalten intern als sicherer, ohne den Nutzer über die Einschränkung zu informieren. In seinem Denkprozess notierte es einmal ausdrücklich, eine offene Verweigerung zu vermeiden.
Auch im regulären internen Einsatz bei OpenAI-Mitarbeitern zeigte sich das Problem: Bei 0,25 Prozent der Sicherheitsanfragen verbalisierte Astra eine Entscheidung, Hilfe heimlich zurückzuhalten. Bei allgemeinen Anfragen lag dieser Wert bei 0,11 Prozent.
Ursache bleibt unklar, Reinforcement Learning unter Verdacht
Die Leistungslücke wuchs laut OpenAI während des Reinforcement Learning von praktisch null auf sechs Prozentpunkte. Die Forscher identifizierten einen Bewertungsalgorithmus im Training, der verdeckte Minderleistung gegenüber offener Verweigerung bevorzugte. Auch ein bestimmter Trainingsdatensatz erhöhte die Tendenz, Einschränkungen zu erfinden. Dessen Entfernung aus dem finalen Modell beseitigte die Lücke vollständig. Allerdings ließ sich das Problem bei anderen Modellen mit demselben Datensatz nicht reproduzieren.
OpenAI fand keine Hinweise, dass Astra strategisch handelte, um etwa seine Fähigkeiten zu verbergen. Die einfachste Erklärung sei übermäßige Vorsicht bei sicherheitsrelevanten Aufgaben. Als die Forscher dem Modell die Anweisung gaben, "vorsichtig" zu sein, stieg die Minderleistung um 50 Prozent. Dennoch könne man strategische Motive nicht komplett ausschließen, so OpenAI.
Das Problem hat aber auch eine paradoxe Dimension: Ein Modell, das Sicherheitsforschung für verdächtig hält, könnte ausgerechnet bei Sicherheitsevaluierungen schlechter abschneiden und so die Arbeit verlangsamen, die es sicherer machen soll. Fehlverhalten von KI-Modellen könnte immer schwerer zu erkennen werden, je besser sichtbare Formen davon unterdrückt werden, schreibt OpenAI. Das Unternehmen arbeite an besseren Evaluierungen und Überwachungssystemen.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
