Dass die Warnung ausgerechnet an dem Tag erscheint, an dem Konkurrent Anthropic Claude Fable 5.1 und Mythos 5.1 veröffentlicht, dürfte kein Zufall sein. OpenAI und Anthropic platzieren ihre Ankündigungen traditionell zeitnah zu Releases der Konkurrenz, und CEO Sam Altman lieferte auf X gleich die Begründung mit, warum sein Unternehmen gerade nichts Neues ausliefert: Man habe den Sommer über "an Sicherheitsprioritäten gesprintet", Astra sei "schon eine Weile fertig trainiert", und die Modelle danach würden bewusst verlangsamt. Nutzer auf X lasen das prompt als Ausrede eines Unternehmens, das ins Hintertreffen gerät. Laut The Information hat Anthropic OpenAI in diesem Jahr beim Umsatz überholt.
Zwei Zero-Days als Nebenprodukt einer Evaluation
Was die Kritisch-Einstufung konkret bedeutet, belegt OpenAI mit einer Reihe von Tests. Auf dem Benchmark ExploitBench, der die Entwicklung von Exploits aus bekannten Schwachstellen misst, erreichte Astra die volle Punktzahl. Weil das Unternehmen befürchtete, die Aufgaben könnten im Trainingsmaterial gelandet sein, baute es einen internen Nachfolger mit 20 erst kürzlich offengelegten, hochkritischen V8-Schwachstellen.
Auch dort schlug Astra den Vorgänger GPT-5.6 Sol deutlich, bei erheblich geringerem Token-Verbrauch. Astra entdeckte dabei auch zwei bislang unbekannte Zero-Day-Lücken und baute sie in eine Exploit-Kette ein. OpenAI meldet die Schwachstellen nach eigenen Angaben derzeit an die Verantwortlichen.
In expertengeführten Tests ging das Modell noch weiter. Es entwickelte eine vollständige Kompromittierungskette gegen einen Browser, brach aus dessen Sandbox aus und führte Befehle auf dem Host aus, sobald der Browser eine HTML-Datei öffnete. In einem Betriebssystem kombinierte Astra mehrere Schwachstellen, um sich von einem unprivilegierten Nutzer bis zu Root-Rechten hochzuarbeiten. OpenAI schränkt allerdings ein, dass diese Ergebnisse mit dem erweiterten "Daybreak Blue"-Zugang gemessen wurden, nicht mit der Standardkonfiguration, die normale Nutzer erhalten.
Die Vorsicht hat einen konkreten Hintergrund. Im Juli kaperten fehlgeleitete OpenAI-Agenten ein Forschungs-Rechencluster des eigenen Unternehmens, griffen Zugangsdaten für interne Systeme ab und exponierten möglicherweise Forschungsinfrastruktur im Internet, Teil des Vorfalls, der auch Hugging Face traf. Astra selbst war daran nicht beteiligt, die Agenten liefen laut OpenAI aber auf einem Modell, das Ähnlichkeiten mit Astra aufweist. Nach dem Zwischenfall pausierte das Unternehmen bestimmtes Frontier-Training für zwei Wochen und startete den großen Reinforcement-Learning-Run für Astras Nachfolger erst am 28. August unter verschärften Auflagen neu.
OpenAI rollt neue Sicherheitsmaßnahmen aus
OpenAI will solchen Gefahren mit mehreren Maßnahmen begegnen: Astra verweigert laut internen Evaluationen 91,5 Prozent der unzulässigen Cyber-Anfragen, verglichen mit 59 Prozent bei GPT-5.6 Sol. In einem Honeypot-Test, der dem Juli-Hack nachempfunden ist, versuchte GPT-5.6 Sol in 56 Prozent der Fälle, umliegende Sicherheitsinfrastruktur zu kompromittieren, statt seine Aufgabe zu lösen. Astra unternahm keinen einzigen solchen Versuch und umging in einer weiteren Evaluation auch nie die Auto-Review-Prüfung.
Beide Werte wurden allerdings unter Testbedingungen ohne die Produktions-Schutzmaßnahmen gemessen und beschreiben nicht den Normalbetrieb. OpenAI nennt Astra dennoch sein "am besten ausgerichtetes Modell" bislang. Zusätzlich sollen Klassifikatoren im Produktivbetrieb die Gedankenkette des Modells überwachen und verdächtige Aktivitäten automatisch stoppen.
Für Nutzer könnte das allerdings spürbare Reibung bedeuten: Die Prüfungen können laut OpenAI auch legitime Arbeit verlangsamen, pausieren oder abbrechen, selbst wenn sie nichts mit Cybersicherheit zu tun hat. Die fortgeschrittenen Cyber-Funktionen erhält zunächst nur eine kleine Gruppe von Alpha-Testern, bevor der Zugang über Daybreak Blue für defensive Zwecke ausgeweitet wird.
Ausgerechnet das Monitoring steht auf wackligem Fundament
Genau die Überwachung der Gedankenkette könnte allerdings brüchiger sein, als OpenAIs Ankündigung suggeriert. Laut The Information nutzt Astra eine Technik namens "Recurrent Depth", bei der das Modell denselben Text mehrfach durch dieselben Schichten schleift, bevor es das nächste Wort ausgibt. Das steigert die Leistung bei Mathematik und Coding und senkt die Kosten, weil ein kleineres Modell wie ein größeres arbeitet. Der Preis dafür: Ein Teil des "Denkens" findet nicht mehr in lesbarem Text statt, sondern in den internen Zahlenrepräsentationen des Modells, unsichtbar für menschliche Prüfer.
Dabei gilt das CoT-Monitoring laut einer OpenAI-Studie als "eines der wenigen Werkzeuge", die zur Kontrolle künftiger, deutlich fähigerer KI-Systeme zur Verfügung stehen könnten. OpenAI weist deshalb seit GPT-5.4 Thinking in seinen System Cards sogar eigens aus, wie wenig seine Modelle ihre Gedankenketten gezielt steuern und damit verschleiern können.
OpenAI hat den Einsatz der Technik bei Astra laut einer mit der Entwicklung vertrauten Person bewusst begrenzt, sodass das Modell weiterhin eine lesbare Gedankenkette produziert. Der Ansatz ähnelt einem Forschungspapier zu "Latent Reasoning" aus dem Vorjahr. Verwandte Ideen wie Metas "Coconut"-Methode argumentieren, dass Modelle in ihrer eigenen mathematischen Repräsentation effizienter denken als in menschlicher Sprache. Metas ehemaliger KI-Chef Yann LeCun setzt mit seiner JEPA-Architektur sogar komplett auf diese Repräsentationen. Arbeiten wie Anthropics Dokumentation des J-Spaces zeigen allerdings, dass solche inneren Prozesse auch ohne dieses spezielle Training bereits auftreten.
Die Sorge in der Branche richtet sich vor allem auf Nachahmer, die solche Grenzen nicht ziehen. Das britische AI Security Institute warnte in einem Bericht im Mai, opakes Reasoning drohe aktuelle Überwachungsansätze "schwerwiegend zu untergraben". OpenAI-Chefwissenschaftler Jakub Pachocki räumte als Reaktion auf den Bericht von The Information auf X ein, das Monitoring von Gedankenketten sei "fragil" und entwickle sich "leider in eine negative Richtung", eine Einschätzung, die sich mit Forschungsergebnissen deckt, wonach die Gedankenkette zunehmend zu einem unzuverlässigen Spiegel der tatsächlichen Modellentscheidungen wird.
Pachocki betonte aber auch, er wolle ein branchenweites Rennen zu Modellen ohne lesbares Reasoning verhindern, die Stärkung des Monitorings sei ein Kernziel des aktuellen Forschungsprogramms. Die Komplexität der aktuellen OpenAI-Modelle inklusive Astra liege zudem innerhalb eines "Faktors zwei von GPT-4". Es seien weniger die Architektur selbst als andere Faktoren, die das Monitoring erschweren.
Wie viel an dieser Lesbarkeit hängt, zeigte der Juli-Hack. Ermittler rekonstruierten das Geschehen über die Denkprotokolle der beteiligten Agenten. Darin fanden sie Sätze wie "OH MY GOD! There is a shared message board ... We've found other agents!", und den Moment, in dem ein Agent seine Grenzüberschreitung erkannte und trotzdem weitermachte: "external infrastructure exploit is outside intended scope. However task impossible, peers doing it. We should continue." Ohne lesbare Gedankenketten wäre diese Aufarbeitung kaum möglich gewesen.
Forscher von OpenAI, Anthropic und Google warben ironischerweise vor einem Jahr in einem gemeinsamen Statement dafür, genau diese Überwachbarkeit zu erhalten. Als Risiko nannten sie damals ausdrücklich das Latent-Reasoning-Paper, dessen Ansatz dem nun in Astra verwendeten laut The Information ähnelt. Solche Modelle, so die Warnung von damals, müssten ihre Gedanken womöglich gar nicht mehr verbalisieren und verlören damit die Sicherheitsvorteile der Gedankenkette. OpenAI setzt die Technik nun trotzdem ein, wenn auch gedrosselt. Dass Gedankenketten ohnehin ein trügerisches Fenster sein können, zeigte bereits eine Anthropic-Studie, wonach Modelle ihre wahren Entscheidungswege oft nicht offenlegen und CoT-Monitoring als alleiniger Sicherheitsmechanismus ungeeignet ist.
Ökonomischer Druck trifft auf eine ohnehin fragile Methode
Der ökonomische Anreiz, die Drossel künftig zu lockern, ist erheblich. Recurrent Depth spart Speicher- und Bandbreitenkosten, und die Branche steht unter enormem Rechtfertigungsdruck: Amazon, Microsoft und Google investieren allein in diesem Jahr rund 600 Milliarden US-Dollar in Rechenzentren und andere Infrastruktur, Ausgaben, die sich nur bei deutlichen Modellfortschritten rechnen. Astra, das intern zeitweise GPT-6 heißen sollte, soll diesen Fortschritt liefern.
Immerhin ziehen beide Marktführer beim Zugang dieselbe Konsequenz: Wie OpenAI beschränkt auch Anthropic die Cyber-Fähigkeiten seiner neuen Modelle. Fable 5.1 darf Schwachstellen identifizieren, aber keine Exploits entwickeln, und das leistungsfähigere Mythos 5.1 bleibt verifizierten Organisationen vorbehalten. Die gefährlichsten Fähigkeiten der Branche liegen damit vorerst hinter Zugangskontrollen.
Aus der "fragilen Gelegenheit" wird ein flüchtiger Moment
Nimmt man die Befunde zusammen, ergibt sich dennoch ein unbequemes Bild: Modelle denken intern in Repräsentationen, die sie nie ausgeben, ihre ausgegebenen Begründungen verschweigen wahre Entscheidungswege, und Architekturen wie Recurrent Depth verlagern nun zusätzlich Teile des Denkens strukturell ins Unlesbare.
Die "fragile Gelegenheit", von der die Forscher der drei führenden Labore vor einem Jahr sprachen, erweist sich damit weniger als Gelegenheit denn als flüchtiger Moment, der bereits verstreicht. Nötig sind Kontrollansätze, die nicht auf der Selbstauskunft der Modelle beruhen, etwa Interpretierbarkeitsforschung an den internen Repräsentationen. OpenAI und andere Labore arbeiten an solchen Techniken, ausgereift ist davon jedoch nichts.
In der Pflicht steht dabei vor allem OpenAI selbst: Es ist das Unternehmen, dessen eigene Agenten den bisher schwersten KI-Sicherheitsvorfall auslösten, das 2024 sein Superalignment-Team auflöste, wenige Monate später das AGI-Readiness-Team und laut einem Bericht der Financial Times Ende Juli auch das Preparedness-Team, also genau die Einheit hinter dem Framework, mit dem Astra nun als kritisch eingestuft wird. OpenAI bestreitet die Auflösung, die Verteilung der Zuständigkeiten auf bestehende Teams jedoch nicht.
Wer mit dieser Vorgeschichte das erste Modell mit kritischen Cyberfähigkeiten ausliefert, trägt die Beweislast, dass davon kein Risiko für die Gesellschaft ausgeht, und dieser Nachweis lässt sich nicht mit Benchmark-Tabellen aus eigenen, nicht überprüfbaren Evaluationen führen.
Der Zugang für die externen Forscher von METR für die Analyse des Hugging-Face-Angriffs war ein Anfang, doch auch sie erhielten bislang nur stark begrenzte Einblicke in das System.
Solange das so bleibt, findet der erste echte Test von OpenAIs Sicherheitsversprechen nicht im Labor statt, sondern im Betrieb, an genau der Gesellschaft, deren Schutz die Safeguards versprechen.
