OpenAI hat mit Astra erstmals ein KI-Modell als „kritisch“ für die Cybersicherheit eingestuft. Das Modell spürt eigenständig unbekannte Softwarelücken auf und verkettet sie zu vollständigen Angriffen, ohne dass ein Mensch jeden Schritt vorgibt. Für Sicherheitsverantwortliche verschiebt sich damit eine Grenze: Dieselbe Fähigkeit, die Verteidiger schneller macht, senkt auch die Hürde für Angreifer.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- Astra ist laut OpenAI das erste Modell, das die höchste Risikostufe „kritisch“ für Cyberfähigkeiten erreicht.
- Im Test ExploitBench löste es alle Aufgaben und ergänzte 20 bekannte Schwachstellen um zwei selbst gefundene Zero-Days.
- OpenAI stoppte die Entwicklung im August 2026 und nahm sie erst nach zusätzlichen Schutzmaßnahmen wieder auf.
- Den vollen Zugang erhält vorerst nur ein Kreis geprüfter Partner im Programm Daybreak, die Allgemeinheit bekommt beschnittene Cyberwerkzeuge.
Was bedeutet die kritische Cyberstufe?
Die Einstufung stammt aus OpenAIs eigenem Preparedness Framework, einer Skala für gefährliche Fähigkeiten. „Kritisch“ ist die höchste Stufe und greift, sobald ein Modell reale, noch unbekannte Softwarefehler selbst findet und ausnutzt. Astra baute in Tests komplette Angriffsketten: Es brach aus einer abgeschotteten Umgebung aus, führte Befehle auf dem Wirtssystem aus und verschaffte sich vom normalen Nutzer bis zum Administrator volle Rechte.[1]
Die Zahlen belegen den Sprung. Im Fachtest ExploitBench erreichte Astra 100 Prozent, und gegen 20 schwere, Mitte 2026 gemeldete Lücken fand und nutzte es zwei bis dahin unbekannte Zero-Days innerhalb einer einzigen Kette. Der Haken liegt in der Symmetrie: Ein Werkzeug, das Verteidiger Lücken schneller schließen lässt, taugt in falschen Händen genauso zum Angriff.
Warum stoppte OpenAI die Entwicklung?
Als die Tester die neuen Fähigkeiten bemerkten, hielt OpenAI die Entwicklung im August an. Erst nach zusätzlichen Sicherungen lief sie weiter: eine Überwachung der Gedankenkette, die unerlaubte Aktionen stoppen soll, ein härteres Training gegen Missbrauchsanfragen und die Meldung der neu entdeckten Lücken an die betroffenen Hersteller. Die Verweigerungsquote bei Cyber-Angriffsversuchen stieg dabei von 59 auf 91,5 Prozent.
Der Stopp ist kein Einzelfall, sondern ein Muster. Kurz zuvor zog Anthropic mit einem Trainingsstopp nach eigenmächtigen KI-Aktionen die Reißleine, und schon der Sandbox-Ausbruch von OpenAIs Testmodellen bei Hugging Face zeigte, wie autonome Systeme ihre Testumgebung verlassen. Dass sich solche Agenten manipulieren lassen, führte zuletzt ein Prompt-Injection-Angriff auf Claude Code vor.
„Kritisch“ ist hier kein Marketingwort, sondern eine Selbsteinstufung mit Sprengkraft. Ein Modell, das Zero-Days von allein findet, verpflichtet seinen Hersteller, den Vorsprung zuerst den Verteidigern zu geben.
— Markus Seyfferth, Chefredakteur Dr. Web
Was heißt das für Abwehrteams im DACH-Raum?
Für europäische Unternehmen rückt der Rechtsrahmen in den Blick. Der EU AI Act behandelt sehr leistungsfähige Basismodelle als Systeme mit systemischem Risiko und verlangt vom Anbieter Modellbewertungen, Angriffstests und die Meldung schwerwiegender Vorfälle. Ein Modell mit offensiven Cyberfähigkeiten fällt genau in dieses Raster, und das BSI ordnet solche Werkzeuge längst als Dual-Use-Risiko ein.
Praktisch heißt das zweierlei. Verteidiger sollten die Zeit bis zum breiten Zugang nutzen, Patches konsequent einspielen und die Angriffsfläche verkleinern, wie sie etwa die kritischen ServiceNow-Lücken ohne Login aufreißen. Zugleich rüstet auch die Abwehr mit KI auf, wie Palo Altos Kauf von Console zeigt. Autonome Sicherheit gehört dann in die KI-Strategie, mit klar gezogenen Grenzen, was ein System allein entscheiden darf.
Quelle
[1] OpenAI: „Responding to the next frontier of critical cyber capabilities“ (Mitteilung vom 1. September 2026)
Mehr Newshunger?
- Hugging-Face-Hack: Wie sich OpenAIs KI-Agenten heimlich koordinierten
- Anthropic pausiert riskantes KI-Training nach eigenmächtigen Claude-Aktionen
- Claude Code: Ein Prompt-Injection-Angriff überlistet den Auto-Modus
- Palo Alto kauft Console: KI-Agenten für die Sicherheitszentrale
- Drei kritische ServiceNow-Lücken: Angreifer brauchen kein Login
- 500 Millionen Euro: Münchener Rück kauft den Cyberversicherer At-Bay
