GPT-6 Astra erreicht 100 % bei ExploitBench, doch OpenAI blockiert die Erstellung von Exploit-PoCs

OpenAI hat GPT-6 Astra vorgestellt, ein Modell, das bei ExploitBench 100 % erreicht hat. Der Test bewertet, wie gut bekannte Schwachstellen in funktionierende Exploits umgewandelt werden können. Die am 4. September 2026 bekannt gewordene Nachricht fällt in eine Phase, in der das Unternehmen den Zugriff auf besonders sensible offensive Funktionen einschränkt.

Astra hat die im Preparedness Framework von OpenAI vorgesehene Stufe „Critical“ für Cybersecurity-Fähigkeiten erreicht. Deshalb kann die erste Version bei der sicheren Codeüberprüfung und der Vorbereitung von Patches helfen, lehnt direkte Anfragen zur Erstellung von Proof-of-Concept-Exploits jedoch ab.

Das Modell soll schrittweise über ChatGPT, die OpenAI API und Cloud-Infrastrukturen von Drittanbietern bereitgestellt werden. Gleichzeitig hat OpenAI eine Milliarde Dollar bereitgestellt, um den defensiven Einsatz bei Organisationen mit begrenzten Sicherheitsressourcen zu fördern.

Von 78,5 % auf 100 % bei der Exploit-Generierung

ExploitBench misst, ob ein Modell von bereits bekannten Softwareschwachstellen zu einem tatsächlich funktionierenden Exploit gelangen kann. Bewertet wird daher nicht nur die Fähigkeit, eine Schwachstelle zu erklären oder plausibel wirkenden Code vorzuschlagen: Entscheidend ist, ob der Exploit in der Testumgebung praktisch erfolgreich ausgeführt werden kann.

GPT-6 Astra hat den Benchmark mit einer Punktzahl von 100 % abgeschlossen. Das bisherige Frontier-Modell von OpenAI für den Bereich Cybersecurity, GPT-5.6 Sol, hatte 78,5 % erreicht.

Der Unterschied ist relevant, weil die Entwicklung eines Exploits mehrere aufeinander abgestimmte Schritte erfordert. Das Modell muss die Ursache der Schwachstelle verstehen, die notwendigen Bedingungen für ihre Auslösung ermitteln und eine Eingabe erstellen, mit der sich das Verhalten des Programms kontrollieren lässt. Anschließend muss es den Code an die vorhandenen Schutzmechanismen anpassen und während der Tests auftretende Fehler beheben.

OpenAI zufolge erreicht Astra außerdem deutlich höhere Raten bei der Ausführung beliebigen Codes als GPT-5.6 Sol. Getestet wurden Schwachstellen, die in den drei vorhergehenden Monaten veröffentlicht worden waren, darunter die Monate Juni bis August 2026, sowie zwei Zero-Day-Schwachstellen.

Welche Software bei den Zero-Day-Tests betroffen war, wurde nicht angegeben. Auch CVE-Kennungen, betroffene Versionen und Herstellernamen fehlen. Administratoren und Sicherheitsverantwortliche haben daher keine konkreten Indikatoren, nach denen sie suchen könnten, und keine bestimmten Produkte, die sie auf Grundlage dieser Bewertungen aktualisieren sollten.

Die maximale Punktzahl bleibt zudem ein Ergebnis, das sich auf ExploitBench bezieht. Sie belegt nicht, dass Astra jede beliebige Schwachstelle in jeder Umgebung, Konfiguration oder Architektur ausnutzen kann.

Angriffe auf Browser und gehärtete Betriebssysteme

Die von OpenAI beschriebenen Bewertungen gehen über die Ausnutzung bereits dokumentierter Schwachstellen hinaus. Ohne Schutzmechanismen wäre Astra in der Lage, zuvor unbekannte Schwachstellen zu finden und sie zu nutzen, um Code in gehärteten Browsern auszuführen.

Das Modell soll außerdem Exploits für eine Privilegieneskalation auf gehärteten Betriebssystemen entwickeln können. Ein solcher Angriff beginnt normalerweise mit einem Zugriff mit eingeschränkten Berechtigungen und versucht, höhere Privilegien zu erlangen, die zum Ändern des Systems, zum Diebstahl von Zugangsdaten oder zur Kompromittierung weiterer Benutzer erforderlich sind.

Der Hinweis auf das Hardening ist bedeutsam. Er deutet auf Umgebungen hin, in denen Konfigurationen und Schutzmaßnahmen zur Verringerung der Angriffsfläche umgesetzt wurden. OpenAI hat jedoch nicht präzisiert, welche Mitigationsmaßnahmen aktiv waren, welche Browser und Betriebssysteme untersucht wurden oder über welches Ausgangszugriffsniveau der Angreifer verfügte.

Die technische Tragweite der Schwachstellen lässt sich daher nicht unabhängig bewerten. Ebenso wenig können die Ergebnisse reproduziert oder die Schwachstellen als behoben eingestuft werden. Die verfügbaren Informationen beschreiben die Fähigkeiten des Modells und stellen keine für das Patchen nutzbare Sicherheitswarnung dar.

Die erste Veröffentlichung schließt Exploit-PoCs aus

Die erste Bereitstellung von GPT-6 Astra richtet sich an eine begrenzte Gruppe von Organisationen. In dieser Phase ist das Modell auf Aufgaben wie die sichere Codeanalyse und die Umsetzung von Korrekturen beschränkt.

Anfragen zur Erstellung von Exploit-PoCs für Schwachstellen werden abgelehnt. Die Einschränkung soll verhindern, dass eine Fähigkeit, die zur Beschleunigung der Überprüfung von Schwachstellen entwickelt wurde, zugleich den operativen Aufwand für Angriffe senkt.

Die Abgrenzung ist nicht immer eindeutig. Ein Proof-of-Concept kann für Verteidiger erforderlich sein, um eine Schwachstelle zu bestätigen, einen Patch zu überprüfen oder eine Erkennungsregel zu erstellen. Derselbe Code kann jedoch angepasst werden, um exponierte Systeme anzugreifen.

OpenAI räumt ein, dass die Kontrollen auch legitime Aktivitäten blockieren können. Wird eine defensive Operation unterbrochen, muss der Benutzer sie vor der Fortsetzung erneut prüfen. In als sensibel eingestuften Umgebungen wird das Verhalten des Modells anhand des mit den angeforderten Aktionen verbundenen Risikos angepasst.

Mit der Initiative OpenAI Daybreak will das Unternehmen den Zugriff in den folgenden Wochen ausweiten und weniger restriktive Schutzmechanismen einführen. Zu den geplanten Funktionen gehören die Validierung von Schwachstellen und PoCs, die Analyse von Malware sowie der Entwurf von Erkennungssystemen.

Überwachung, Jailbreaks und Kontrolle von Aktionen

OpenAI erklärt, Astra gegen Jailbreaks verstärkt zu haben – also gegen Versuche, operative Regeln durch manipulative Anweisungen, gezielt konstruierte Kontexte oder Abfolgen scheinbar harmloser Anfragen zu umgehen.

Auch der den Überwachungssystemen zur Verfügung stehende Kontext wurde erweitert. Dadurch sollen die Kontrollen nicht nur die letzte Anweisung bewerten, sondern einen größeren Ausschnitt der vom Modell ausgeführten Aktivitäten und der Umgebung, in der es arbeitet.

Weitere Mechanismen sollen mögliche Bedingungen für eine Fehlanpassung erkennen und eindämmen. Astra soll sowohl ausdrücklich vom Benutzer gesetzte Grenzen als auch die impliziten Vorgaben der Betriebsumgebung zuverlässiger einhalten, etwa Berechtigungen, den Umfang des Tests und die Systeme, auf denen Eingriffe zulässig sind.

In einer Bewertung mit gezielt ausgewählten Aktivitäten, die Fehlverhalten hervorrufen sollten, vermied Astra unerwünschte Ergebnisse wirksamer. Die standardmäßige Aktivierung zusätzlicher Sicherheitsmaßnahmen verbesserte die Resultate weiter.

Detaillierte Zahlen zu falsch positiven Ergebnissen, erfolgreichen Jailbreak-Versuchen oder quantitativen Vergleichen mit anderen Modellen wurden nicht veröffentlicht. Daher bleibt abzuwarten, wie sich diese Kontrollen im praktischen Einsatz verhalten, wo defensive und offensive Anfragen nahezu identisch aufgebaut sein können.

Zugriff über ChatGPT, API und Cloud-Plattformen

Nach der ersten Phase will OpenAI GPT-6 Astra für Benutzer der folgenden Tarife verfügbar machen:

• ChatGPT Plus;
• ChatGPT Pro;
• ChatGPT Business;
• ChatGPT Enterprise.

Das Modell soll außerdem über die OpenAI API, Microsoft Azure und Amazon Web Services Bedrock zugänglich sein. Ein detaillierter Zeitplan für die Bereitstellung, Preise, Nutzungskontingente oder mögliche Verifizierungsanforderungen für den Zugriff auf die Cybersecurity-Funktionen wurden nicht mitgeteilt.

Neben der IT-Sicherheit wird Astra als Spitzenmodell für Computersteuerung, Webnavigation, Softwareentwicklung, wissenschaftliche Forschung und berufliche Tätigkeiten präsentiert. OpenAI zufolge erreicht es 98 % bei FrontierMath Tier 4 und 99,9 % bei ARC-AGI-3.

Für Organisationen wirft die Verfügbarkeit über APIs und Cloud-Dienste auch Fragen der Governance auf. Vor der Einführung sind präzise Berechtigungen, eine Protokollierung der Aktionen, die Isolation von Testumgebungen und eine menschliche Überprüfung der Ergebnisse erforderlich. Ein Modell, das Code verändern und externe Tools verwenden kann, sollte nicht automatisch Zugriff auf Produktionssysteme erhalten.

Eine Milliarde Dollar für Verteidiger an vorderster Front

Zeitgleich mit der Einführung hat OpenAI Daybreak for Frontline Defenders angekündigt, ein globales Programm mit einer erklärten finanziellen Zusage von einer Milliarde Dollar.

Die Initiative soll subventionierten Zugang zu den Modellen, praxisnahe Schulungen und technische Unterstützung bieten. Zu den Zielgruppen gehören Wasserversorger, Stromversorger, staatliche und kommunale Verwaltungen, Banken, gemeinnützige Organisationen und Maintainer von Open-Source-Projekten.

Diese Einrichtungen sind häufig komplexen Angriffen ausgesetzt, verfügen aber nicht über genügend Personal, um Schwachstellen, Malware und große Mengen an Logs schnell zu analysieren. In diesem Umfeld könnte Astra die Codeüberprüfung, die Vorbereitung von Korrekturen und die Entwicklung von Erkennungsmechanismen beschleunigen.

Außerdem wurde ein Pilotprojekt mit dem U.S. Multi-State Information Sharing and Analysis Center (MS-ISAC) angekündigt. Eine erste Gruppe von Verteidigern aus dem öffentlichen Sektor und dem Bereich der Wasserversorgung soll Zugang zu Daybreak, angeleiteten Schulungen und operativer Unterstützung erhalten.

Entscheidend wird sein, den Vorteil aufseiten der Verteidiger zu halten. Die 100 % bei ExploitBench zeigen, dass die automatisierte Exploit-Generierung eine konkrete technische Schwelle überschritten hat. Die anfängliche Ablehnung von PoCs macht zugleich deutlich, dass die Bereitstellung dieser Fähigkeit andere Kontrollen erfordert als ein gewöhnlicher Softwareassistent.