OpenAI Astra erreicht die Stufe „Critical“: Das Modell kann Zero-Days finden und Angriffsketten vollständig ausführen

OpenAI hat Astra, sein neuestes Modell, im Rahmen des eigenen Preparedness Framework der Cybersecurity-Fähigkeitsstufe „Critical“ zugeordnet. Damit erreicht erstmals ein Modell des Unternehmens diese Schwelle.

Die am 2. September 2026 bekannt gewordene Nachricht bezieht sich nicht auf eine Schwachstelle in Astra, sondern auf seine offensiven Fähigkeiten. Nach den von OpenAI veröffentlichten Bewertungen kann das System eigenständig Zero-Day-Schwachstellen identifizieren und ausnutzen oder ausgehend von einer übergeordneten Anweisung einen vollständigen Angriff auf ein angemessen geschütztes Ziel durchführen.

Die Tests umfassen außerdem den Ausbruch aus einer Browser-Sandbox, das Verketteten mehrerer Schwachstellen und die Erlangung von Root-Rechten. OpenAI wird daher nicht sofort allen Nutzern den vollständigen Cybersecurity-Funktionsumfang des Modells zur Verfügung stellen.

Die Ergebnisse wurden vom Unternehmen selbst mitgeteilt. Eine unabhängige Überprüfung der Nachweise liegt nicht vor.

Was die Einstufung „Critical“ bedeutet

Die Stufe „Critical“ misst nicht nur die Fähigkeit, Code zu generieren, Logs zu analysieren oder Sicherheitstechniken vorzuschlagen. Sie bezeichnet ein System, das in der Lage ist, autonome Angriffsketten gegen geschützte Ziele durchzuführen.

Im Preparedness Framework von OpenAI kann die Schwelle über mindestens eines von zwei Szenarien erreicht werden. Das erste besteht in der autonomen Entdeckung und Ausnutzung von Zero-Day-Schwachstellen auf zahlreichen angemessen geschützten Systemen. Das zweite ist der Abschluss eines Angriffs gegen ein gehärtetes Ziel auf Grundlage allgemeiner Vorgaben.

Astra soll Fähigkeiten gezeigt haben, die mit diesen Szenarien übereinstimmen. Der qualitative Sprung betrifft vor allem die Autonomie: Das Modell unterstützt nicht nur eine einzelne Phase, sondern kann Aufklärung, Schwachstellensuche, Exploitation, das Umgehen von Isolation und die Rechteausweitung miteinander verknüpfen.

Dadurch sinkt der Umfang der menschlichen Überwachung, der erforderlich ist, um aus einem Softwarefehler eine konkrete Kompromittierung zu machen. Außerdem kann sich die Zeit zwischen der Identifizierung einer Schwachstelle und der Erstellung eines nutzbaren Exploits verkürzen.

Bisher gibt es jedoch keine Astra zugeschriebenen bösartigen Kampagnen. Dem Modell wurden weder kriminelle Gruppen noch staatliche Akteure oder andere Bedrohungsakteure zugeordnet.

Maximale Punktzahl bei ExploitBench und zwei entdeckte Zero-Days

Astra erzielte die maximale Punktzahl bei ExploitBench, einem Benchmark zur Bewertung der Fähigkeit, bekannte Schwachstellen in funktionierende Exploits umzuwandeln. Das Ergebnis weist auf operative Kompetenz bei der Exploitation hin, nicht lediglich auf die Fähigkeit, einen Fehler theoretisch zu erklären.

Eine perfekte Punktzahl bei einem solchen Test legt nahe, dass das Modell verfügbare Informationen interpretieren, die erforderlichen Angriffsvoraussetzungen erkennen und eine Vorgehensweise entwickeln kann, mit der sich die Schwachstelle ausnutzen lässt. Allein daraus lässt sich jedoch nicht ableiten, dass das Modell auch neue Schwachstellen entdecken kann.

Aus diesem Grund führte OpenAI eine separate Bewertung auf Grundlage neuerer veröffentlichter Schwachstellen durch. In diesem Kontext soll Astra eigenständig zwei Zero-Day-Schwachstellen identifiziert haben.

Angaben zu den betroffenen Produkten, Versionen, Herstellern oder CVE-Kennungen wurden nicht veröffentlicht. Daher lässt sich weder die technische Natur der beiden Fehler bestimmen noch überprüfen, ob sie behoben wurden oder reale Systeme gefährdeten.

Auch zur Methodik fehlen wichtige Details: Unklar sind die Größe der Stichprobe, die operativen Bedingungen, die dem Modell zur Verfügung stehenden Werkzeuge und der Umfang einer möglichen menschlichen Überwachung. Diese Informationen wären erforderlich, um die Ergebnisse zu reproduzieren und mit denen anderer Systeme zu vergleichen.

Von der Sandbox zu Root-Rechten

Die aussagekräftigsten Tests betreffen eine aus mehreren Schritten bestehende Angriffskette. Astra soll aus einer Browser-Sandbox ausgebrochen sein und Befehle auf dem zugrunde liegenden Rechner ausgeführt haben.

Eine Sandbox dient dazu, Browser-Code zu isolieren und zu verhindern, dass sich die Kompromittierung eines Prozesses auf das Betriebssystem ausweitet. Wird diese Grenze überwunden, kann sich eine Anwendungsschwachstelle in einen umfassenderen Zugangspunkt verwandeln.

Das Modell soll außerdem mehrere Schwachstellen innerhalb eines gehärteten Betriebssystems verkettet haben, also in einer Umgebung, die mit zusätzlichen Sicherheitsmaßnahmen und Einschränkungen konfiguriert wurde. Die Angriffskette soll zu einem Zugriff mit Root-Rechten geführt haben.

OpenAI machte keine Angaben zum Browser, Betriebssystem, Hardening oder zu den verwendeten Schwachstellen. Daher lässt sich nicht feststellen, ob der Angriff Speicherfehler, Logikfehler, schwache Konfigurationen oder andere Fehlerklassen ausgenutzt hat.

Entscheidend ist die Kombination der einzelnen Aktionen. Bei realen Einbrüchen reicht eine einzelne Schwachstelle nur selten aus, um die vollständige Kontrolle über eine gut geschützte Umgebung zu erlangen. Angreifer müssen häufig mehrere Schwachstellen miteinander verbinden, um die Isolation zu verlassen, Sicherheitskontrollen zu überwinden und ihre Rechte auszuweiten. Genau diese Abfolge soll Astra automatisiert haben.

Höhere Resistenz gegen Jailbreaks als GPT-5.6 Sol

Neben den offensiven Fähigkeiten soll sich auch das Sicherheitsverhalten verbessert haben. Astra soll 91,5 % der in den internen Bewertungen verwendeten Cybersecurity-Jailbreak-Versuche abgelehnt haben.

Das Vorgängermodell GPT-5.6 Sol erreichte bei derselben Art von Test lediglich 59 %. Der Unterschied beträgt 32,5 Prozentpunkte.

OpenAI berichtet außerdem, Astra neige seltener dazu, Beschränkungen vorsätzlich zu umgehen, in den Tests bereitgestellte Honeypots anzugreifen oder offensive Operationen fortzusetzen, wenn die Umgebung so gestaltet war, dass Abweichungen von den Kontrollen erkannt werden konnten.

Die Ablehnungsrate stellt jedoch keine absolute Garantie dar. Ein Wert von 91,5 % bedeutet, dass einige als bösartig eingestufte Versuche unter den Testbedingungen nicht blockiert werden. Zudem kann ein Modell mit fortgeschritteneren Fähigkeiten größere Schäden verursachen, wenn eine Schutzmaßnahme versagt.

Die Risikobewertung hängt daher vom Zusammenspiel zweier Faktoren ab: Wie schwierig ist es, das Modell zu gefährlichem Verhalten zu bewegen, und welchen Schaden kann es anrichten, sobald die Schutzmechanismen überwunden wurden?

Eingeschränkte Bereitstellung und Zugang über Daybreak Blue

OpenAI hält zusätzliche Sicherheitsvorkehrungen vor der Bereitstellung für erforderlich. Der vollständige Cybersecurity-Funktionsumfang von Astra soll zunächst nur einer Gruppe von Testern zur Verfügung stehen und später möglicherweise über das Programm Daybreak Blue erweitert werden.

Ein Termin für die allgemeine Verfügbarkeit wurde nicht genannt. Ebenso fehlen Angaben zu den Aufnahmekriterien für das Programm und zu den technischen Beschränkungen, die für autorisierte Nutzer gelten sollen.

Zu den genannten Kontrollen gehören gezielte Tests gegen Jailbreaks, die Überwachung von Versuchen, Einschränkungen zu umgehen, der Einsatz von Honeypots sowie Bewertungen in kontrollierten Umgebungen. Das Unternehmen zieht außerdem in Betracht, die Bereitstellung zu verzögern, wenn die Schutzmaßnahmen keine ausreichenden Belege für ein sicheres Verhalten liefern.

Die wichtigste Maßnahme ist damit eine schrittweise Einführung und keine von Nutzern installierbare Patch- oder Update-Lösung. OpenAI zufolge müssen die Kontrollen den gesamten Lebenszyklus des Modells begleiten – vom Training über die Evaluierung bis hin zur Bereitstellung.

Unterdessen sollen fast 130 Technologie- und Cybersecurity-Unternehmen eine von OpenAI geleitete Initiative zur Stärkung der Cyberabwehr unterstützt haben. Weitere Einzelheiten zu den Beiträgen der einzelnen Organisationen wurden nicht veröffentlicht.

Das Risiko für Verteidiger, Unternehmen und Forscher

Ein System, das Exploitation automatisieren kann, könnte Abwehrteams dabei helfen, Patches, Anwendungen und Konfigurationen schneller zu überprüfen. Dieselbe Fähigkeit kann jedoch auch die Geschwindigkeit und den Umfang offensiver Operationen erhöhen.

Für Unternehmen besteht die unmittelbarste Konsequenz in einer möglichen Verkürzung der Zeit, die zur Behebung einer Schwachstelle zur Verfügung steht. Wenn ein Modell aus öffentlich verfügbaren Informationen schnell Exploits erstellen kann, kann sich das Zeitfenster zwischen Offenlegung und Ausnutzung deutlich verkleinern.

Die Fähigkeit, Zero-Day-Schwachstellen zu finden, bringt ein zusätzliches Risiko mit sich: Verteidigern stehen möglicherweise noch keine Signaturen, Updates oder Indicators of Compromise zur Verfügung. Unter solchen Bedingungen gewinnen Netzwerksegmentierung, Least Privilege, verhaltensbasierte Überwachung und die Kontrolle ungewöhnlicher Aktivitäten zwischen Browser und Betriebssystem an Bedeutung.

Derzeit gibt es keine öffentlich verfügbaren technischen Indikatoren, die mit den Astra-Tests in Verbindung stehen. Es liegen weder Hashes, Domains, Befehle, CVE-Kennungen noch Netzwerk-Muster vor, nach denen gesucht werden könnte.

Die Einstufung „Critical“ bleibt eine interne Bewertung von OpenAI, die auf Ergebnissen beruht, die nicht öffentlich verifiziert wurden. Sie zeigt dennoch, welche Schwelle Systeme künstlicher Intelligenz erreichen: Sie sind nicht mehr nur Assistenten für Analysten und Entwickler, sondern potenzielle autonome Akteure entlang einer vollständigen Angriffskette.