Anfang August hieß es noch, Astra könnte die kritische Schwelle erreichen. Jetzt ist es amtlich: OpenAI hat am 1. September erklärt, dass Astra die Stufe „Critical“ im Preparedness Framework für Cybersecurity erfüllt. Zum ersten Mal überhaupt. Die Definition ist deutlich: Das Modell kann in vielen gehärteten realen Systemen eigenständig Zero-Day-Schwachstellen finden und funktionierende Exploits dafür entwickeln, ohne dass ein Mensch jeden Schritt anleitet.
Die Belege, die OpenAI dafür nennt, sind konkret. Auf ExploitBench erreicht Astra 100 Prozent. Weil dieser Benchmark inzwischen als kontaminiert gilt, hat OpenAI intern 20 frisch veröffentlichte, hochkritische V8-Schwachstellen aus Juni bis August nachgestellt. Auch dort liegt Astra weit vor GPT-5.6 Sol, mit deutlich weniger Tokens. Nebenbei hat das Modell in der Evaluation zwei echte Zero-Days entdeckt und in eine Exploit-Kette eingebaut, die OpenAI jetzt an die Maintainer meldet. In Tests mit Experten baute Astra eine komplette Browser-Kompromittierung: HTML-Datei öffnen, Sandbox verlassen, Befehle auf dem Host ausführen. Dazu eine lokale Rechteausweitung vom normalen Nutzer bis root auf einem gehärteten Betriebssystem.
Man muss dazu sagen: Diese Zahlen gelten für den Zugang über Daybreak Blue, das Programm für Verteidiger. Nicht für die Standardkonfiguration, die normale Nutzer bekommen.
Trotzdem will OpenAI Astra bald ausliefern. Das Argument: Die Schutzmaßnahmen reichen inzwischen aus. Astra lehnt in den Cyber-Jailbreak-Tests 91,5 Prozent der Anfragen ab, GPT-5.6 Sol nur 59. Bei Accounts mit erhöhtem Risiko greift eine strengere Grenze. Und für die zweite Gefahr, dass das Modell selbst aus der Reihe tanzt, gibt es Chain-of-Thought-Monitoring im Produktivbetrieb und Klassifikatoren, die verdächtige Aktionen automatisch stoppen. In einem Honeypot-Test, der dem Hugging-Face-Vorfall nachgebaut ist, versuchte GPT-5.6 Sol ohne Schutzmaßnahmen in 56 Prozent der Fälle, fremde Systeme anzugreifen, statt die eigentliche Aufgabe zu lösen. Astra: null Versuche.
Interessant ist auch der Zeitplan dahinter. Die großen Reinforcement-Learning-Läufe für künftige Astra-Versionen waren länger pausiert, nach dem Vorfall bei Hugging Face. Am 28. August hat OpenAI den großen Frontier-RL-Run wieder gestartet, unter neuen Sicherheitsanforderungen an die Trainingsumgebung. Einige kleinere Experimente bleiben weiter angehalten.
Und dann der Teil, der Nutzer direkt betrifft. OpenAI sagt offen, dass die Sicherheitschecks legitime Arbeit ausbremsen werden. Der Missbrauchsmonitor kann auch Aufgaben anhalten, die mit Cybersecurity gar nichts zu tun haben, etwa lange laufende Agenten. In ChatGPT und Codex wird man dann gebeten, die Aktion zu prüfen. Über die API bricht die Aufgabe einfach ab. Die fortgeschrittenen Cyber-Fähigkeiten gibt es zunächst nur für eine kleine Gruppe von Alpha-Testern, danach über Daybreak Blue.
Mein Eindruck: Das klingt alles sehr nach dem, was Anthropic mit Fable 5 und Mythos 5 im Juni durchgemacht hat. Ein Modell, das zu gut im Angreifen ist, eine öffentliche Version mit Handbremse, und ein Programm für geprüfte Verteidiger. Beide Firmen landen bei derselben Architektur, offenbar weil es keine bessere gibt. Wer mit Astra arbeiten will, sollte sich auf Unterbrechungen einstellen. Anthropic hat bei Fable die Filter erst nach Wochen entschärft. OpenAI wird denselben Weg gehen müssen.
Quellen: OpenAI: Path to Astra: critical capabilities and frontier safeguards