Anfang Mai hatte ich noch darüber geschrieben, wie OpenAI sein Cyber-Modell wegsperrt — und damit genau das tut, was es Anthropic bei Mythos vorgeworfen hat. Jetzt ist GPT-5.5-Cyber tatsächlich live. Aber nicht für jeden.
Trusted Access for Cyber
OpenAI hat ein neues System namens ‘Trusted Access for Cyber’ gestartet. Die Idee: Sicherheitsforscher und Verteidiger-Teams sollen Zugang zu den stärksten Cyber-Fähigkeiten von GPT-5.5 bekommen — aber nur nach Identitätsprüfung.
Konkret gibt es drei Stufen. Einzelpersonen können sich unter chatgpt.com/cyber verifizieren. Unternehmen können über ihren OpenAI-Ansprechpartner standardmäßig Zugang für das gesamte Team beantragen. Und für besonders sensible Arbeit — Red Teaming, Penetrationstests — gibt es ein Einladungsprogramm.
GPT-5.5 vs. GPT-5.5-Cyber
Die Trennung ist bewusst gewählt. GPT-5.5 mit Trusted Access reicht für die meisten defensiven Workflows: Code-Reviews, Schwachstellen-Triage, Malware-Analyse, Detection Engineering. GPT-5.5-Cyber geht einen Schritt weiter und ermöglicht auch Dual-Use-Workflows wie die Validierung von Exploits in kontrollierten Umgebungen.
Ab dem 1. Juni 2026 müssen alle Nutzer von GPT-5.5-Cyber die erweiterte Kontosicherheit (Advanced Account Security) aktivieren — YubiKey oder vergleichbar.
10 Millionen Dollar für die Verteidigung
Zusätzlich zum Modell stellt OpenAI 10 Millionen Dollar in API-Guthaben über das Cybersecurity Grant Program bereit. Das Geld ist für Teams gedacht, die nachweislich Schwachstellen in Open-Source-Software und kritischer Infrastruktur finden und beheben.
Einordnung
Die Strategie ergibt Sinn: Statt Cyber-Fähigkeiten komplett zu sperren (was andere Anbieter ohnehin auch anbieten würden) oder komplett freizugeben (was Angreifern hilft), versucht OpenAI einen Mittelweg. Identitätsbasierter Zugang statt binärem Ja/Nein.
Ob das in der Praxis funktioniert, wird sich zeigen. Die Grenze zwischen offensiver und defensiver Sicherheitsforschung ist fließend. Aber der Ansatz ist durchdacht — und die 10 Millionen Dollar für Open-Source-Sicherheit sind ein konkreter Beitrag, nicht nur eine PR-Geste.
Quellen: SiliconAngle · OpenAI