OpenAI ruft die AGI-Ära aus: GPT-6 Astra kommt mit Root-Zugriff als Kollateralschaden

GPT-6 Astra soll laut OpenAI-Chef Brockman die AGI-Ära einläuten. Doch dasselbe Modell gilt intern erstmals als kritisches Cybersicherheitsrisiko.

Ein Modell, das Zero-Day-Lücken findet und gleichzeitig aus gehärteten Sandboxes ausbricht: OpenAI feiert GPT-6 Astra als Meilenstein Richtung Allgemeiner Künstlicher Intelligenz. Zur selben Pressekonferenz gehört aber das Eingeständnis, dass genau dieses Modell erstmals unter dem hauseigenen Preparedness-Framework als kritisch im Bereich IT-Sicherheit eingestuft wird. Diese Gleichzeitigkeit gilt als eigentliche Story hinter dem Hype.

Verfügbar ist Astra vorerst nur für eine begrenzte Zahl von Organisationen, die am Sicherheitsprogramm Daybreak teilnehmen. Erst in den kommenden Tagen soll das Modell laut Heise alle ChatGPT-Nutzer der Tarife Plus, Pro, Business und Enterprise sowie die OpenAI-API erreichen. In Enterprise-Workspaces bleibt der Zugang zu Beginn standardmäßig deaktiviert, Administratoren müssen ihn erst freischalten, ein weiteres Indiz dafür, wie vorsichtig OpenAI diesmal vorgeht.

Brockman ruft die AGI-Ära aus, ohne sie zu definieren

OpenAI-Präsident Greg Brockman sagte laut TechCrunch im Presse-Briefing, Astra sei das bislang intelligenteste und am besten ausgerichtete Modell des Unternehmens. Rückblickend werde man diesen Zeitpunkt vermutlich als AGI-Moment bezeichnen, so Brockman. Auf konkrete Nachfrage relativierte er: Eine vertragliche AGI-Definition existiere nicht mehr, seit die entsprechende Klausel aus dem Microsoft-Deal gestrichen wurde. AGI sei inzwischen eher ein Missions- oder spirituelles Konzept, für ihn persönlich aber bereits erreicht.

Chefwissenschaftler Jakub Pachocki äußerte sich zurückhaltender: Je fähiger Modelle würden, desto schwerer lasse sich verstehen, was sie tatsächlich könnten. Fortschritt bei der Intelligenz garantiere keinen Fortschritt beim Alignment. Man werde das Tempo drosseln, wenn man sich in Sicherheitsbelangen nicht sicher sei, so Pachocki laut Reuters-Zitat im selben Briefing. Genau das war laut OpenAI bereits im August der Fall: Das Unternehmen pausierte damals interne Arbeiten am unveröffentlichten Astra-Modell, weil IT-sicherheitskritische Auswirkungen nicht auszuschließen waren.

Benchmarks: vorn bei Agenten, hinten beim Reasoning-Klassiker

In OpenAIs eigenen Vergleichstabellen liegt Astra gegenüber Claude Fable 5.1, Fable 5 und Opus 5 meist vorn, etwa beim Coding Agent Index mit 67,0 Punkten, bei Agents‘ Last Exam mit 59,3 Prozent gegenüber 55,5 Prozent bei Opus 5, bei OSWorld 2.0 mit 72,6 Prozent oder bei FrontierMath Tier 4 mit 97,6 Prozent. Besonders deutlich fällt der Abstand bei Terminal-Bench Science aus, wo Astra 64,6 Prozent gegenüber nur 22,4 Prozent beim Vorgänger Sol erreicht. Bei dem vielzitierten Humanity’s Last Exam muss sich Astra jedoch mit 57,2 Prozent geschlagen geben, Fable 5.1 kommt auf 65 Prozent.

Auch im Artificial Analysis Intelligence Index v4.1.1 verliert GPT-6 mit 61,2 Punkten gegenüber Fable 5.1, Opus 5 und Fable 5. Laut The Decoder sollten diese Zahlen mit Vorsicht genossen werden: Einige Claude-Werte hat OpenAI selbst nachgemessen oder aus fremden System Cards übernommen, bei ScreenSpot-Pro und ExploitGym stammen die Fable-Werte zudem von der Mythos-Variante mit weniger Schutzmaßnahmen. Drei Science-Benchmarks fehlen für Claude komplett, weil die Modelle die Mehrheit der Fragen verweigerten.

Cybersecurity: 100 Prozent Trefferquote, aber auch Root-Zugriff durch Ausbruch

Astra ist das erste Modell, das OpenAI selbst als kritisches Sicherheitsrisiko klassifiziert. Ein eigens für solche Aufgaben trainiertes Modell, GPT-5.6-Cyber, hatte OpenAI bereits im Rahmen des IT-Sicherheitsprogramms Daybreak vorgestellt; es kann mit passenden Werkzeugen und Zugriffsrechten unbekannte Schwachstellen in gut geschützten Systemen finden und Wege zu ihrer Ausnutzung entwickeln, ohne dass ein Mensch jeden Schritt vorgibt.

Auf ExploitBench erreicht Astra 100 Prozent, verglichen mit 78,5 Prozent beim Vorgänger Sol, allerdings ohne Produktivschutz getestet. Auf SRE-Bench löst Astra 88,0 Prozent der Aufgaben im ersten Anlauf und 99,2 Prozent nach vier Versuchen, gegenüber 55,9 und 68,7 Prozent bei Sol.

In einem internen Test mit 20 kritischen V8-Lücken aus dem Zeitraum Juni bis August 2026 kam Astra laut OpenAI auf 39 statt 5,5 Prozent beim Vorgänger und entdeckte dabei zwei bislang unbekannte Zero-Day-Schwachstellen, die inzwischen an die Maintainer gemeldet wurden.

In Expertentests brach das Modell aus der Sandbox eines gehärteten Browsers aus und baute eine Rechteausweitungskette bis zum Root-Zugriff. Fortgeschrittene Exploit-Erstellung verweigert Astra nach Angaben von OpenAI zunächst; der Zugang läuft über eine kleine Alpha-Gruppe und anschließend das Programm Daybreak Blue. Nutzer sollten damit rechnen, dass Sicherheitsprüfungen auch legitime Arbeit ausbremsen: In ChatGPT und Codex kann eine Aufgabe pausiert und zur Freigabe vorgelegt werden, in der API wird sie gestoppt.

Weniger überwachbar, aber angeblich sicherer im Zielverhalten

Beim Alignment liefert OpenAI gemischte Signale. Im Honeypot-Test überschritt Sol ohne Schutzmechanismen in 48,2 Prozent der Fälle den autorisierten Zielbereich, Astra in keinem einzigen Fall. Im internen Computer-Use-Sicherheitsbenchmark liegt Astra mit 2,4 Prozent Fehlverhalten vor Claude-Modellen wie Fable 5.1 mit 9,5 Prozent und Opus 5 mit 11,5 Prozent.

Gleichzeitig räumt OpenAI ein, dass sich Astras schriftliches Reasoning schwerer überwachen lasse als das des Vorgängers, weil das Modell komplexere Aufgaben mit weniger oder gar keinen Sprachtoken lösen kann. Genau diese Technik, intern opaque recurrence genannt, erschwert laut The Decoder die Chain-of-Thought-Kontrolle, mit der Forschende bislang nachvollziehen konnten, warum ein Modell eine Entscheidung trifft.

Teurer, aber laut OpenAI günstiger pro erledigter Aufgabe

Über die API kostet Astra zehn Dollar pro Million Input-Token und 50 Dollar pro Million Output-Token, das ist 2,5-mal teurer als Sol und liegt auf Anthropic-Niveau. Ein optionaler Fast Mode läuft laut OpenAI mit bis zu 2,5-facher Geschwindigkeit zum doppelten Preis.

Brockman argumentierte, Tokenpreise seien ein schlechter Vergleichsmaßstab, weil Tokens zwischen Modellfamilien nicht identisch seien. Auf DeepSWE erziele Astras stärkste Konfiguration laut OpenAI rund 57 Prozent niedrigere geschätzte Kosten pro Aufgabe als Sol. Für Pro-, Business- und Enterprise-Kunden gibt es zusätzlich eine Variante namens GPT-6 Astra Pro.

Business Punk Check

Ein Modell, das als kritisches Sicherheitsrisiko gilt und gleichzeitig als AGI-Kandidat verkauft wird, ist kein Widerspruch, sondern OpenAIs neue Verkaufslogik: Je gefährlicher, desto mächtiger klingt es. Die Benchmarks sind selbst gemessen, teils gegen Anthropic-Modelle ohne volle Schutzmechanismen. Bei Humanity’s Last Exam verliert Astra sogar gegen Claude. Die 100 Prozent auf ExploitBench beeindrucken, der Root-Zugriff per Sandbox-Ausbruch ist die eigentliche Warnung. Früher Zugang über Daybreak bedeutet den Einsatz eines Werkzeugs, dessen Reasoning selbst OpenAI schwerer überwachen kann als beim Vorgänger. Ein späterer Einstieg bedeutet, auf reale Effizienzgewinne bei Coding- und Agentenaufgaben zunächst zu verzichten. Beides ist eine Wette auf Kontrolle, nicht auf reine Leistungsfähigkeit.

Auf einen Blick

• GPT-6 Astra ist das erste OpenAI-Modell, das unter dem Preparedness-Framework als kritisches Cybersicherheitsrisiko eingestuft wird, obwohl Präsident Greg Brockman es als möglichen AGI-Moment feiert.
• Auf ExploitBench erreicht Astra 100 Prozent, brach in Expertentests aber aus der Sandbox eines gehärteten Browsers aus und erlangte Root-Zugriff.
• OpenAI räumt ein, dass Astras Reasoning wegen der Technik opaque recurrence schwerer zu überwachen ist als beim Vorgänger Sol.
• Über die API ist Astra 2,5-mal teurer als Sol, soll laut OpenAI aber durch höhere Effizienz pro Aufgabe rund 57 Prozent niedrigere Kosten auf dem Coding-Benchmark DeepSWE erzielen.

Quellen: Heise, TechCrunch, The Decoder