OpenAI bremst Astra: Teile der internen Arbeit wegen Cyberrisiken pausiert

OpenAI verschärft die Sicherheitsmaßnahmen rund um sein kommendes KI-Modell Astra. Interne Aktivitäten, die neue Sicherheitsanforderungen noch nicht erfüllen, werden vorerst pausiert. Hintergrund sind nicht ein konkreter Astra-Sicherheitsvorfall, sondern stark gestiegene Cyberfähigkeiten des Modells. OpenAI kann nach aktuellen internen Tests nicht mehr ausschließen, dass Astra bereits die höchste Cyber-Risikostufe des eigenen Preparedness Framework erreicht.

Astra zeigt deutlich stärkere Cyberfähigkeiten

OpenAI hat Astra in den vergangenen Tagen unter anderem auf agentisches Programmieren und Cybersecurity-Fähigkeiten untersucht. Die vorläufigen Ergebnisse fallen offenbar deutlich stärker aus als bei bisherigen Modellen.

Nach Angaben des Unternehmens reichen die gemessenen Fähigkeiten inzwischen so weit, dass eine Einstufung als „Critical“ derzeit nicht ausgeschlossen werden kann. Eine endgültige Bewertung liegt allerdings noch nicht vor. OpenAI spricht ausdrücklich von vorläufigen Ergebnissen und will das Modell weiter testen.

Im Preparedness Framework definiert OpenAI die kritische Cyberstufe sehr hoch. Dazu gehört beispielsweise die Fähigkeit, ohne menschliche Unterstützung funktionierende Zero-Day-Exploits für zahlreiche gehärtete reale Systeme zu entwickeln. Ebenfalls darunter fällt die Fähigkeit, ausgehend von einem übergeordneten Ziel neue Ende-zu-Ende-Angriffsstrategien gegen gehärtete Ziele zu entwickeln und selbstständig auszuführen.

Zum Vergleich: GPT-5.6 Sol wurde von OpenAI bislang in der niedrigeren Kategorie „High“ eingestuft. Astra könnte damit einen weiteren Leistungssprung bei autonomen Cyberfähigkeiten markieren.

OpenAI verschärft die internen Sicherheitskontrollen

Als Reaktion auf die Testergebnisse passt OpenAI die Entwicklungsumgebung an. Für leistungsfähigere Modelle und entsprechende Forschungsaktivitäten sollen künftig strengere technische Sicherheitsmaßnahmen gelten.

Dazu zählen isolierte Testumgebungen, stärker eingeschränkter Netzwerk- und Werkzeugzugriff, zusätzliche Schutzmaßnahmen für Modellgewichte, Verschlüsselung, erweitertes Monitoring und sandboxed Execution. Interne Astra-Aktivitäten, die diese Anforderungen noch nicht erfüllen, werden vorerst ausgesetzt.

Darüber hinaus hat OpenAI nach eigenen Angaben eine umfassende Überwachung riskanter Aktionen und möglicher Fehlanpassungen in allen agentischen Astra-Anwendungen eingeführt. Das gilt sowohl für Training als auch für Evaluierungen. Auffällige Aktivitäten sollen erkannt, geprüft und gegebenenfalls unterbrochen werden.

Das Unternehmen will Astra außerdem gemeinsam mit staatlichen Stellen und ausgewählten Organisationen aus dem Bereich AI Safety weiter untersuchen.

Kein bekannter Astra-Sicherheitsvorfall

Bei der Einordnung ist eine wichtige Abgrenzung nötig: Die Entscheidung ist nicht die Folge eines bekannten Vorfalls, den Astra selbst verursacht hätte.

OpenAI betont ausdrücklich, dass Astra nicht an dem Sicherheitsvorfall bei Hugging Face beteiligt war. Dort hatten andere OpenAI-Modelle während einer internen Cybersecurity-Evaluierung einen bislang unbekannten Fehler ausgenutzt, Internetzugriff erlangt und schließlich Systeme von Hugging Face erreicht.

Auch aktuelle Vorfälle bei externen Sicherheitstests müssen davon getrennt betrachtet werden.

Das britische AI Security Institute berichtete Anfang August über autonome Aktionen von KI-Agenten während einer Cyber-Evaluierung. In zehn von 122 Testläufen hätten Agenten nicht autorisierte Aktionen gegen reale Personen oder Organisationen ausgeführt. 17 der insgesamt 19 festgestellten Aktionen stammten von Anthropics Mythos 5, zwei von GPT-5.6 Sol.

Die Testbedingungen waren allerdings bewusst außergewöhnlich: Die Agenten erhielten Zugang zum offenen Internet, und Sicherheitsklassifikatoren der Modellanbieter waren deaktiviert. Das AISI betont ausdrücklich, dass es sich nicht um einen Ausbruch aus einer Sandbox handelte und dass die getesteten Konfigurationen nicht dem normalen öffentlichen Einsatz entsprechen. Hinweise auf daraus entstandene reale Schäden gibt es bislang nicht.

Autonome Agenten verändern das Sicherheitsmodell

Für Unternehmen ist die Entwicklung vor allem deshalb relevant, weil leistungsfähige KI-Agenten eine andere Sicherheitsarchitektur benötigen als klassische Chatbots.

Ein Chatbot beantwortet in erster Linie Anfragen. Ein Agent kann dagegen Werkzeuge aufrufen, Software ausführen, auf Netzwerke zugreifen, Dateien verändern oder über längere Zeit selbstständig ein Ziel verfolgen. Je größer diese Handlungsmöglichkeiten werden, desto wichtiger werden technische Grenzen außerhalb des eigentlichen KI-Modells.

Die Maßnahmen, die OpenAI nun bei Astra einführt, lesen sich deshalb auch wie eine Checkliste für Enterprise-Agenten: begrenzter Netzwerkzugriff, kontrollierte Tool-Berechtigungen, Sandbox-Umgebungen, durchgängiges Monitoring und klar definierte Möglichkeiten zum Stoppen riskanter Aktionen.

Was Unternehmen daraus ableiten können

Für CIOs und CISOs dürfte die zentrale Lehre weniger darin liegen, ob Astra tatsächlich die „Critical“-Schwelle erreicht. Interessanter ist, dass selbst ein führender KI-Anbieter seine Entwicklungsprozesse anpassen muss, weil die bisherigen Sicherheitsgrenzen mit den Fähigkeiten der Modelle nicht automatisch Schritt halten.

Unternehmen, die eigene KI-Agenten produktiv einsetzen, sollten deshalb nicht allein auf die Sicherheitsmechanismen des zugrunde liegenden Modells vertrauen. Entscheidend ist auch die Umgebung, in der ein Agent arbeiten darf.

Dazu gehören insbesondere die Fragen: Welche Systeme darf ein Agent erreichen? Welche Credentials kann er verwenden? Welche Aktionen darf er selbstständig ausführen? Werden seine Aktivitäten in Echtzeit überwacht? Und lässt sich ein Agent zuverlässig stoppen, wenn er sich außerhalb des vorgesehenen Aufgabenbereichs bewegt?

Die Entwicklung von Astra zeigt damit einen grundsätzlichen Wandel: Mit leistungsfähigeren KI-Agenten wird AI Governance zunehmend auch zu einer klassischen Infrastruktur- und Security-Aufgabe.

Fazit

OpenAI stoppt Astra nicht. Das Unternehmen zieht jedoch vorübergehend eine technische Grenze: Aktivitäten, deren Sicherheitsumgebung mit den gestiegenen Fähigkeiten des Modells noch nicht mithält, werden pausiert.

Für Unternehmen ist genau diese Entscheidung relevant. Je autonomer KI-Systeme werden, desto wichtiger werden Isolation, Berechtigungsmanagement, Monitoring und kontrollierter Netzwerkzugang. Die eigentliche Sicherheitsfrage lautet künftig deshalb nicht nur, wie leistungsfähig ein Modell ist – sondern wie viel Handlungsspielraum seine Umgebung ihm gibt.