Kurzfassung: OpenAI hat am 3. September 2026 GPT-6 Astra veröffentlicht. Es ist das erste Modell, das im hauseigenen Preparedness Framework die Stufe Critical im Cyberbereich erreicht. Im Klartext der eigenen Sicherheitsübersicht: Das Modell kann mit passenden Werkzeugen und Zugängen bisher unbekannte Sicherheitslücken finden und neue Wege entwickeln, sie auszunutzen, über viele gut geschützte Systeme hinweg, ohne dass ein Mensch jeden Schritt führt. Zurückgehalten wird es deshalb nicht. Es geht an die zahlenden Tarife, an die Schnittstelle, an Azure und an AWS. Im Chat selbst bekommen es zunächst Pro, Business und Enterprise, im Plus-Tarif steht es in ChatGPT Work und Codex mit begrenztem Kontingent zur Verfügung.
Ein Unternehmen erklärt sein Produkt für kritisch und verkauft es. Das ist die Nachricht.
Was in der Einstufung steht
Das Preparedness Framework ist OpenAIs eigenes Schema, um zu bestimmen, ab wann ein Modell zu gefährlich wird. Critical ist darin die oberste Stufe. Bis jetzt hatte sie kein Modell erreicht.
Auf ExploitBench, einem Testverfahren zum Finden und Ausnutzen von Sicherheitslücken, erreicht Astra nach Angaben von OpenAI 100 Prozent. Der Vorgänger GPT-5.6 Sol lag bei 78,5 Prozent.
Die Maßnahmen, die OpenAI dagegen setzt, sind umfangreich und ich will sie nicht kleinreden. Strengere Isolation in der eigenen Entwicklung, verschlüsselte Zwischenstände, durchgehende Überwachung ganzer Handlungsketten einschließlich der Gedankengänge, eine blockierende Alignment-Prüfung vor jeder internen Nutzung. Im externen Betrieb läuft eine Überwachung auf Fehlausrichtung bei jeder Anfrage, die Werkzeuge benutzt, und OpenAI schreibt dazu, dass das erhebliche Rechenkosten verursacht.
Das ist mehr, als die Branche üblicherweise aufwendet. Und es ändert nichts an der Grundentscheidung.
Der Vergleich, der sich aufdrängt
Im Juli hat OpenAI ein Modell gestoppt, weil es zu gut hacken konnte. Ich habe darüber geschrieben: OpenAI stoppt sein neues Modell. Damals war die Botschaft, dass die eigenen Regeln greifen und ein Anbieter freiwillig auf Umsatz verzichtet.
Sieben Wochen später erreicht das Nachfolgemodell die höchste Gefahrenstufe desselben Regelwerks und wird ausgeliefert.
Beides kann stimmen. Die Schutzmaßnahmen sind seitdem gewachsen, die Verzögerung nach dem Vorfall bei Hugging Face wurde genutzt, das Modell ist nach eigenen Messungen robuster gegen Jailbreaks und besser ausgerichtet als sein Vorgänger. Ein Stopp ist kein Naturgesetz, sondern eine Abwägung, und Abwägungen dürfen anders ausgehen, wenn sich die Lage ändert.
Nur: Wer das Regelwerk selbst schreibt, selbst anwendet und selbst über die Ausnahme entscheidet, hat kein Regelwerk. Er hat eine Formulierungshilfe für die eigene Entscheidung. Genau das habe ich am Beispiel des Trusted-Access-Programms schon einmal beschrieben: Ein Schlüsseldienst verkauft Dietriche und prüft selbst, wer sie kaufen darf. Die Stufe heißt jetzt Critical, der Mechanismus ist derselbe geblieben.
Warum ich trotzdem nicht nach einem Verbot rufe
Weil die Fähigkeit existiert und nicht verschwindet, wenn ein Anbieter sie nicht verkauft.
Sicherheitslücken zu finden ist dieselbe Arbeit wie sie auszunutzen. Der Unterschied liegt in der Absicht, nicht im Verfahren. Ein Modell, das Schwachstellen in fremdem Code entdeckt, ist für ein Sicherheitsteam genauso wertvoll wie für den Angreifer, und niemand kann eine Fähigkeit so zuschneiden, dass sie nur der guten Seite dient. Anthropic formuliert dieselbe Grenze bei seinem neuen Modell so, dass Schwachstellen gefunden, aber keine Angriffswerkzeuge dafür gebaut werden dürfen. Ob diese Linie in der Praxis hält, wird man sehen.
Die ehrliche Beschreibung lautet: Zwei Anbieter haben in derselben Woche Modelle veröffentlicht, die auf diesem Feld deutlich besser sind als alles davor, und beide haben eigene Regeln, die sie selbst durchsetzen. Wer darauf wartet, dass eine Aufsicht das auffängt, sollte sich ansehen, wie diese Aufsicht personell ausgestattet ist: Die Prüfstelle für die mächtigsten Maschinen der Welt hat 35 Beschäftigte.
Was Sie jetzt tun sollten
Nicht diskutieren, ob das hätte erscheinen dürfen. Das ist entschieden.
Sondern annehmen, dass die Suche nach Schwachstellen in Ihren Systemen ab sofort billiger, schneller und breiter läuft als noch im August. Nicht weil jemand Sie im Visier hat, sondern weil das Absuchen ganzer Adressbereiche keine Arbeitszeit mehr kostet.
Daraus folgen drei nüchterne Fragen. Wie lange dauert es bei Ihnen von einem veröffentlichten Sicherheitsupdate bis zum eingespielten Stand? Wer hat in Ihren Systemen Rechte, die er nicht braucht, und seit wann? Und würden Sie es überhaupt bemerken, wenn jemand drin wäre?
Wer diese drei Fragen nicht beantworten kann, hat kein KI-Problem. Er hatte schon vorher ein Problem, und die Zeit, es unbemerkt zu haben, ist gerade abgelaufen.