Kurzfassung: OpenAI hat am 10. August 2026 das Modell GPT-5.6-Cyber vorgestellt. Es ist darauf trainiert, Sicherheitslücken zu finden und Exploit-Ketten zu bauen, und beantwortet 95 Prozent der Anfragen, die das normale Modell zu 98,5 Prozent verweigert. Zugang gibt es über die Stufe Daybreak Red, und wer als vertrauenswürdiger Verteidiger gilt, entscheidet OpenAI. Drei Wochen vorher war ein Modell desselben Unternehmens aus einer Testumgebung ausgebrochen. Die Frage, wer haftet, wenn dieses Werkzeug in die falschen Hände gerät, beantwortet die Ankündigung nicht.

Ein Schlüsseldienst verkauft Dietriche und prüft selbst, wer sie kaufen darf. So funktioniert die neue Sicherheitsstufe von OpenAI.

Der Vergleich ist unfair gegenüber Schlüsseldiensten. Die unterliegen einer Aufsicht.

Was OpenAI angekündigt hat

Am 10. August 2026 hat OpenAI sein Cybersicherheitsprogramm Daybreak um zwei Zugangsstufen erweitert. Daybreak Blue gibt Zugang zu GPT-5.6 Sol mit angepassten Schutzmaßnahmen für autorisierte Verteidigungsarbeit, also Schwachstellensuche, Malware-Analyse und Vorfallbearbeitung. Daybreak Red gibt Zugang zu GPT-5.6-Cyber, einem Modell, das auf GPT-5.6 Sol aufsetzt und gezielt darauf trainiert wurde, unbekannte Schwachstellen zu finden und Exploit-Ketten zu entwickeln.

Die Zahl, um die es geht, steht in OpenAIs eigener Ankündigung. Bei fortgeschrittenen Sicherheitsaufgaben, also Exploit-Ketten, Umgehung von Authentifizierung und Rechteausweitung, bearbeitet GPT-5.6-Cyber 95,0 Prozent der Anfragen. Das reguläre GPT-5.6 Sol bearbeitet 1,5 Prozent. Über Daybreak Blue sind es 2,0 Prozent. Der Vorgänger GPT-5.5-Cyber lag bei 57,3 Prozent.

Anders gesagt: Dasselbe Unternehmen, das in seinem Standardprodukt 98,5 Prozent dieser Anfragen abweist, weil sie zu gefährlich sind, liefert sie in einer anderen Zugangsstufe fast vollständig aus. Die Gefährlichkeit hat sich nicht geändert. Die Kundenliste hat sich geändert.

Was das Modell gefunden hat

OpenAI legt Ergebnisse vor, und die sind ernst zu nehmen. Das Modell untersuchte V8, die JavaScript-Engine von Chrome, und fand dort zwei bis dahin unbekannte Schwachstellen, die sich verketten lassen, um Speicher zu beschädigen und die Heap-Sandbox von V8 zu umgehen. Eine davon ist als CVE-2026-15903 erfasst. Genannt werden außerdem mindestens fünf Lücken in einem verbreiteten mobilen Betriebssystem, darunter eine Kette zur Rechteausweitung.

Ein Modell, das eine unbekannte Lücke in der meistgenutzten Browser-Engine der Welt findet, kann sie auch in der Software eines Krankenhauses finden. Die Fähigkeit unterscheidet nicht nach Absicht.

Und das Spezialmodell ist nicht durchgehend das bessere. OpenAI schreibt selbst, GPT-5.6-Cyber habe sich gegenüber GPT-5.6 Sol bei einigen der gezielt trainierten Cyberaufgaben verbessert, aber nicht so weit, dass die kritische Schwelle des eigenen Rahmenwerks erreicht wäre. In Vergleichen liegt das Spezialmodell bei Verweigerungsquote, Zero-Day-Suche und Exploit-Ketten vorn, während das allgemeine Modell bei der Qualität der Berichte, bei langen Durchläufen und beim Tokenverbrauch besser abschneidet. Wer Daybreak Red bucht, kauft also vor allem eines: die Bereitschaft, Anfragen zu beantworten, die das Standardmodell ablehnt.

Der Prüfmechanismus gehört dem Verkäufer

Wer Daybreak Red bekommt, muss laut OpenAI eine Identitätsprüfung durchlaufen, Anforderungen an die Kontosicherheit erfüllen, Überwachung akzeptieren und rechtliche Erklärungen abgeben. Ab dem 1. September 2026 sind Hardware-Sicherheitsschlüssel verpflichtend. OpenAI empfiehlt zusätzlich, Sicherheitsabläufe in Sandbox-Umgebungen zu betreiben und den Prüfmodus in Codex zu nutzen. Das Modell ist im hauseigenen Preparedness-Rahmenwerk als “High” eingestuft, nicht als “Critical”.

Das ist mehr als nichts. Es bleibt eine Selbstzertifizierung. Ein Unternehmen mit einem Umsatzinteresse prüft, ob ein Kunde ein legitimer Verteidiger ist, definiert die Kriterien selbst, überwacht die Einhaltung selbst und entscheidet selbst, was ein Verstoß ist. Es gibt keine unabhängige Stelle, die diesen Vorgang kontrolliert, keine Meldepflicht bei Missbrauch, kein öffentliches Register der Zugänge.

Bemerkenswert ist auch der Abstand von drei Tagen. Am 7. August hat OpenAI Teile der Arbeit am Modell Astra angehalten, weil es eigenständig gut verteidigte Systeme angreifen kann. Am 10. August liefert dasselbe Unternehmen ein Modell aus, das genau dafür trainiert wurde. Beide Entscheidungen hat dieselbe Firma getroffen, nach eigenen Maßstäben, ohne dass jemand von außen mitentschieden hätte.

Und die Vorgeschichte gehört dazu. Zwischen dem 11. und 13. Juli 2026 wurde die Produktionsinfrastruktur von Hugging Face kompromittiert, ausgelöst von einem OpenAI-Agenten, der auf dem Benchmark ExploitGym lief, mit abgeschalteten Verweigerungen. Ich habe das hier ausführlich beschrieben, weil die Haftungsfrage schon damals offen blieb. Dasselbe Unternehmen, das seine eigenen Schutzabschaltungen nicht im Griff hatte, verteilt jetzt genau diese Fähigkeit kontrolliert an Dritte.

Das Argument der Verteidiger, und wo es endet

OpenAI begründet den Schritt damit, dass sich das Zeitfenster für die Verteidigung schließt. Angreifer setzen KI ohnehin ein, also brauchen Verteidiger dieselben Werkzeuge. Das Argument hat einen realen Kern.

Es hat sich in diesem Sommer sogar bewiesen, allerdings gegen den Anbieter. Als Hugging Face den eigenen Vorfall forensisch auswerten wollte, blockierten die kommerziellen Schnittstellen der großen Anbieter genau diese Analyse, weil ihre Filter Angriff und Aufräumen nicht unterscheiden konnten. Ausgewertet wurde am Ende mit einem offenen Modell auf eigener Infrastruktur. Genau dieses Problem beschreibt Daybreak Blue.

Die Haftungsfrage beantwortet das Argument trotzdem nicht, und darauf kommt es an. Wenn ein Kunde von Daybreak Red eine gefundene Lücke weiterverkauft, statt sie zu melden, wer haftet? Wenn ein geprüfter Sicherheitsforscher selbst gehackt und sein Zugang übernommen wird, wer haftet? Wenn ein Auftragnehmer eines Nachrichtendienstes die Prüfung besteht, weil er formal ein Verteidiger ist, wer haftet? Die Antwort steht in keiner Ankündigung, und sie steht in keinem Vertrag, den ein deutsches Unternehmen je zu Gesicht bekommt.

Was das für Organisationen in Deutschland bedeutet

Zwei Dinge ändern sich sofort, unabhängig davon, ob du je Zugang zu einem solchen Modell bekommst.

Erstens sinkt die Zeit zwischen der Veröffentlichung einer Lücke und ihrer Ausnutzung. Wenn ein Modell systematisch Wege zur Rechteausweitung in einem Betriebssystemkern durchsuchen kann, dann kann es das auch auf der Gegenseite. Patchzyklen von Wochen sind unter dieser Annahme keine Verteidigung.

Zweitens verschiebt sich, was von einer Organisation an Sorgfalt erwartet wird. Wer weiß, dass automatisierte Schwachstellensuche im großen Stil verfügbar ist, kann sich später schwer darauf berufen, ein Angriff sei unvorhersehbar gewesen. Sorgfaltsmaßstäbe wachsen mit dem, was allgemein bekannt und verfügbar ist.

Was daraus folgt

Führe eine Liste deiner extern erreichbaren Systeme und halte sie aktuell. Die Vorfälle dieses Sommers liefen fast alle über schwache Passwörter, offene Endpunkte und Fehlkonfigurationen. Kein Zero-Day nötig. Der praktischste Einstieg dazu bleibt, die eigenen offen liegenden Zugangsdaten wegzuräumen, bevor die automatisierte Suche danach billig wird.

Trenne Rechte von Fähigkeiten. Ein Agent, der Code ausführen darf, braucht keinen Zugang zum Produktivnetz. Diese Trennung ist der Kern der Orchestrierungs- und der Kontrollschicht, und sie ist der Grund, warum ich den kostenlosen Kurs zur KI-Architektur so aufgebaut habe, wie er ist.

Und akzeptiere die Rollenverteilung nicht als gegeben. Ein Anbieter, der die Gefährlichkeit seines eigenen Produkts mit einer Prozentzahl beziffert und den Zugang dazu selbst vergibt, hat sich eine Aufsichtsfunktion genommen, die ihm niemand übertragen hat. Wer in einer Organisation Verantwortung trägt, sollte das benennen, statt es zu übernehmen.

Quellen