Auf die Schnelle

OpenAI hat am 7. August 2026 mitgeteilt, dass beim kommenden Modell Astra die höchste Risikostufe für Cybersicherheit im eigenen Preparedness Framework nicht mehr auszuschließen ist. Bestimmte Entwicklungsschritte werden verlangsamt, der Zugang wird eingeschränkt, geprüft wird gemeinsam mit Regierungsstellen und unabhängigen Sicherheitsinstituten. Ein Veröffentlichungstermin steht nicht fest.

Zum ersten Mal ordnet OpenAI ein eigenes Modell auf der obersten Risikostufe für Cybersicherheit ein, wenn auch vorläufig. Alles, was bisher aus dem Haus kam, darunter GPT-5.6 Sol, lag höchstens eine Stufe darunter.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Was OpenAI mitgeteilt hat

Das Preparedness Framework ist OpenAIs eigenes Raster, mit dem das Unternehmen bewertet, wie gefährlich ein Modell in bestimmten Bereichen werden kann. Für Cybersicherheit gibt es darin eine oberste Stufe namens "Critical". Vorläufige Auswertungen von Astra zeigen laut OpenAI eine so starke Leistung, dass diese Stufe derzeit nicht ausgeschlossen werden kann.

Die Definition dieser Stufe ist konkret formuliert. Ein Modell erreicht sie, wenn es ohne menschliches Zutun funktionsfähige Zero-Day-Exploits jeder Schweregrad-Stufe in vielen gehärteten realen Systemen finden und entwickeln kann. Oder wenn es aus einem nur grob formulierten Ziel heraus neuartige Angriffsstrategien gegen gehärtete Ziele von Anfang bis Ende entwerfen und ausführen kann.

Astra ist noch nicht veröffentlicht.

Was OpenAI daraus ableitet, steht in derselben Mitteilung. Bestimmte Entwicklungsschritte an Astra werden verlangsamt, bis die passenden Schutzmaßnahmen stehen. Die Tests laufen in isolierten Umgebungen, der Zugriff auf Netz und Werkzeuge ist eingeschränkt, die Modellgewichte werden stärker abgesichert, es wird zusätzlich überwacht. Für alle agentischen Anwendungen von Astra gibt es eine durchgehende Überwachung, die die Gedankenkette des Modells auswertet und riskante Vorgänge unterbricht. Für die Prüfung arbeitet OpenAI mit Regierungsstellen und unabhängigen Sicherheitsinstituten zusammen, bevor breiterer Zugang gewährt wird.

Warum das eine bemerkenswerte Ansage ist

Ein Anbieter, der ein Produkt fertig hat, bremst normalerweise nicht freiwillig. Genau das passiert hier, jedenfalls nach der eigenen Darstellung.

Die Einstufung ist vorläufig. Ob sie am Ende bestätigt wird, ist offen, und OpenAI sagt selbst nur, dass sie sich nicht ausschließen lässt. Für die Einordnung reicht das trotzdem: die Fähigkeit, Sicherheitslücken selbstständig zu finden und auszunutzen, wächst schneller, als die meisten Betriebe ihre eigenen Systeme absichern.

Diese Fähigkeit wirkt in beide Richtungen. Ein Modell, das Schwachstellen findet, findet sie auch für Verteidiger. Angreifer haben allerdings einen strukturellen Vorteil: sie brauchen eine Lücke, der Verteidiger muss alle schließen.

Was das für einen kleinen Betrieb bedeutet

Nüchtern betrachtet: kurzfristig gar nichts, was du heute anders machen müsstest. Astra gibt es nicht zu kaufen, es gibt keinen Termin, und für den Alltag in einer Firma mit zwölf Mitarbeitern ändert die Risikoeinstufung eines unveröffentlichten Modells nichts.

Mittelfristig ändert sie eine Annahme. Die Vorstellung, ein kleiner Betrieb sei zu unwichtig für einen gezielten Angriff, hat schon in den vergangenen Jahren nicht mehr gestimmt, weil Angriffe automatisiert laufen und nach Gelegenheit suchen, nicht nach Namen. Wenn das Werkzeug billiger und besser wird, sinkt die Schwelle weiter. Der Aufwand, eine schlecht gepflegte Warenwirtschaft mit offener Fernwartung zu finden, wird kleiner, nicht größer.

Hier ist unsere Einschätzung aus der Praxis, und sie fällt unbequem aus. In den Betrieben, mit denen wir arbeiten, ist die Lücke fast nie eine Zero-Day-Schwachstelle in einem gehärteten System. Sie ist ein Router mit Werkseinstellung, ein Buchhaltungszugang, den drei Leute mit demselben Passwort nutzen, eine Fernwartung, die seit der Installation offen steht, und eine Überweisung, die niemand gegenprüft. Wer die Diskussion über Modellstufen verfolgt und nicht sagen kann, wann zuletzt Updates eingespielt wurden, priorisiert falsch herum.

Die vier Fragen, die vorher dran sind

Bevor du dich mit Modellrisiken beschäftigst, lohnt eine halbe Stunde für vier Antworten.

Wer spielt bei euch Updates ein, und wann zuletzt? Welche Zugänge sind noch aktiv, obwohl der zugehörige Mitarbeiter das Haus verlassen hat? Gibt es beim Ändern einer Bankverbindung oder beim Freigeben einer Zahlung ein Vier-Augen-Prinzip, das auch dann greift, wenn es eilig ist? Und liegt eine Sicherung eurer Daten an einem Ort, der von einem befallenen Rechner aus nicht erreichbar ist?

Wenn eine dieser Fragen offen bleibt, ist das die Baustelle. Wie sich der Rest ordnen lässt, haben wir im Beitrag zur KI-gestützten Cyberabwehr im Mittelstand beschrieben.

Was in dieselbe Woche fällt

Die Meldung steht nicht allein. Wenige Tage zuvor hat das britische AI Security Institute einen Bericht veröffentlicht, in dem KI-Agenten während eines Sicherheitstests eigenständig im offenen Internet gehandelt haben, obwohl das nicht vorgesehen war. Die Details dazu stehen im Beitrag über die unerlaubten Aktionen von KI-Agenten.

Beides zusammen zeichnet dasselbe Bild aus zwei Richtungen. Der Anbieter sagt, das Modell könnte zu viel können. Der Prüfer sagt, ein Agent hat mehr getan als beauftragt. Für einen Betrieb ist die praktische Übersetzung dieselbe: gib einem automatischen System nur die Rechte, die es für seine Aufgabe braucht, und baue einen Punkt ein, an dem ein Mensch bestätigt, bevor etwas nach draussen geht.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 7. August 2026):

Häufige Fragen

Was bedeutet die Stufe „Critical“ im Preparedness Framework?

Das Preparedness Framework ist OpenAIs eigenes Bewertungsraster für Modellrisiken. Die Stufe „Critical“ für Cybersicherheit ist erreicht, wenn ein Modell ohne menschliches Zutun funktionsfähige Zero-Day-Exploits in vielen gehärteten realen Systemen finden und entwickeln kann, oder wenn es aus einem grob formulierten Ziel heraus neuartige Angriffsstrategien gegen gehärtete Ziele entwerfen und ausführen kann.

Ist Astra bereits verfügbar?

Nein. Astra ist ein kommendes Modell und war zum Zeitpunkt der Mitteilung vom 7. August 2026 nicht veröffentlicht. OpenAI hat mitgeteilt, bestimmte Entwicklungsschritte zu verlangsamen, bis die passenden Schutzmaßnahmen stehen. Einen Termin für eine Veröffentlichung gibt es nicht.

War Astra an einem Angriff beteiligt?

Nein. Die Einstufung beruht auf vorläufigen Auswertungen der Fähigkeiten des Modells, nicht auf einem Vorfall. Astra war nach Angaben von OpenAI ausdrücklich nicht am Hugging-Face-Vorfall im Juli 2026 beteiligt.

Was sollte ein kleiner Betrieb daraus ableiten?

Kurzfristig nichts, was heute anders laufen müsste. Sinnvoller ist der Blick auf die eigenen Grundlagen: Wer spielt Updates ein und wann zuletzt, welche Zugänge ehemaliger Mitarbeiter sind noch aktiv, gibt es ein Vier-Augen-Prinzip bei Zahlungen und Bankverbindungsänderungen, und liegt eine Sicherung an einem Ort, den ein befallener Rechner nicht erreicht.

KI im Betrieb einsetzen, ohne die Sicherheit hinten anzustellen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 8. August 2026. Stand der Recherche: 7. August 2026.