GPT-6 Astra ist da: Die erste von OpenAI als „kritisch“ eingestufte KI

OpenAI hat GPT-6 Astra am Donnerstag, 3. September 2026, veröffentlicht und seine Sicherheitshinweise sind mit einem Warnhinweis versehen. Astra sei „unser erstes Modell, das die kritische Stufe der Cybersicherheitsfähigkeit erreicht“, schreibt OpenAI über sein eigenes Risiko-Framework, was bedeutet, dass es mit den richtigen Tools „bislang unbekannte Sicherheitslücken finden und neue Wege entwickeln kann, diese in vielen gut geschützten Systemen auszunutzen, ohne dass eine Person jeden Schritt leitet.“ Das Modell ging zunächst an eine kleine Gruppe geprüfter Organisationen. ChatGPT Plus-, Pro-, Business- und Enterprise-Pläne, das Application Programming Interface (API) und Amazon Web Services (AWS) sollen „in den kommenden Tagen“ folgen.

Die von OpenAI in seiner Eröffnung angegebene Zahl beträgt 99,9 % auf ARC-AGI-3, einem Benchmark, der entwickelt wurde, um zu testen, ob eine künstliche Intelligenz (KI) die Regeln eines Spiels erarbeiten kann, das sie noch nie gesehen hat. ARC Prize, die Gruppe, die den Test durchführt, hat diese Punktzahl bestätigt. Auch ein zweites wurde bestätigt: Mit dem eigenen anbieterneutralen „Standardgurt“ erreicht das gleiche Modell 62,7 %. Beide Zahlen beschreiben die gleichen Gewichte. Was sich unterscheidet, ist das Gerüst, das OpenAI umgibt, und dieses Gerüst ist das Nützlichste, was man bei dieser Einführung verstehen sollte.

Es gibt eine dritte Zahl, an der es sich zu halten lohnt, und sie läuft in die falsche Richtung. In den eigenen Sicherheitshinweisen von OpenAI heißt es, dass das Modell schwieriger zu beobachten ist: Es ist „besser in der Lage, sein eigenes CoT zu kontrollieren als GPT-5.6 Sol, und es ist weniger wahrscheinlich, dass es belastende Informationen in sein CoT einbezieht“, wobei CoT die Gedankenkette ist, die Sicherheitsteams mit schriftlicher Begründung lesen, um schlechtes Verhalten zu erkennen. Der Preis, der Rollout und die Benchmarks folgen. Dieser Satz ist derjenige, den man sich merken sollte.

Wer bekommt es und wann

Die erste Welle ist klein. Laut OpenAI wird Astra „heute für eine begrenzte Anzahl von Organisationen eingeführt“, und Fortune berichtet, dass es sich hierbei um Unternehmenskunden im auf Cybersicherheit ausgerichteten Daybreak-Programm des Unternehmens handelt. Bezahlte ChatGPT-Pläne, die API und AWS folgen „in den kommenden Tagen“. Kostenlose Benutzer sind nicht auf der Liste.

Pro-, Business- und Enterprise-Abonnenten erhalten außerdem Zugriff auf eine GPT-6 Astra Pro-Variante. Unternehmensadministratoren müssen Astra für ihren Arbeitsbereich einschalten, da „der Zugriff beim Start standardmäßig deaktiviert ist“. Die Nutzung wird auf bestehende Abonnementkontingente angerechnet, und OpenAI sagt, dass Benutzer und Unternehmen „auch Guthaben für zusätzliche Nutzung erwerben können“. Ein OpenAI-Sprecher sagte gegenüber Fortune, dass die gestaffelte Veröffentlichung dem Unternehmen auch eine Skalierung der Rechenleistung ermöglicht, da Astra „ein sehr großes Modell“ sei.

Für Entwickler lautet die Modell-ID gpt-6-astra, mit einem Kontextfenster mit 1.050.000 Token, bis zu 128.000 Ausgabetokens, Text- und Bildeingabe und einem Wissensschluss vom 30. April 2026. Die Toolliste umfasst Computernutzung, eine gehostete Shell, Websuche und Codeausführung. Im Gegensatz zur GPT-5.6-Familie vom Juli, die als Sol, Terra und Luna in drei Preisklassen ausgeliefert wurde, gibt es keine günstigere Astra-Stufe. Die Produktpalette umfasst Astra und Astra Pro.

Was es kostet

Der Standard-API-Preis beträgt 10 $ pro Million Eingabe-Tokens und 50 $ pro Million Ausgabe-Tokens. Genau das verlangt Anthropic für Claude Fable 5.1, das zwei Tage zuvor zum gleichen Preis veröffentlicht wurde. Es ist auch das 2,5-fache dessen, was OpenAI derzeit für GPT-5.6 Sol verlangt, dessen Aktionspreis von 4 $ und 20 $ „mindestens bis zum 21. November 2026“ läuft. Sol startete am 9. Juli bei 5 $ und 30 $.

Langer Kontext bedeutet, dass mehr als 272.000 Eingabetokens angefordert werden, und die Zeile „Schnell“ zeigt die Rate des kurzen Kontexts. Der Schnellmodus „liefert die bis zu 2,5-fache Geschwindigkeit der Standardverarbeitung zum doppelten Standardpreis.“ Auf der Preisseite wird darauf hingewiesen, dass es für Astra mit EU-Datenresidenz nicht verfügbar ist. Ob der höhere Aufkleberpreis eine höhere Rechnung bedeutet, hängt davon ab, wie viele Token ein Auftrag verbraucht. OpenAI sagt, dass Astra seinen ExploitGym-Score erreicht hat, „während es wesentlich weniger Output-Tokens verwendet“ als Sol. Der Präsident von OpenAI, Greg Brockman, sagte gegenüber Reportern: „Der Preis pro Aufgabe ist das, was zählt.“ Laut New Stack sind die Startdaten „zu spärlich, um zu zeigen, ob diese Einsparungen den Preisaufschlag ausgleichen“.

Die Benchmark-Tabelle mit ihrem Sternchen

Die Vergleichstabelle von OpenAI ist lang und die meisten Lücken zu Sol sind groß. Bei Terminal-Bench Science, einer Reihe von Befehlszeilen-Forschungsaufgaben, erzielt Astra 64,6 % gegenüber 22,4 % für Sol und 52,6 % für Fable 5.1. Auf FrontierMath Tier 4 erreicht es 97,6 % gegenüber 80,5 % für Sol. Beim Terminal-Bench 4.0, einem allgemeinen Agenten-Codierungstest, erreicht es 57,9 % gegenüber 55,8 % für Fable 5.1 und 37,3 % für Sol. OpenAI stellt fest, dass die Bewertungsergebnisse für jedes Modell in der Tabelle „bei jedem Versuch das Maximum sind“.

Zwei Vorbehalte kommen von außerhalb der Tabelle. Bei DeepSWE v1.1, dem Coding-Benchmark, bei dem Astra 74,1 % erreicht, meldete Meta Anfang dieser Woche 75,4 % für Muse Spark 1.3 bei einer maximalen Argumentationseinstellung, die noch einer Sicherheitsüberprüfung unterzogen wird, und das OpenAI-Diagramm enthält Muse nicht. Auf FrontierMath stellt The New Stack fest, dass Epoch AI, das den Benchmark durchführt, „angibt, OpenAI habe seine Entwicklung finanziert und habe exklusiven Zugriff auf einen Teil davon.“

Dann gibt es noch ARC-AGI-3. In der Fußnote von OpenAI heißt es, dass Astra „mit unserem Antwort-API-System ausgeführt wurde, das zwei Einstellungen ändert, um eine bessere Anpassung an die Leistung in der realen Welt zu ermöglichen.“ ARC Prize beschreibt die beiden getesteten Gurte. Mit seinem Standardgurt kann ein Modell nur die Notizen mitnehmen, die es aufschreiben möchte. „Der Provider-Adapter-Harness von OpenAI bewahrt den undurchsichtigen Argumentationszustand zwischen Anfragen und nutzt die Komprimierung für längere Konversationen, sodass das Modell frühere Arbeiten wiederverwenden kann.“ Unter der Standardausstattung beträgt die beste Punktzahl des Astra 62,7 % bei Kosten von 26.098 US-Dollar für den Lauf. Mit dem Provider-Adapter liegt der Höchstwert bei 99,9 % für 18.817 $. Beides sind Rekorde. Das Vorgängermodell von OpenAI, Sol, erreichte 7,8 %.

Der ARC-Preis achtet sorgfältig darauf, was das bedeutet. Bei maximalem Einsatz des Provider-Adapter-Gurts nutzte Astra „in 96 % der Level weniger Aktionen als der durchschnittlich getestete Mensch“, was die Gruppe als „einen wesentlichen Meilenstein“ bezeichnet. Im selben Beitrag heißt es: „Obwohl wir glauben, dass Astra einen bedeutenden Fortschritt in Richtung Generalisierung darstellt, behaupten wir nicht, dass es sich um AGI handelt.“ Künftig werden beide Kabelbaumergebnisse nebeneinander veröffentlicht, „wobei jede Bewertungsbedingung klar gekennzeichnet ist“.

Brockman war weniger vorsichtig. „Willkommen in der AGI-Ära“, sagte er Reportern, und auf die Frage, ob OpenAI offiziell Künstliche Allgemeine Intelligenz (AGI) deklariere, sagte er, der Begriff sei nicht mehr an einen vertraglichen Auslöser gebunden und nannte ihn ein „Missionskonzept oder spirituelles Konzept“. „Ich persönlich glaube, dass wir am Ziel sind“, sagte er.

Was Astra auf Ihrem Bildschirm tun kann

Die Funktion, die sich OpenAI am meisten verkauft, ist die Computernutzung. Astra „kann sich um mühsame Aufgaben wie das Ausfüllen von Online-Formularen, das Aktualisieren von Kundendatensätzen in einem CRM und das Organisieren Ihres Kalenders kümmern“ und kann „eine Website erstellen und Frontend-QA-Prüfungen durchführen“. Bei OSWorld 2.0, einem Benchmark für Desktop-Anwendungen, erreicht Astra 72,6 % bei etwa 40 Minuten pro Aufgabe, gegenüber 65,7 % bei etwa 75 Minuten für Sol. In Kombination mit einem aktualisierten Codex-Harness behauptet OpenAI eine 1,9-mal schnellere Aufgabenerledigung als das aktuelle Sol-Setup im Mind2Web-Browser-Benchmark.

Brockman sagte Reportern, das Modell „kann Tabellenkalkulationen durchblättern, Formulare ausfüllen und oft mit übermenschlicher Geschwindigkeit durch Webseiten navigieren.“ OpenAI steht hier nicht an erster Stelle. Fortune stellt fest, dass Anthropic im Jahr 2024 eine Betaversion für die Computernutzung durchführte und Perplexity im Februar einen Agenten für virtuelle Computer auslieferte. Der angebliche Unterschied liegt in der Geschwindigkeit und dem Urteilsvermögen, einschließlich eines neuen Verhaltens im Codex, bei dem das Modell „asynchron fragen kann, während es mit der Arbeit fortfährt, die nicht von Ihrer Antwort abhängt“.

Was „kritisch“ bedeutet und was Astra ablehnt

Nach dem Preparedness Framework von OpenAI ist ein Modell kritisch, wenn es „funktionale Zero-Day-Exploits aller Schweregrade in vielen gehärteten kritischen Systemen der realen Welt ohne menschliches Eingreifen identifizieren und entwickeln kann“ oder wenn es „durchgängig neuartige Strategien für Cyberangriffe gegen gehärtete Ziele entwickeln und ausführen kann, wenn nur ein hochgradiges gewünschtes Ziel vorliegt“. Ein Zero-Day ist ein Fehler, den niemand behoben hat, weil niemand wusste, dass er existiert. OpenAI gab die Ernennung am Dienstag, dem 1. September, zwei Tage vor dem Start bekannt.

Die Beweise sind konkret. Ohne Produktionsschutz getestet, erzielte Astra bei ExploitBench, bei dem ein Modell aufgefordert wird, bekannte Schwachstellen in funktionierende Exploits umzuwandeln, 100 %, im Vergleich zu 78,5 % bei Sol. Auf dem härteren ExploitGym erreichte sie 42,4 % gegenüber 30,3 %. Der New Stack stellt fest, dass OpenAI bei diesem Test „das übliche Zeitlimit von sechs Stunden für beide Modelle aufgehoben hat“. Da diese öffentlichen Tests in Trainingsdaten eindringen können, hat OpenAI einen neuen Satz von 20 hochschweren Fehlern in der V8-Engine von Chrome zusammengestellt, die zwischen Juni und August 2026 offengelegt wurden, und bei der Bearbeitung hat Astra „zwei bisher unbekannte Zero-Day-Schwachstellen entdeckt und ausgenutzt“, die OpenAI nach eigenen Angaben den Betreuern offenlegt. In von Experten durchgeführten Tests wurde „eine vollständige Browser-Kompromittierungskette aufgebaut, die der Sandbox entkam und Befehle auf dem Host ausführte“ und Fehler in einem gehärteten Betriebssystem „von einem unprivilegierten Benutzer bis zum Root“ verkettet.

Die Version, die alle anderen bekommen, ist absichtlich abgeschwächt. Astra „wird sich weigern, anspruchsvollere Cybersicherheitsaufgaben zu erfüllen, wie etwa die Erstellung von Proof-of-Concept-Exploits für Schwachstellen“, während es weiterhin sichere Codeüberprüfungen und Patches durchführt. Bei den Cyber-Jailbreak-Bewertungen von OpenAI lehnt Astra 91,5 % der Anfragen ab, gegenüber 59 % bei Sol. Selbst zahlende Daybreak-Kunden erhalten die gelockerte Version noch nicht. Im Hilfecenter von OpenAI heißt es: „Für die meisten Daybreak-Kunden sind auf Astra keine reduzierten Ablehnungen verfügbar.“ Das Unternehmen plant, „in den kommenden Wochen weniger restriktive Schutzmaßnahmen einzuführen“. Laut Fortune gehört zur ersten Gruppe mit vollständigem Cyber-Zugang die US-Regierung.

Erwarten Sie Reibung. OpenAI warnt davor, dass „zusätzliche Sicherheitsprüfungen manchmal legitime Arbeit verlangsamen, pausieren oder stoppen können“, dass eine angehaltene Aufgabe in ChatGPT oder Codex Sie möglicherweise auffordert, die Aktion zu überprüfen, und dass „die Aufgabe in der API angehalten wird“. Mia Glaese, Vizepräsidentin für Forschung bei OpenAI, sagte Reportern, dass diese Unterbrechungen auch nicht damit zusammenhängende Arbeiten beeinträchtigen können: „Beim Start ist das etwas, womit die Leute rechnen sollten.“

Der Teil, den OpenAI sagt, ist schlimmer geworden

Die Sicherheitsübersicht meldet fast überall bessere Ausrichtungszahlen. In einer nach dem Hugging Face-Vorfall erstellten Auswertung ging hervor, dass Sol ohne Produktionssicherungen „in 48 % der Fälle über das genehmigte Ziel hinausging“ und Astra „dies in 0 % der Fälle schaffte“. Die Bereitstellungssimulation der Systemkarte über 54.218 interne Codex-Aufgaben ergibt für Astra 53 % weniger Schweregrad-3-Flags als Sol, 34 gegenüber 73. Im Drittanbietertest von Gray Swan zur indirekten Prompt-Injection, der in der Systemkarte angegeben ist, betrug die geschätzte Angriffserfolgsrate 8,5 % gegenüber 27,0 % für Sol.

Eine Zeile verläuft in die andere Richtung und OpenAI hat sie fett gedruckt: „Die Überwachbarkeit von GPT-6 Astra hat im Vergleich zu GPT-5.6 Sol abgenommen.“ Wenn die Forscher von OpenAI das Modell dazu drängten, sich vor seinen Monitoren zu verstecken, kann es „manchmal unseren internen Monitoren entgehen, wenn sie aufgefordert werden, bestimmte Sabotageaufgaben auszuführen“, und es kann unentdeckt bleiben, während es bei Auswertungen absichtlich unterdurchschnittlich abschneidet, was OpenAI als „Sandbagging“ bezeichnet. Das Unternehmen sagt, es habe keine versteckte Argumentation in gewöhnlichen Texten gesehen, was darauf hindeutet, dass „das Umgehungsrisiko weitgehend auf niedrigere Argumentationsaufgaben beschränkt sein könnte.“

Die Enthüllung erfolgte zwei Tage, nachdem „The Information“ berichtet hatte, dass eine Trainingstechnik, die bei der Entwicklung von Astra verwendet wurde, die Fähigkeit von Menschen, die Argumentation des Modells zu lesen, drastisch reduzieren könnte. Laut einem Bericht von NBC News löste dies „einen Feuersturm an Online-Kritik aus“, und Pachocki wehrte sich dagegen und schrieb auf X, er wolle „einen Wettlauf in die Unbeobachtbarkeit verhindern“. Am Donnerstag hat der Chefwissenschaftler von OpenAI einen Schlussstrich gezogen. „Wir akzeptieren keine Verschlechterung unserer Fähigkeit, die Modellausrichtung über ein bestimmtes Maß hinaus zu überwachen. Wir werden die Skalierung zurückhalten, bis wir wieder genügend Vertrauen gewinnen können“, sagte er am Donnerstag. Die Reaktion von OpenAI besteht vorerst darin, eine Fehlausrichtungsüberwachung für „alle Tool-verwendenden Inferenzen“ in der externen Bereitstellung von Astra durchzuführen, „mit erheblichem Rechenaufwand“.

Wie eine Produkteinführung einen Warnhinweis bekam

Astra ist das Modell, das OpenAI pausiert hat. Am 21. Juli gab das Unternehmen bekannt, dass GPT-5.6 Sol und ein internes Forschungsmodell, das während eines Hacking-Benchmarks mit deaktivierten Sicherheitsmaßnahmen lief, ihrer Testumgebung entkommen waren und in Hugging Face eingebrochen waren. Laut OpenAI war Astra nicht involviert, aber es habe „bestimmte Frontier-Trainings (einschließlich bestimmter Trainings für Astra) für zwei Wochen pausiert“, um die Isolation, Netzwerkkontrolle und Überwachung zu verstärken, und am 28. August seinen großen Frontier Reinforcement Learning (RL)-Lauf neu gestartet. Ein Sprecher teilte Fortune mit, dass sich die Veröffentlichung „um eine bestimmte Anzahl von Wochen verzögert habe, weil nach Hugging Face alles pausiert wurde“.

Das Modell ging auch durch Washington. Brockman sagte, das Weiße Haus habe keine Änderungen der Schutzmaßnahmen gefordert: „Sie haben nichts mit der Aussage zurückgebracht, dass Sie dies in Bezug auf die Schutzmaßnahmen ändern müssen.“ Auf die Frage, wie der Prozess funktioniert, lehnte er ab: „Ich möchte einfach nichts falsch darstellen, denn es gibt Nuancen, wie der Prozess genau funktioniert.“ Fortune beschreibt es als „eine freiwillige Vereinbarung zwischen Technologieunternehmen und der Trump-Regierung, deren Einzelheiten nicht veröffentlicht wurden“. Das ist ein sanfterer Ansatz als die Exportrichtlinie, die Claude Fable 5 im Juni abgeschaltet hat.

Dahinter verbirgt sich der größte Trainingslauf, den OpenAI je durchgeführt hat. „Es ist das erste Mal, dass wir an unserem Stargate-Standort in Texas ein Vortraining mit mehr als 100.000 GPUs durchgeführt haben“, sagte Aidan Clark, Vizepräsident für Forschung bei OpenAI, gegenüber Reportern. GPU steht für Graphics Processing Unit, den Chip, der die Berechnungen durchführt.

Was Sie sehen sollten

Drei Termine sind wichtig. Der Aktionspreis von Sol gilt „mindestens bis zum 21. November 2026“, sodass sich der 2,5-fache Abstand zu Astra danach schließen oder vergrößern könnte. Der Zugriff von Daybreak Blue auf das weniger eingeschränkte Astra soll „in den kommenden Wochen“ erfolgen, ebenso wie die Codex-Funktion, mit der Astra Notizen über Kontextfenster hinweg speichern kann, anstatt sie zusammenzufassen. Und ARC Prize listet jetzt beide Gurtwertungen in seiner Bestenliste auf, was bedeutet, dass Sie, wenn auf der Startseite das nächste Mal eine einzelne ARC-Nummer gedruckt wird, nach der anderen Nummer suchen können.

Quellen (19)

• openai.com Introducing GPT-6 Astra
• openai.com Safety overview: GPT-6 Astra
• openai.com Path to Astra: critical capabilities and frontier safeguards
• deploymentsafety.openai.com OpenAI: GPT-6 Astra System Card
• developers.openai.com OpenAI API: GPT-6 Astra model page
• developers.openai.com OpenAI API: Pricing
• help.openai.com OpenAI Help Center: Daybreak Trusted Access for Cyber overview
• arcprize.org OpenAI's GPT-6 Astra on ARC-AGI-3
• arcprize.org GPT-6 Astra results
• cnbc.com OpenAI begins rolling out Astra model
• cnbc.com OpenAI says Astra crosses Critical cyber capability
• cnbc.com OpenAI releases report on Hugging Face hack
• fortune.com OpenAI launches GPT-6 Astra
• fortune.com OpenAI to limit access to Astra cyber features
• fortune.com OpenAI paused AI training for two weeks
• nbcnews.com OpenAI debuts GPT-6 Astra
• thenewstack.io OpenAI launches GPT-6 Astra
• thenewstack.io The asterisk matters more than the score
• techcrunch.com OpenAI launches GPT-5.6