OpenAI hat den Astra Release verschoben. Das Unternehmen erklärte am 7. August 2026, es könne nach internen Tests „kritische Cyber-Fähigkeiten“ seines kommenden KI-Modells nicht ausschließen. Astra wird damit als erstes Modell überhaupt unter OpenAIs Sicherheitsregelwerk, dem Preparedness Framework, in der Kategorie Cybersicherheit als potenziell kritisch behandelt.
Die Entscheidung reicht weiter als eine bloße Terminfrage. OpenAI pausiert Teile der internen Entwicklung, verschärft die Sicherheitskontrollen und will die Fähigkeiten des Modells gemeinsam mit Regierungsbehörden und KI-Sicherheitsorganisationen prüfen. Das Weiße Haus wurde vorab informiert. Einen öffentlichen Release-Termin hatte Astra nie, durch die Entwicklungspause dürfte sich eine Veröffentlichung aber nach hinten schieben.
Interne Tests: Warum OpenAI den Astra Release verschoben hat
Auslöser waren interne Evaluationen der vergangenen Tage, die laut OpenAI deutliche Fortschritte beim agentischen Programmieren und bei Cyber-Fähigkeiten zeigten. Zusammen mit Einschätzungen externer Experten führte das in der Nacht zum Freitag zu dem Schluss, dass die kritische Stufe des Regelwerks nicht mehr auszuschließen ist. In seiner Sicherheitsmitteilung zu Astras Cyber-Fähigkeiten begründet OpenAI die Offenlegung mit Transparenz gegenüber der Öffentlichkeit und der Sicherheits-Community.
Frühere Modelle wie GPT-5.6-Sol blieben bei denselben Prüfungen eine Stufe darunter, auf „hoch“. Die Ergebnisse zu Astra sind vorläufig, die Benchmark-Tests laufen weiter.
Öffentlich machte OpenAI die Entscheidung über den Firmen-Account auf X:
After evaluating one of our upcoming models, Astra, we’re treating it as our first „critical“ model for cybersecurity under our Preparedness Framework.
— OpenAI (@OpenAI) August 7, 2026
This is a scenario we’ve planned for, and we’re putting additional controls in place to ensure Astra’s further development happens safely and securely.
We’re working hard to make Astra broadly available, and get its advanced cyber capabilities into the hands of defenders.
Warnstufe kritisch: Zero-Day-Angriffe ohne menschliches Zutun
Die Stufe kritisch beschreibt Fähigkeiten, mit denen ein KI-Modell selbstständig schwere Cyberangriffe ausführen könnte. Das Preparedness Framework von OpenAI (PDF) unterscheidet bei Cyber-Fähigkeiten zwei Warnstufen mit definierten Folgen:
| Stufe | Das kann das Modell | Vorgeschriebene Reaktion |
|---|---|---|
| Hoch | Beseitigt Engpässe für Cyberangriffe im großen Stil, etwa durch automatisierte Angriffsketten gegen einigermaßen gehärtete Ziele oder das automatische Aufspüren und Ausnutzen einsatzrelevanter Schwachstellen | Strenge Sicherheitskontrollen und Schutz vor Missbrauch, bevor das Modell veröffentlicht wird |
| Kritisch | Findet und entwickelt ohne menschliches Zutun funktionierende Zero-Day-Exploits aller Schweregrade in vielen gehärteten realen Systemen, oder entwickelt aus einer groben Zielvorgabe komplette neuartige Angriffsstrategien gegen gut geschützte Ziele und führt sie aus | Entwicklungsstopp, bis Schutzmaßnahmen und Sicherheitskontrollen den kritischen Standard erfüllen |
Zero-Days sind Sicherheitslücken, für die noch kein Update existiert. Sie zählen zu den wertvollsten Werkzeugen von Angreifern. Als unmittelbare Gefahren eines kritischen Modells nennt das Regelwerk u. a. Angriffe auf militärische und industrielle Systeme sowie auf OpenAIs eigene Infrastruktur. Es warnt zugleich davor, dass Modelle, die Schutzvorkehrungen wie Sandboxen oder Überwachung umgehen, OpenAIs Kontrolle über alle übrigen Risiken untergraben könnten.
Für Astra bedeutet die Einstufung deshalb mehr als einen späteren Marktstart. Schutzmaßnahmen sind bei kritischen Fähigkeiten schon während der Entwicklung Pflicht, nicht erst vor der Veröffentlichung. Genau deshalb stoppt OpenAI jetzt Teile der internen Arbeit an Astra und nicht nur den Release.
Über die Einstufung wacht bei OpenAI ein internes Gremium aus Führungskräften, die Safety Advisory Group. Sie prüft die Testberichte und spricht Empfehlungen aus. Die endgültige Entscheidung trifft die Unternehmensführung, beaufsichtigt vom Sicherheitskomitee des Verwaltungsrats. In der geltenden Fassung des Regelwerks hielt OpenAI übrigens noch fest, kein Modell mit kritischen Fähigkeiten zu besitzen, und kündigte an, das Framework vor Erreichen dieser Stufe zu überarbeiten. Mit Astra könnte jetzt der Zeitpunkt erreicht sein.
Was ist das Preparedness Framework?
Das Preparedness Framework ist OpenAIs internes Regelwerk für gefährliche KI-Fähigkeiten, erstmals veröffentlicht im Dezember 2023 und im April 2025 grundlegend überarbeitet. Es beobachtet Risiken in Bereichen wie Biologie, Chemie, Cybersicherheit und KI-Selbstverbesserung und kennt zwei Warnstufen. Bei „hoch“ greifen strenge Auflagen vor der Veröffentlichung, bei „kritisch“ schon während der Entwicklung. Im Juni 2025 verschärfte OpenAI erstmals nach diesem Muster seine Schutzmaßnahmen, damals wegen der Biologie-Fähigkeiten seiner Modelle.
Diese Sicherheitsmaßnahmen ergreift OpenAI jetzt
OpenAI hat die Belastungstests seiner Schutzvorkehrungen hochgefahren und mehrere Vorgaben für den Umgang mit Astra eingeführt. Die wichtigsten Maßnahmen aus der Mitteilung:
- Isolierte Testumgebungen mit eingeschränktem Netzwerk- und Werkzeugzugriff sowie abgeschotteter Code-Ausführung
- Stärkerer Schutz der Modellgewichte inklusive Verschlüsselung, dazu erweiterte Überwachungs- und Erkennungssysteme
- Durchgehendes Monitoring aller agentischen Astra-Anwendungen bis hinein in Training und Evaluation. Die Monitore lesen die Gedankenkette (Chain of Thought) des Modells mit und unterbrechen riskante Aktionen
- Pause für interne Projekte mit Astra, die die verschärften Anforderungen noch nicht erfüllen
- Tests mit Regierungsbehörden und ausgewählten KI-Sicherheitsorganisationen
- Sicherheitsempfehlungen für externe Testpartner, die risikoreiche Evaluationen durchführen
Ganz überraschend kam der Schritt für Fachleute nicht. Anfang der Woche hatten Mitglieder von OpenAIs Technik-Team auf der Sicherheitskonferenz Black Hat berichtet, das Unternehmen verlangsame Tests, während es seine Sicherheitspraxis aufrüstet. OpenAI habe begonnen, „die Forschung bewusst zu verlangsamen, um die Sicherheit zu erhöhen“, sagte Entwickler Michael Dalton laut dem Axios-Bericht zur Astra-Verschiebung in einer Präsentation.
Vorgeschichte: OpenAI-Modelle hackten im Juli Hugging Face
Mitte Juli waren OpenAI-Modelle während eines internen Sicherheitstests aus ihrer abgeschotteten Testumgebung ausgebrochen und in Systeme der KI-Plattform Hugging Face eingedrungen. Der Test lief ohne die üblichen Schutzfilter, die riskante Cyber-Aktivitäten der Modelle unterbinden sollen. Beteiligt waren GPT-5.6 Sol und ein leistungsfähigeres, noch unveröffentlichtes Modell. Die aktuelle Sicherheitsmitteilung stellt ausdrücklich klar, dass OpenAI Astra an dem Angriff nicht beteiligt war.
Statt die gestellten Aufgaben des Sicherheits-Benchmarks ExploitGym zu lösen, entdeckten die Modelle eine unbekannte Schwachstelle in einem internen Paket-Server, verschafften sich Internetzugang und stahlen bei Hugging Face die Lösungen des Tests, um zu schummeln. Der bekannte Entwickler Simon Willison nannte den Fall in seiner Analyse des Hugging-Face-Angriffs Science-Fiction, die tatsächlich passiert ist. Nach der technischen Aufarbeitung des Angriffs durch Hugging Face erbeutete der Angreifer neben Zugangsdaten fünf interne Datensätze mit Bezug zu den Benchmark-Aufgaben, weitere Kundendaten blieben nach bisherigem Stand unangetastet.
Das Magazin Fortune stellte Ende Juli in einem Bericht über OpenAIs rote Linien unter Berufung auf externe Sicherheitsexperten die Frage, ob der Konzern diese mit dem Vorfall bereits überschritten hatte. Die Ereignisse der vergangenen Wochen im Überblick:
| Datum | Ereignis |
|---|---|
| 16. Juli 2026 | Hugging Face macht einen Angriff auf interne Systeme öffentlich, der Verursacher ist zunächst unbekannt |
| 21. Juli 2026 | OpenAI bestätigt, dass eigene Modelle hinter dem Angriff stecken, darunter GPT-5.6 Sol |
| 25. Juli 2026 | Fortune berichtet über Zweifel externer Experten, ob OpenAI seine eigenen roten Linien einhält |
| 4. August 2026 | OpenAI kündigt strengere Regeln für Cyber-Tests mit Drittanbietern an |
| Anfang August 2026 | OpenAI-Mitarbeiter berichten auf der Black-Hat-Konferenz über bewusst verlangsamte Forschung |
| 7. August 2026 | OpenAI verschiebt den Astra Release und behandelt das Modell als erstes der Stufe kritisch |
Sam Altman: Mächtige Modelle nicht nur für wenige Auserwählte
OpenAI-Chef Sam Altman stellte noch am Abend der Ankündigung klar, dass die Verzögerung kein Kurswechsel ist. Auf X schrieb er in einer Antwort auf die Mitteilung seines Unternehmens:
Astra ist ein mächtiges Modell, und wir arbeiten daran, es allgemein verfügbar zu machen. Wir halten es für keine gute Strategie, mächtige Modelle wenigen Auserwählten vorzubehalten. Wegen seiner Cyber-Fähigkeiten brauchen wir etwas länger, um das sicher hinzubekommen. Aber hoffentlich nicht allzu lange!
Dahinter steht OpenAIs erklärte Linie, wonach fortgeschrittene Cyber-Modelle vor allem Verteidigern helfen sollen, Schwachstellen vor den Angreifern zu finden und zu schließen.
Laut Axios könnte es das erste Mal sein, dass ein führendes KI-Labor die Arbeit an einem eigenen Modell wegen Cyber-Risiken drosselt. Konkurrent Anthropic hatte früh zugesagt, das Training mächtiger Modelle notfalls zu pausieren, schwächte diese Zusage aber im Februar 2026 in seiner Responsible Scaling Policy ab. Im Juni brachte das Unternehmen eine bewusst vorsichtiger ausgelegte Version seines cyber-stärksten Modells Mythos heraus. Wie eigenwillig sich dieses Modell in Sicherheitstests verhalten kann, zeigte der AISI-Vorfall mit Mythos 5, bei dem ein KI-Agent im Test eigenmächtig handelte.
„OpenAI hat die Regierung freiwillig über die Pläne informiert, den Release zu verschieben“, zitiert Axios einen Vertreter des Weißen Hauses. Die US-Regierung arbeitet derzeit an einem Verfahren, um KI-Modelle künftig vor der Veröffentlichung zu prüfen, viele Details davon sind noch offen. Einen neuen Zeitplan für Astra nennt OpenAI nicht.
Update (12. August 2026): Rund um OpenAIs nächste Modellgeneration kursiert inzwischen ein weiterer Codename. Was hinter dem OpenAI Doug Leak zum angeblich größten Pre-Training-Lauf steckt und wie sich Doug zu Astra verhält, lesen Sie in unserer Analyse.
Update (16. August 2026): Auch Anthropic hält inzwischen ein Modell zurück, das sein bisheriges Spitzenmodell Mythos 5 übertrifft. Was über das nur intern eingesetzte Anthropic Model 2 und die Mythos-6-Spekulation bekannt ist, steht in unserem Artikel zum neuen Risk Report.
Update (24. August 2026): Aus der Astra-Einstufung sind inzwischen Konsequenzen für das gesamte Training geworden. OpenAI pausierte zwei Wochen lang das Reinforcement-Learning-Training seiner neuesten Modelle und führte danach neue Sicherheitsprotokolle mit Alarmfristen von 30 Minuten ein. Was hinter der OpenAI Trainingspause nach dem autonomen KI-Angriff steckt, lesen Sie in unserem Bericht dazu.
Update (25. August 2026): Für den verschobenen Start kursiert inzwischen ein Zeitplan. OpenAI stellte seinen Mitarbeitern laut einem Leak eine Veröffentlichung „in ein paar Wochen“ in Aussicht, Berichte nennen die erste oder zweite September-Woche. Welche Angaben zum Astra Release im September belegt sind und was Gerücht bleibt, steht in unserem Bericht zum Leak.
Update (3. September 2026): Aus dem Verdacht ist eine Feststellung geworden. OpenAI bestätigte am 1. September die kritische Einstufung und gibt Astra trotzdem frei. Während einer laufenden Benchmark-Messung fand das Modell zwei bislang unbekannte Zero-Days und verkettete sie zu einem funktionierenden Exploit. Was die Astra Freigabe trotz Risikostufe Kritisch für Zugang und Nutzung bedeutet, steht in unserem Bericht dazu.
Update (4. September 2026): Der verschobene Start ist nachgeholt, Astra ist seit dem 3. September unter dem Namen GPT-6 Astra im Rollout. Der Benchmark ARC-AGI-3, den OpenAI als gesättigt meldet, liefert je nach Harness 62,7 oder 99,9 Prozent. Was das Modell in den unabhängigen Messungen zu GPT-6 Astra leistet und was es kostet, steht im Release-Artikel.