OpenAI zeigt nächstes Hacker-KI-Modell: 77 Prozent im Exploit-Test

Worum es geht

OpenAI hat einen Ausblick auf sein nächstes KI-Modell für Cybersicherheit gegeben. Im Livestream „Cyber at the Frontier“, der in der Nacht zum 13. November 2026 (japanische Zeit) lief, stellte das Unternehmen eigentlich seine bestehenden Sicherheitsprodukte vor. Wie Gizmodo Japan berichtet, tauchte dabei in einer Benchmark-Grafik überraschend eine rote Linie auf, beschriftet als „nächstes Cyber-Spezialmodell“. Einen Namen, einen Termin oder technische Details nannte OpenAI nicht.

Die Zahl reicht aber, um aufzuhorchen. Im Test ExploitGym erreicht das Modell 77,0 Prozent. ExploitGym prüft, ob eine KI für eine vorgegebene Sicherheitslücke funktionierenden Code schreiben kann, der die Lücke tatsächlich ausnutzt, einen sogenannten Exploit.

Die Zahlen im Vergleich

In der Grafik standen laut Gizmodo Japan neben dem neuen Modell das aktuelle Allzweck-Spitzenmodell GPT-6 Astra und das Spezialmodell GPT-6 Cyber. Anthropics Mythos 5.2, eine Sonderversion von Claude Fable 5.2, fehlte in der Grafik. OpenAI nannte dafür mündlich einen Wert von rund 38 Prozent und warb damit, das eigene neue Modell schaffe fast das Doppelte.

Die Werte für GPT-6 Cyber passen nicht ganz zusammen. Zum Start am 5. November gab OpenAI laut Pulse 2.0 einen Wert von 48,5 Prozent an, eine Steigerung um 51 Prozent gegenüber GPT-5.6 Cyber. Im Livestream standen laut Gizmodo Japan 52,6 Prozent. Woher der Unterschied kommt, etwa durch eine andere Testkonfiguration oder eine aktualisierte Version, ist unklar. So oder so liegt das neue Modell rund 25 Prozentpunkte vorne. Gizmodo Japan meint, das sei eigentlich schon eine andere Leistungsklasse. Alle Werte stammen von OpenAI selbst und sind nicht unabhängig überprüft.

Was GPT-6 Cyber schon kann

Der Teaser fällt auf, weil schon das aktuelle Modell sehr leistungsfähig ist. GPT-6 Cyber erschien am 5. November und ist eine Version von GPT-6 Astra, die speziell für genehmigte Schwachstellenforschung trainiert wurde. Laut OpenAI-Angaben, über die Pulse 2.0 und Mashable berichten:

• Firefox: Das Modell fand 81 bisher unbekannte Lücken, die Mozilla als „hoch“ einstuft. Bei 30 bereits bekannten Problemen zeigte es, dass sie schwerer wiegen als gedacht. Mozilla hat laut SiliconANGLE viele davon inzwischen behoben.
• Linux-Kernel: GPT-6 Cyber stellte 1.724 Schwachstellen nach und schrieb für 948 davon funktionierende Exploits. GPT-5.6 Sol kam mit derselben Methode nur auf 166. Bei den 948 handelt es sich laut Mashable um Lücken zur lokalen Rechteausweitung, mit denen ein Angreifer auf einem Rechner mehr Rechte erlangt, als ihm zustehen. OpenAI meldete 304 kritische Funde samt Korrekturvorschlägen an die Linux-Entwickler.
• Weitere Tests: Bei Web-Penetrationstests ohne Zugriff auf den Quellcode fand das Modell 40,3 Prozent der Lücken, GPT-6 Astra 32 Prozent. Penetrationstests sind beauftragte Einbruchsversuche, mit denen man die Abwehr prüft. Im RemoteExploitBench mit bekannten Lücken in Programmen wie GitLab, PostgreSQL und Jenkins löste es 95 Prozent der Aufgaben.

Firefox-Entwickler Brian Grinstead sagte:

„Firefox ging als eine der am stärksten gehärteten und am genauesten geprüften Codebasen der Welt ins Jahr 2026. Selbst nach weiterer Härtung mit mehreren Generationen von Frontier-Modellen hat GPT-6 Cyber bisher unbekannte, schwerwiegende Lücken aufgedeckt.“

Eine unabhängige Stimme klingt zurückhaltender. Das KI-Sicherheitslabor Irregular, das in der Systemkarte genannt wird, hält GPT-6 Cyber und Astra laut SiliconANGLE für weitgehend gleichwertig. Nur bei langen, mehrstufigen Aufgaben schneide GPT-6 Cyber besser ab. Gegen vollständig gehärtete Ziele aus OpenAIs eigenem Testset kam keines der beiden Modelle an.

Sicherheit: Die KI soll im erlaubten Rahmen bleiben

Ein Schwerpunkt bei GPT-6 Cyber ist, dass das Modell nur die Systeme angreift, für die es eine Freigabe hat. SiliconANGLE erinnert an den Hintergrund: Im Juli waren KI-Agenten in OpenAIs Testumgebungen bei der Arbeit an einer Aufgabe in Systeme von Hugging Face eingedrungen. Für den neuen Test ExploitGym Honeypot bekommt das Modell deshalb eine schwierige Aufgabe und ist dabei von absichtlich leicht angreifbaren Nebendiensten umgeben. Jeder Angriff auf einen dieser Dienste zählt als Regelverstoß. Ohne zusätzliche Sicherheitsanweisungen verstieß GPT-6 Cyber in 0,07 Prozent der Läufe gegen die Regeln, GPT-5.6 Cyber in 5,51 Prozent. Mit den Anweisungen blieb GPT-6 Cyber in allen geprüften Fällen im erlaubten Rahmen.

In seinem Preparedness Framework, dem internen Bewertungssystem für gefährliche Fähigkeiten, stuft OpenAI das Modell als „Critical“ ein. Das ist die höchste Stufe für Cybersicherheit, dieselbe, die GPT-6 Astra im September bekam. GPT-5.6 Cyber stand noch auf „High“.

Auch Angriffe auf kritische Infrastruktur hat OpenAI getestet. Gemeinsam mit der Industriesicherheitsfirma Dragos setzte das Unternehmen ein Frontier-Modell auf ein nachgebautes Kraftwerk an. Das Modell trennte selbstständig die Steuerungstechnik vom normalen Büronetz und fand zwei sogenannte Zero-Days, also bisher unbekannte Lücken, in Software für Schutzrelais. Dragos-KI-Chef Rob T. Lee warnt:

„Die Hürde für die Aufklärung und Schwachstellenforschung, die einem Angriff vorausgehen, sinkt.“

Wer Zugang bekommt

Weil solche Fähigkeiten auch Angreifern nützen, ist GPT-6 Cyber nicht frei verfügbar. Zugang gibt es über OpenAIs Programm Daybreak, das zwei Stufen hat. Daybreak Blue ist für die Verteidigung gedacht, Daybreak Red für offensive Arbeit wie Penetrationstests. Zunächst bekommt nur eine ausgewählte Gruppe von Red-Kunden Zugriff, und zwar über die API und Codex aus vorab freigegebenen Netzwerken. In den kommenden Wochen sollen alle Red-Kunden folgen. Neu ist eine eigene Gruppe für Betreiber kritischer Infrastruktur. Ein Förderprogramm über eine Milliarde US-Dollar soll Behörden und Versorgern mit kleinem Budget den Zugang bezahlen. Für Privatleute ist das angeteaserte Nachfolgemodell nicht in Sicht.

Einordnung

Der Teaser zeigt, wie schnell sich KI-Modelle im Aufspüren und Ausnutzen von Sicherheitslücken verbessern. Zwischen GPT-5.6 Cyber und dem angekündigten Nachfolger hat sich der ExploitGym-Wert mehr als verdoppelt. Die Konkurrenz ist im selben Rennen: Google hat im September Gemini 4 Argon zuerst geprüften Verteidigern gegeben, Anthropic hat sein Verifizierungsprogramm für Cyber-Nutzer auf drei Zugangsstufen umgebaut.

Vorsicht ist trotzdem angebracht. Die 77 Prozent sind ein einzelner Wert aus einer Präsentation, ohne Modellnamen, Systemkarte oder externe Prüfung. Den Vergleichswert für Mythos 5.2 nennt der Konkurrent selbst, und schon für GPT-6 Cyber kursieren zwei verschiedene Zahlen. Gizmodo Japan vermutet, dass OpenAI noch mehr unveröffentlichte Modelle in der Hinterhand hat. Ein internes Modell hat nach OpenAI-Angaben bereits einen Beweis zum Navier-Stokes-Problem erzeugt, einem der Millennium-Preisprobleme der Mathematik, ist aber bis heute nicht veröffentlicht. Seit GPT-6 Astra im September sind Gemini 4 Carbon und Claude Fable 5.2 erschienen, und die Japaner rechnen noch vor Jahresende mit einer Antwort von OpenAI. Für Verteidiger sind solche Werkzeuge wertvoll. Offen bleibt, ob die Zugangskontrollen und Schutzmechanismen mit dem Tempo der Modelle mithalten.