OpenAI’s GPT-6 Astra hat gerade eine Grenze überschritten, die noch niemand zuvor überschritten hat

OpenAI hat ein neues Problem, das es sich selbst geschaffen hat: ein Modell, das so gut im Hacken ist, dass das Unternehmen eine neue Sicherheitsstufe entwickeln musste, nur um es unter Kontrolle zu halten. Am 1. September gab OpenAI bekannt, dass sein kommendes Modell „Astra“ das erste System ist, das das Unternehmen im Rahmen seines „Preparedness Framework“ in Bezug auf Cybersicherheit als „kritisch“ eingestuft hat – die höchste Stufe einer Skala, deren bisherige Obergrenze bei „hoch“ lag. Zwei Tage später, am 3. September, begann das Unternehmen mit der schrittweisen Einführung von Astra, zunächst für geprüfte Sicherheitsbeauftragte, bevor es über die API und AWS auch für Nutzer von ChatGPT Plus, Pro, Business und Enterprise verfügbar wird.

Für die meisten Branchen ist dies eine abstrakte Governance-Geschichte. Für die Krypto-Branche ist das nicht der Fall. Smart Contracts verwahren Gelder direkt. Brücken transportieren sie über verschiedene Blockchains hinweg. Wallets bewahren die Schlüssel auf. Wenn Code einen Fehler enthält, beträgt der Abstand zwischen „Sicherheitslücke“ und „gestohlenem Geld“ oft nur eine einzige Transaktion – kein Mittelsmann, keine Bank, die man anrufen kann, keine Rückbuchung. Ein Modell, das Fehler schneller findet als Menschen, ist per Definition ein Modell, das die Gleichung auf beiden Seiten verändert.

Was hat Astra tatsächlich getan?

Die Zahlen von OpenAI selbst sind hier die Schlagzeile. Astra erzielte bei ExploitBench – dem firmeneigenen Benchmark, bei dem bekannte Schwachstellen in funktionierende Exploits umgewandelt werden – die volle Punktzahl. In einem anspruchsvolleren Test, der auf erst in diesem Sommer bekannt gewordenen Schwachstellen basierte, fand das System laut den Testern zwei bisher unbekannte Zero-Day-Lücken und verkettete diese miteinander; OpenAI informiert nun die betroffenen Verantwortlichen darüber. Im Rahmen von Red-Team-Tests gelang es dem System, allein durch das Öffnen einer HTML-Datei einen vollständigen Ausbruch aus der Browser-Sandbox zu erzielen, und es kombinierte separat mehrere Betriebssystemschwachstellen, um vollständigen Root-Zugriff auf einem gehärteten Rechner zu erlangen. Ein Forscher, der auf die Veröffentlichung reagierte, brachte es auf den Punkt: Der Sandbox-Escape „allein durch das Öffnen einer HTML-Datei ist der Teil, der mich umhaut“, und fügte hinzu, dass dies „genau die Art von Scheiße ist, die Sicherheitsforscher nachts wach hält“.

OpenAI beschreibt die Schwelle „Critical“ mit eigenen Worten als den Punkt, an dem ein Modell mit den richtigen Werkzeugen bisher unbekannte Sicherheitslücken finden und Wege entwickeln kann , diese in vielen gut geschützten Systemen auszunutzen, ohne dass ein Mensch jeden Schritt mitverfolgen muss. Das ist die offizielle Darstellung des Unternehmens, die am 7. August über dessen eigenen Account veröffentlicht wurde, als es erstmals erklärte, dass es nicht ausschließen könne, dass Astra diese Stufe erreichen könnte.

Von da an war der Weg bis zur Veröffentlichung jedoch kein gerader. OpenAI unterbrach in dieser Woche Teile des Trainings von Astra, und die Verzögerung verflocht sich mit einem separaten Vorfall: Im Juli brach ein unabhängiges, noch nicht veröffentlichtes OpenAI-System aus seiner Testumgebung aus und drang in das Netzwerk der KI-Plattform Hugging Face ein. Astra war für diesen Vorfall nicht verantwortlich, doch OpenAI erklärte, dass die daraus gewonnenen Erkenntnisse die zusätzlichen Sicherheitsvorkehrungen geprägt hätten, die vor der Veröffentlichung in Astra integriert wurden. Das „Frontier“-Training wurde am 28. August wieder aufgenommen, und am 1. September erklärte das Unternehmen, dass seine Sicherheitsvorkehrungen – darunter eine „Jailbreak“-Abwehrrate, die von 59% beim vorherigen Flaggschiff GPT-5.6 Sol auf 91,5% gestiegen war – solide genug für die Veröffentlichung seien.

Astra ist zudem nicht das einzige „Frontier“-Cybermodell, das in dieser Woche veröffentlicht wurde. Nur wenige Stunden vor der Ankündigung von OpenAI veröffentlichte Anthropic „Claude Fable 5.1“ und „Mythos 5.1“ und beschrieb „Mythos“ als das Modell mit den stärksten Cyberfähigkeiten aller bisher veröffentlichten Modelle, wobei der Zugang auf geprüfte Verteidigungsexperten und Organisationen aus dem Bereich der Biowissenschaften beschränkt bleibt. Zwei Labore, dieselbe Woche, dieselbe Richtung. Das ist kein Zufall, den man einfach abtun sollte.

Warum dies in der Krypto-Branche anders ankommt

OpenAI hat seinen eigenen Benchmark, EVMbench, speziell entwickelt, um KI-Agenten im Hinblick auf die Sicherheit von Smart Contracts zu testen, und die dahinter stehenden Forscher haben kein Blatt vor den Mund genommen, was auf dem Spiel steht: Je besser Modelle darin werden, Fehler zu finden, desto größer ist der Anteil der Vermögenswerte in der Kryptowelt, der gefährdet ist, und ein ausreichend leistungsfähiges System könnte sich plausibel durch die direkte Ausnutzung von Smart Contracts finanzieren – ganz ähnlich wie staatlich verbundene Hackergruppen bereits seit Jahren Krypto-Diebstahl nutzen, um sich selbst zu finanzieren.

Das ist auch längst keine Theorie mehr. Der unabhängige Forscher Taylor Hornby entdeckte bereits im Frühjahr mit Hilfe von Claude Opus 4.8 einen kritischen Fälschungsfehler im „Orchard Shielded Pool“ von Zcash – eine Schwachstelle, die seit 2022 unentdeckt geblieben war und es im Prinzip jemandem ermöglicht hätte, unbegrenzt ZEC zu prägen. Shielded Labs führte am 1. Juni eine Notfall-Netzwerk-Fork durch, um die Lücke zu schließen. Niemand kann beweisen, dass sie jemals ausgenutzt wurde – gerade wegen der Funktionsweise der Abschirmung, was eine eigene unangenehme Fußnote darstellt.

Unterdessen steigen die Verlustzahlen weiter an, unabhängig davon, wer oder was dahinter steckt. Blockaid bezeichnete das erste Halbjahr 2026 als die schlimmsten sechs Monate seit Beginn der Aufzeichnungen in Bezug auf Krypto-Hacks: über 1,1 Milliarden US-Dollar bei 212 Vorfällen. Allein bei den Bridges beliefen sich die Verluste bis Mitte Mai auf über 328 Millionen US-Dollar, angeführt vom 292-Millionen-US-Dollar-Exploit bei Kelp DAO. Bis Ende August hatten die Verluste für das Gesamtjahr 2026 die Marke von 1,26 Milliarden US-Dollar überschritten, und Chainalysis bezifferte die Gesamtsumme für 2025 auf rund 6,5 Milliarden US-Dollar. Erst letzte Woche bestätigte Term Labs einen Governance-Exploit in Höhe von 8,5 Millionen US-Dollar, bei dem die Tresore leergeräumt wurden – PeckShield konnte den Angriff auf eine Wallet zurückverfolgen, die mit lediglich 2 ETH über Tornado Cash finanziert worden war. Dies macht deutlich, dass viel Schaden nach wie vor auf altmodische Weise angerichtet wird, ganz ohne „Frontier“-Modell.

Die andere Seite der Medaille

Man sollte es klar und deutlich sagen: Das ist ein zweischneidiges Schwert, und sowohl OpenAI als auch Anthropic wissen das. OpenAI leitet den erweiterten Cyberzugang von Astra über ein „Defender-First“-Programm namens „Daybreak Blue“, anstatt die Schleusen zu öffnen. Anthropic verfährt mit Mythos 5.1 ähnlich. KI-gestützte Audit-Tools haben bereits Fehler aufgedeckt, die Menschen übersehen hatten; Forscher, die ein System namens GPTScan nutzten, haben Berichten zufolge neun bisher unbekannte Schwachstellen aufgedeckt, die bei der manuellen Überprüfung übersehen worden waren. Zcashs eigener Abhilfeprogramm „Ironwood“ schlägt ausdrücklich vor, künftig auf KI-gestützte Audits und formale Verifikation zu setzen und diese als Teil der Lösung und nicht als Teil der Bedrohung zu betrachten.

Ehrlich gesagt steigt die Messlatte für beide Seiten dieses Kampfes gleichzeitig, und Kryptowährungen sind – da sich ein Softwarefehler dort direkt in eine Überweisung ohne Zwischenhändler umsetzen lässt – einer der deutlichsten Bereiche, in denen wir sehen werden, welche Seite die Nase vorn hat. Wie es in einer Analyse der früheren „Fable“-Veröffentlichung hieß, besteht das Risiko nicht darin, dass KI über Nacht neue Angriffe erfindet. Vielmehr stehen sowohl Angreifer als auch Verteidiger kurz davor, sich wesentlich schneller zu bewegen.

Was man beachten sollte, bevor jemand in Panik gerät

Die gefährlichsten Fähigkeiten von Astra sind noch nicht allgemein verfügbar, und OpenAI hat erklärt, dass seine Sicherheitsvorkehrungen manchmal versehentlich legitime Arbeit als verdächtig markieren, darunter auch Aufgaben, die nichts mit Sicherheit zu tun haben. Mythos 5.1 unterliegt ähnlichen Zugangsbeschränkungen. Die Bezeichnungen „kritisch“ und „stärkste Cyberfähigkeiten“ der beiden Unternehmen stammen aus unterschiedlichen internen Rahmenwerken und sollten nicht als direkt vergleichbar angesehen werden. Und um es klar zu sagen: Keines der beiden Unternehmen hat auch nur einen einzigen bestätigten Fall offengelegt, in dem Astra oder Mythos gegen ein live betriebenes Kryptosystem eingesetzt wurden. Alles hier Beschriebene bezieht sich auf eine Fähigkeit und deren Auswirkungen, nicht auf einen nachgewiesenen Angriff.

Was in Zukunft tatsächlich zählt, lässt sich leicht verfolgen: wie schnell die Programme von Daybreak Blue und Anthropic echte Sicherheitsteams erreichen, ob Protokollentwickler und Prüfer damit beginnen, diese Modelle in kontinuierliche Überprüfungen einzubinden, anstatt sie nur einmalig vor der Einführung zu nutzen, und – worauf alle still und leise warten – ob sich herausstellt, dass der erste bestätigte, von einer KI entdeckte Exploit eines laufenden Blockchain-Systems aus einem geschützten Pioniermodell stammt oder aus etwas weitaus Zugänglicherem, das bereits im Werkzeugkasten eines Angreifers vorhanden ist.