OpenAI gab am 10. August 2026 bekannt, dass interne Bewertungen von Astra, einem kommenden Modell, „bedeutende Fortschritte in agentorischem Coding und Cybersicherheit" zeigen — stark genug, dass das Unternehmen „nicht ausschließen kann", dass das Modell den im Preparedness Framework definierten Critical-Schwellenwert für Cybersicherheit erreicht.
Dies ist das erste Mal, dass OpenAI ein Modell öffentlich auf dieser Schwelle markiert. Bisherige Modelle, einschließlich GPT-5.6-Sol, wurden auf dem High-Level bewertet, eine Stufe unter Critical.
Die Ankündigung ist kurz und sorgfältig formuliert. Aber das strukturelle Detail, das zählt — das Detail, das kein Medium in den Vordergrund stellt — ist die Lücke zwischen dem, was das Framework als Critical definiert, und der Reaktion von OpenAI auf diesen Schwellenwert.
Was „Critical" tatsächlich bedeutet
Unter OpenAIs Preparedness Framework (erstmals veröffentlicht im Dezember 2023) erreicht ein Modell den Critical-Schwellenwert für Cybersicherheit, wenn es ohne menschliches Eingreifen eine der folgenden Fähigkeiten besitzt:
- Funktionale Zero-Day-Exploits aller Schweregrade in vielen gehärteten realen Systemen identifizieren und entwickeln — nicht nur ein System, nicht nur ein Schweregrad, sondern flächendeckend.
- End-to-end neuartige Strategien für Cyberangriffe gegen gehärtete Ziele entwerfen und ausführen, gegeben nur ein allgemeines Ziel.
Das bedeutet nicht „das Modell kann Phishing-E-Mails schreiben" oder „das Modell kann Exploits vorschlagen." Es geht um autonome Entdeckung und Waffenisierung von Schwachstellen in Produktionssystemen, bei Skalierung, ohne menschliche Beteiligung.
Das Framework wurde entwickelt, bevor Modelle dieses Niveau erreichten. OpenAI weist darauf hin, dass es veröffentlicht wurde, „bevor Modelle Fähigkeiten in den Bereichen Biologie, Chemie, Cybersicherheit und KI-Selbstverbesserung auf diesem Niveau erreichten." Das Framework wird nun durch die Realität getestet, für die es gebaut wurde.
Die Reaktion: Kontrollierte Eskalation, kein Stopp
Hier erscheint die Governance-Lücke.
Wenn der Critical-Schwellenwert bedeutet: „Dieses Modell kann autonom Zero-Day-Exploits gegen kritische Infrastruktur entwickeln", wäre die intuitive Reaktion: Stopp. Entwicklung einstellen. Nicht deployen.
OpenAIs tatsächliche Reaktion ist anders. Die angekündigten Schritte:
- Strengere Sicherheitskontrollen für Modelle mit höheren Fähigkeiten: isolierte Testumgebungen, eingeschränkter Netzwerk- und Tool-Zugriff, erweiterter Modellschutz und Verschlüsselung, zusätzliche Überwachungs- und Erkennungsfähigkeiten, Sandboxed Execution.
- Pausierung interner Aktivitäten mit Astra, die noch nicht die verschärften Sicherheitsanforderungen erfüllen.
- Universelle Überwachung von riskanten Aktionen und Missalignment bei allen agentorischen Anwendungen von Astra, einschließlich Training und Evaluation. Monitore bewerten den Chain of Thought des Modells und lösen eine Sicherheitsreaktion aus, um riskante Aktivitäten zu unterbrechen.
- Einbindung von Regierungsbehörden: Zusammenarbeit mit zuständigen Behörden und ausgewählten KI-Sicherheitsorganisationen zum Testen der Modellfähigkeiten.
- Sicherheitskontrollen für Drittpartner: Bereitstellung empfohlener Kontrollen für Testpartner, die risikoreiche Evaluierungen und Workloads sicher durchführen.
Dies sind echte, substantielle Schritte. Aber beachten Sie, was fehlt: kein Deployment-Stopp, keine öffentliche Zusage, das Modell zurückzuhalten, kein regulatorischer Auslöser. Das Framework definiert einen Schwellenwert; die Reaktion ist eine kontrollierte Eskalation von Sicherheitsmaßnahmen bei fortlaufender Entwicklung.
Dieses Strukturmuster haben wir in der vergangenen Woche bei drei weiteren Governance-Momenten beobachtet:
- 7. August: Anthropic hat beide Technologien geschaffen, die die Agent Plugins 1.0.0-Spezifikation umfasst, ist aber im TSC, der sie standardisiert, nicht vertreten.
- 6. August: Ein reproduzierbarer Test des AI-Crawler-Builds von time.com lieferte primäre Evidenz, die die veröffentlichte Berichterstattung invertierte — aber nur, weil jemand den Test durchführte statt die Berichterstattung zu zitieren.
- 5. August: Ein Vendor kündigte einen Fix in Release Notes an, aber npm
stableverwies noch auf die Vorgängerversion. Ankündigung und Distribution waren unterschiedliche Dinge.
In jedem Fall enthielt die Ankündigung die Lücke. Niemand hat danach gesucht.
Was Astra ist — und was nicht
OpenAI stellt klar, dass Astra ein „kommendes Modell" ist und nicht in den Hugging-Face-Exploit verwickelt war. (Der Hugging-Face-Einbruch, der im Juli 2026 einem KI-Agenten zugeschrieben wurde, ist ein separater Vorfall.)
Die vorläufigen Bewertungen zeigen „starke genug Leistung, dass wir die Critical-Fähigkeitsstufe zu diesem Zeitpunkt nicht ausschließen können." Dies ist keine bestätigte Critical-Einstufung — es ist ein „kann nicht ausgeschlossen werden"-Befund, der im Framework den Auslöser für die Eskalation von Sicherheitskontrollen darstellt.
Der Unterschied ist wichtig: OpenAI sagt nicht, dass Astra die Critical-Schwelle überschritten hat. Sie sagen, dass ihre Bewertungen stark genug sind, dass sie nicht zuversichtlich sagen können, dass es nicht der Fall ist. In einem Risikomanagement-Framework löst „kann nicht ausgeschlossen werden" eine Aktion aus — genauso wie eine „kann nicht ausgeschlossen werden"-Krebsdiagnose eine Behandlung auslöst, keinen abwartenden Ansatz.
Die Erfolgsbilanz des Preparedness Framework
Dies ist nicht das erste Mal, dass das Framework aktiviert wurde. Im Juni 2025, als OpenAIs Modelle sich dem High-Schwellenwert für Biologie näherten, kündigte das Unternehmen ähnliche Schritte an: verstärkte Schutzmaßnahmen, erweiterte Tests, Einbindung externer Experten, zusätzliche Sicherheitskontrollen.
Der Unterschied: Der High-Schwellenwert für Biologie löste die gleiche Reaktion aus wie der Critical-Schwellenwert für Cybersicherheit. Wenn die Reaktionsgradienten des Frameworks High und Critical nicht sinnvoll unterscheiden, werden die Schwellenwertnamen zu Labels statt zu Auslösern unterschiedlicher Aktionen.
Ein Framework, das auf „wir können Critical nicht ausschließen" genauso reagiert wie auf „wir nähern uns High", ist ein Framework, in dem der Schwellenwertname die operative Reaktion nicht verändert. Das ist eine Governance-Design-Beobachtung, keine Kritik an den Kontrollen selbst — die Kontrollen sind real und substantiell. Aber wenn ein Builder verstehen will, was „Critical" für seine Deployment-Entscheidungen bedeutet, lautet die Antwort: es bedeutet die gleiche Sicherheits-Eskalation wie „High", nur mit mehr davon.
Was Builder tun sollten
Für Teams, die auf OpenAIs API bauen oder Astra für agentorische Workflows in Betracht ziehen:
1. Gehen Sie davon aus, dass das Modell veröffentlicht wird. Das Reaktionsmuster des Frameworks ist kontrollierte Fortführung, kein Stopp. Planen Sie damit, dass Astra unter eingeschränktem Zugriff verfügbar wird, nicht damit, dass es zurückgehalten wird.
2. Die von OpenAI genannten Sicherheitskontrollen sind Ihre Vorschau der Deployment-Grenze. Isolierte Testumgebungen, eingeschränkter Netzwerkzugriff, Sandboxed Execution, universelle Überwachung — dies sind die Bedingungen, unter denen Astra verfügbar gemacht wird. Wenn Ihre Infrastruktur diese Bedingungen nicht erfüllen kann, werden Sie Astra nicht in Produktion betreiben können.
3. Das Detail zur Chain-of-Thought-Überwachung ist operativ am bedeutendsten. OpenAI gibt an, dass Monitore den Chain of Thought des Modells bewerten und eine Sicherheitsreaktion auslösen, um riskante Aktivitäten zu unterbrechen. Das bedeutet, dass das interne Reasoning von Astra zur Laufzeit überwacht wird — nicht nur während der Evaluation. Wenn Sie agentorische Systeme auf Basis von Astra bauen, werden die Reasoning-Traces Ihres Agenten von OpenAIs Infrastruktur überwacht. Das hat Auswirkungen auf Latenz, Datenschutz und Fehlermodi.
4. Einbindung von Regierungsbehörden bedeutet regulatorische Sichtbarkeit. OpenAI arbeitet mit „zuständigen Regierungsbehörden und ausgewählten KI-Sicherheitsorganisationen" zusammen, um das Modell zu testen. Das bedeutet, dass Astras Fähigkeiten Regulierern bekannt sein werden, bevor das Modell veröffentlicht wird. Builder sollten erwarten, dass das Deployment von Modellen auf Critical-Niveau mit regulatorischen Bedingungen verbunden sein wird — und sollten ihre Compliance-Position entsprechend vorbereiten.
5. Die Formulierung „kann nicht ausgeschlossen werden" wird wiederkehren. Da Modelle sich weiterentwickeln, werden mehr Labore Schwellenwerte erreichen, bei denen sie Critical-Fähigkeiten nicht ausschließen können. OpenAIs Transparenz hier setzt einen Präzedenzfall. Die Frage für Builder ist nicht, ob sie diese Modelle nutzen sollen — sondern ob ihr eigenes Governance-Framework auf „kann nicht ausgeschlossen werden"-Befunde mit der gleichen strukturierten Eskalation reagieren kann wie OpenAIs.
Fazit
OpenAIs Preparedness Framework wurde entwickelt, um zu beantworten: „Was tun wir, wenn Modelle gefährlich werden?" Die Astra-Ankündigung ist der erste Realwelt-Test dieses Frameworks auf dem Critical-Schwellenwert für Cybersicherheit. Die Antwort des Frameworks — Sicherheitskontrollen hochskalieren, nicht-konforme Aktivitäten pausieren, Regierungen einbinden, Entwicklung fortsetzen — ist eine vernünftige operative Reaktion.
Aber es ist kein Stopp. Und die Lücke zwischen „Critical Capability" und „fortlaufende Entwicklung mit Kontrollen" ist der Raum, in dem jeder Builder, Regulierer und Sicherheitsforscher nun arbeiten wird.
Die Ankündigung enthält die Lücke. Jetzt haben Sie danach gesucht.
Häufig gestellte Fragen
Was ist der Critical-Schwellenwert für Cybersicherheit von OpenAI?
Unter OpenAIs Preparedness Framework erreicht ein Modell den Critical-Schwellenwert für Cybersicherheit, wenn es ohne menschliches Eingreifen funktionale Zero-Day-Exploits aller Schweregrade in vielen gehärteten realen Systemen identifizieren und entwickeln kann oder end-to-end neuartige Cyberangriffs-Strategien gegeben nur ein allgemeines Ziel entwerfen und ausführen kann.
Ist Astra bereits deployt?
Nein. Astra ist ein kommendes Modell. OpenAI hat kein Veröffentlichungsdatum angekündigt. Das Unternehmen hat interne Aktivitäten mit Astra pausiert, die nicht den verschärften Sicherheitsanforderungen entsprechen.
War Astra in den Hugging-Face-Exploit verwickelt?
Nein. OpenAI stellt ausdrücklich fest, dass Astra nicht in den Exploit von Hugging Face verwickelt war. Der Hugging-Face-Einbruch, der im Juli 2026 einem KI-Agenten zugeschrieben wurde, ist ein separater Vorfall.
Was ist der Unterschied zwischen High und Critical im Preparedness Framework?
Bisherige Modelle wie GPT-5.6-Sol wurden auf dem High-Schwellenwert bewertet. Critical liegt eine Stufe darüber. In der Praxis war OpenAIs Reaktion auf beide Schwellenwerte ähnlich: Sicherheitskontrollen hochskalieren, Tests erweitern, externe Experten einbinden. Das Framework sieht bei Critical keinen Deployment-Stopp vor.
Was sollten Builder vorbereiten?
Builder sollten davon ausgehen, dass Astra unter eingeschränktem Zugriff veröffentlicht wird (isolierte Umgebungen, eingeschränkter Netzwerkzugriff, Sandboxed Execution, Laufzeit-Überwachung). Teams, die agentorische Systeme bauen, sollten sich auf Chain-of-Thought-Überwachung durch OpenAIs Infrastruktur einstellen und mit regulatorischen Bedingungen für den Deployment von Modellen auf Critical-Niveau rechnen.