Der Hugging-Face-Vorfall wurde für OpenAI zum Weckruf und zur Zäsur auf dem Weg zum Release des noch unveröffentlichten AI-Modells Astra. Ein internes Forschungsmodell hatte Schutzmechanismen umgangen, sich Zugang zum Internet verschafft und ohne entsprechende menschliche Anweisung auf externe Infrastruktur zugegriffen. Verantwortlich für einen Großteil der Aktivitäten war ein internes Forschungsmodell, das nie für einen öffentlichen Release vorgesehen war. Auch GPT-5.6 Sol war an Teilen des Vorfalls beteiligt. Das geht aus OpenAIs Untersuchung des Incidents hervor.
Um einen erneuten Eklat zu vermeiden, will OpenAI die Sicherheitsvorkehrungen vor dem Start leistungsfähigerer AI-Modelle nachbessern. Beim anstehenden Release von Astra hat das bereits zu Verzögerungen geführt. Als erstes OpenAI-Modell erreicht Astra die Cybersecurity-Stufe „Critical“. Dahinter steht eine Fähigkeitsgrenze, die bislang kein OpenAI-Modell überschritten hatte.
OpenAI Hack auf Hugging Face:
Angriff hatte größere Folgen als zunächst bekannt
Astra verzögert sich – Altman macht Sicherheit zur höchsten Priorität
Bereits Anfang August hatte das Unternehmen angekündigt, bestimmte Frontier Trainings, darunter auch Trainings mit Astra, für zwei Wochen auszusetzen. OpenAI wollte zunächst die Trainingsinfrastruktur besser absichern, damit Modelle mit diesen Fähigkeiten nicht – wie zuvor der interne Forschungsprototyp – unautorisiert auf Netzwerke oder externe Systeme zugreifen können. Zu den Maßnahmen zählten stärker isolierte Testumgebungen, ein eingeschränkter Netzwerk- und Tool-Zugriff sowie zusätzliche Monitoring-Funktionen für Anwendungen, bei denen das Modell weitgehend selbstständig handelt.
Einige größere Reinforcement Learning Trainings für spätere Astra-Versionen blieben noch länger ausgesetzt. Erst am 28. August nahm OpenAI einen zuvor pausierten großen Trainingslauf wieder auf, nachdem zusätzliche Sicherheitsanforderungen umgesetzt worden waren. Inzwischen kündigt OpenAI Astra für die nahe Zukunft an. Die fortschrittlichsten Cybersecurity-Fähigkeiten sollen zum Start allerdings nur eingeschränkt zugänglich sein.
Auch OpenAI CEO Sam Altman beschreibt die vergangenen Monate als intensive Phase der Sicherheitsarbeit. OpenAI habe den Sommer genutzt, um neue Fähigkeiten stärker mit entsprechenden Schutzmaßnahmen zu verzahnen. Wie schwer die Folgen der Entwicklung extrem leistungsfähiger KI jedoch einzuschätzen sind, betont Altman ebenfalls: „[…] niemand versteht die Konsequenzen dessen vollständig.“ Die Aufgabe, „die Übergangsphase zu einer Welt mit umfassend verfügbarer und mächtiger KI so zu managen, dass Sicherheit und Vorteile für die Menschen optimiert werden“, bezeichnet er daher als eine der höchsten Prioritäten überhaupt – und als höchste Priorität für OpenAI.
Over the summer, we have been sprinting on safety priorities; it’s more important than ever for capabilities and safeguards to advance together. We have more to do but have made a lot of progress. We are also going to be launching our next model soon.
There is an obvious tension…
— Sam Altman (@sama) September 1, 2026
Astra erreicht die „Critical“-Stufe
OpenAI beschreibt Astra als „significant advance in cybersecurity capability“ und stuft damit erstmals ein Modell in die Kategorie „Critical“ des eigenen Preparedness Framework ein. Der Sicherheits- und Risikobewertungsrahmen definiert, ab welchem Fähigkeitsniveau besonders leistungsfähige AI-Modelle zusätzliche Schutzmaßnahmen benötigen.
As we prepare to release Astra, we’re focused on making increasingly capable AI safe and broadly accessible.
Astra represents a significant advance in cybersecurity capability, reaching the Critical threshold under our Preparedness Framework.
We’re previewing how we evaluated…
— OpenAI (@OpenAI) September 1, 2026
Die „Critical“-Schwelle ist hoch angesetzt. Ein Modell erreicht sie beispielsweise, wenn es ohne menschliche Hilfe bislang unbekannte Sicherheitslücken in zahlreichen stark geschützten IT-Systemen finden und Methoden entwickeln kann, um diese auszunutzen. Die Einstufung greift auch, wenn ein Modell lediglich ein übergeordnetes Ziel erhält und daraufhin selbstständig einen neuartigen Cyber-Angriff auf eine stark geschützte IT-Infrastruktur planen und durchführen kann.
Astra findet Zero-Day-Schwachstellen
Wie weit Astra dabei bereits kommt, zeigen Tests von OpenAI. Im ExploitBench Benchmark sollte das Modell Wege finden, bereits bekannte Sicherheitslücken auszunutzen. Astra löste nach Angaben des Unternehmens alle Aufgaben und erreichte 100 Prozent.
Weil solche öffentlich bekannten Tests bereits in Trainingsdaten enthalten sein könnten, entwickelte OpenAI zusätzlich eine interne Prüfung mit 20 schweren Sicherheitslücken, die erst zwischen Juni und August 2026 bekannt geworden waren. Auch dort übertraf Astra GPT-5.6 Sol deutlich. Laut OpenAI konnte Astra wesentlich häufiger tatsächlich Code auf den Zielsystemen ausführen und benötigte dafür zugleich deutlich weniger Output Tokens, also kürzere Modellausgaben.
Noch brisanter: Astra entdeckte während der Tests zwei sogenannte Zero-Day-Schwachstellen. Dabei handelt es sich um Sicherheitslücken, die bis dahin noch nicht bekannt und entsprechend noch nicht gezielt behoben worden waren. Das Modell nutzte beide Lücken zudem als Teil einer Angriffskette. OpenAI arbeitet nach eigenen Angaben daran, die betroffenen Entwickler:innen darüber zu informieren.
Auch besonders abgesicherte Testumgebungen stellten Astra vor lösbare Aufgaben. In einem Test fand das Modell einen Weg aus der abgeschotteten Umgebung eines Browsers heraus und konnte anschließend Befehle auf dem dahinterliegenden Computer ausführen. Bei einem abgesicherten Betriebssystem kombinierte Astra mehrere Schwachstellen und verschaffte sich schließlich Root-Zugriff. Damit erhielt das Modell die höchste Berechtigungsstufe auf dem jeweiligen Rechner.
Astra soll Sicherheitsgrenzen besser einhalten
Weil die Cybersecurity-Fähigkeiten von Astra auch missbraucht werden könnten, hat OpenAI das Modell stärker darauf trainiert, unerlaubte Anfragen abzulehnen und innerhalb vorgegebener Sicherheitsgrenzen zu bleiben. In eigenen Jailbreak-Tests verweigerte Astra 91,5 Prozent entsprechender Anfragen. GPT-5.6 Sol kam auf 59 Prozent. Für Accounts mit erhöhtem Risikoprofil gelten zusätzliche Einschränkungen.
Wie sich Astra verhält, wenn es bei einer Aufgabe auf nicht erlaubte Infrastruktur stößt, prüfte OpenAI in einer weiteren Evaluation. Der Test orientierte sich am Hugging Face-Vorfall und sollte zeigen, ob ein Modell versucht, solche Zugänge zu nutzen, statt innerhalb des vorgesehenen Aufgabenbereichs zu bleiben.
GPT-5.6 Sol griff unter diesen Testbedingungen in 56 Prozent der Fälle auf nicht erlaubte Ziele zu. Astra unternahm keinen solchen Versuch. Getestet wurde in einer simulierten Umgebung ohne die regulären Cybersecurity-Schutzmaßnahmen. Die Ergebnisse lassen sich daher nicht mit dem normalen Einsatz der Modelle gleichsetzen.
Astra startet mit Sicherheitsbremse
Trotz der Fortschritte bei der Absicherung wird OpenAI die leistungsfähigsten Cybersecurity-Fähigkeiten von Astra zunächst nicht für alle freigeben. Das Modell soll zwar bald erscheinen, besonders fortgeschrittene Cybersecurity-Aufgaben bleiben zum Start aber einer kleinen Gruppe von Tester:innen vorbehalten. Erst später soll das Programm Daybreak Blue den Zugang für defensive Zwecke erweitern, etwa um Unternehmen beim Finden und Beheben von Sicherheitslücken zu unterstützen.
Die zusätzlichen Schutzmechanismen können sich dabei auch auf reguläre User auswirken. Hält OpenAIs Monitoring eine Aktion für möglicherweise riskant, kann selbst eine legitime Aufgabe verlangsamt oder vorübergehend gestoppt werden. In ChatGPT oder Codex können User dann aufgefordert werden, eine Aktion zu überprüfen, bevor Astra weiterarbeitet. Bei der Nutzung über die API wird die betreffende Aufgabe gestoppt.
Dass OpenAI diese Einschränkungen in Kauf nimmt, zeigt, welchen Stellenwert die Absicherung inzwischen hat. Sicherheit darf bei Frontier-Modellen kein nachgelagerter Fix, sondern muss Voraussetzung für ihre Veröffentlichung sein. Sobald Modelle eigenständig handeln oder auf externe Systeme zugreifen können, müssen ihre Grenzen verlässlich durchgesetzt werden. OpenAI hat bei Astra dafür vorgesorgt. Ob diese Maßnahmen am Ende ausreichen, lässt sich jedoch nicht sicher vorhersagen. Altman selbst räumt ein, dass die Konsequenzen extrem leistungsfähiger KI „KI nicht vollständig nachvollziehbar sind. Je weiter die Leistungsfähigkeit von AI-Modellen steigt, desto drängender wird deshalb die Frage, ob ihr zusätzlicher Nutzen das wachsende Schadenspotential rechtfertigt.
Dass diese Abwägung nicht nur OpenAI betrifft, zeigt auch ein jüngster Vorfall bei Anthropic. Bei Cybersecurity-Evaluationen führte eine Fehlkonfiguration dazu, dass drei Claude-Modelle Zugriff auf das offene Internet hatten und sich unautorisierten Zugang zu IT-Systemen dreier Organisationen verschafften. Anthropic stoppte daraufhin zunächst sämtliche laufenden Cybersecurity-Evaluationen.
Nach OpenAI-Vorfall:
Auch Anthropic entdeckt Sicherheitslücken
– so schützt du dich vor KI-Angriffen
Stelle OnlineMarketing.de als bevorzugte Quelle auf Google ein
Wenn du OnlineMarketing.de auf Google als bevorzugte Quelle einstellen möchtest, um auch in den Schlagzeilen auf Google immer aktuelle News und Tipps aus der Welt des Marketing und der Tech-Entwicklungen zu finden, kannst du einfach die Google-Quelleneinstellungen aufrufen und die Seite anwählen. Über das Stern-Icon neben den Top Stories kannst du ebenfalls bevorzugte Quellen für die spätere Suche speichern.
