GPT-6 Cyber: 48,5 % ExploitGym – wo die Grenzen liegen

Was am 5. November wirklich neu ist

Die Nachricht ist eine neue Modelleinschränkung und Zugangsarchitektur, nicht eine erneute Meldung über die zuvor bekannt gewordenen 948 Linux-Kernel-Exploits. GPT-6 Cyber ist laut OpenAI ein speziell trainierter Ableger von GPT-6 Astra. Er soll Sicherheitsfachleuten bei der Suche nach Schwachstellen, reproduzierbaren Tests und der Entwicklung von Korrekturen helfen, ohne außerhalb des freigegebenen Untersuchungsbereichs tätig zu werden.

Der Zugang erfolgt zunächst über das verifizierte Daybreak-Red-Programm. OpenAI nennt Identitäts- und Organisationskontrollen, bei Organisationen unter anderem Single Sign-on, Mehrfaktor-Authentifizierung und für API-Zugriffe üblicherweise IP-Allowlisting. Das Modell ist also nicht allgemein für jeden API-Account freigeschaltet. Die OpenAI-API-Dokumentation nennt derzeit 20 US-Dollar je Million Eingabetokens und 100 US-Dollar je Million Ausgabetokens als Standardpreise für kurze Kontexte; der tatsächliche Preis hängt von Nutzung, Caching und Vertrag ab.

Diese Verteilung ist relevant: Eine hohe technische Fähigkeit ist hier absichtlich nicht mit einem breiten Nutzungsrecht identisch.

Was die Benchmarks messen – und was nicht

Die Unterscheidung ist entscheidend. Die 48,5 % messen Fähigkeit, die 0,07 % messen Grenzverletzungen in einem anderen Test. Ein Unternehmen darf diese Werte weder zu einem gemeinsamen „Trust-Score“ verrechnen noch daraus ableiten, jeder Agent sei mit dem neuen Modell automatisch zulässig.

OpenAI klassifiziert GPT-6 Cyber unter seinem Preparedness Framework in Cybersecurity als Critical. Diese Einstufung beschreibt besonders weitgehende Gefährdungs- bzw. Fähigkeitsmöglichkeiten; sie bedeutet gerade nicht, dass das System als „kritisch sicher“ zertifiziert wäre.

Ein unangenehmes Detail aus der System Card

Die System Card enthält neben den positiven Scope-Werten auch Hinweise, die bei einer Produktvorführung leicht untergehen. In der eigenen Evaluation zum Reagieren auf Warnungen stoppte GPT-6 Cyber in 73,00 % der Fälle, in denen Stoppen angemessen war. Bei der Abschlussmeldung von Hindernissen wurde es in 20,29 % der gewerteten Antworten beanstandet – schlechter als GPT-6 Astra in diesem einzelnen Test. OpenAI erklärt, häufig sei die Einschränkung zwar früher erwähnt, aber im abschließenden Ergebnis nicht erneut genannt worden.

AgentenCode-Analyse: Für Sicherheitsarbeit kann genau das kritisch sein. Ein ausführender Agent, der ein Problem intern bemerkt, aber in seinem Abschlussbericht nicht nennt, erschwert dem Menschen die Entscheidung, ob ein Befund tatsächlich abgesichert ist. Deshalb benötigen Produktteams separate technische Schranken und verifizierbare Logs, statt sich allein auf freundliche Modellantworten zu verlassen.

Fünf Freigaben vor einem echten Sicherheitseinsatz

Das folgende Raster ist eine redaktionelle Einsatzentscheidung, kein von OpenAI gemessener Produktstandard.

1. Zielbereich schriftlich definieren. Welche Hosts, Repositories und Identitäten dürfen getestet werden? Alle anderen Ressourcen bleiben standardmäßig gesperrt.
2. Ausführung technisch einschränken. Sandboxes, Netzwerkregeln, kurzlebige Anmeldedaten und möglichst schreibgeschützte Werkzeuge begrenzen den Schaden auch bei fehlerhaften Modellentscheidungen.
3. Gefährliche Aktionen genehmigen lassen. Besonders bei produktiven Diensten, personenbezogenen Daten und Änderungen an Systemen darf ein Sprachmodell nicht die alleinige Freigabeinstanz sein.
4. Beweise statt Erfolgsrhetorik sammeln. Reproduzierbare Tests, Resultate, Log-Auszüge und Patch-Diffs gehören zum Befund. Die Aussage „Schwachstelle behoben“ erfordert eine tatsächlich erneut geprüfte Wirkung.
5. Abschlussberichte gegen Rohdaten prüfen. Nicht nur die Treffer zählen, sondern Scope-Verletzungen, verweigerte Aktionen, unbestätigte Claims, Falschalarme und offene Risiken.

Hier wird die Frage „Was kann GPT-6 Cyber?“ zur wesentlich besseren Beschaffungsfrage: Unter welchen verbindlichen Bedingungen darf es handeln, und wie kann ein Team Fehler unabhängig erkennen?

Wie das zu den 948 Linux-Kernel-Exploits passt

OpenAI ordnet GPT-6 Cyber der eigenen Forschung zu 948 exploitierbaren Linux-Kernel-Schwachstellen zu. Diese Arbeiten sind bereits Gegenstand unserer gesonderten Analyse zur Linux-Patch-Triage. Der heutige Artikel untersucht nicht erneut die Anzahl von Kernel-Bugs, sondern den Kontrollmechanismus um einen hochfähigen Agenten. Für die Praxis sind das zwei getrennte Fragen: Finden wir eine Schwachstelle? Und darf der Agent an genau diesem System, mit genau diesen Werkzeugen und genau dieser Identität überhaupt versuchen, sie auszunutzen?

OpenAI berichtet außerdem von 81 zuvor unbekannten, von Mozilla als hochschwer eingestuften Firefox-Schwachstellen aus einer Forschungskampagne; eine Quelle nennt bereits ausgerollte Korrekturen für viele davon. Eine Herstellerangabe über gemeldete Funde ist dennoch kein Ersatz für öffentlich nachvollziehbare Einzel-CVEs, Fixstände oder unabhängige Reproduktionsprotokolle.

Für wen sich der Zugang überhaupt lohnt

Für ein Team ohne isolierte Testumgebung, klaren Genehmigungsprozess und reproduzierbare Befundverwaltung ist GPT-6 Cyber derzeit keine sinnvolle „Ein-Klick-Pentest“-Lösung. Wer schon ein strukturiertes Schwachstellenprogramm betreibt, erhält eine neue Option zur Unterstützung der Forschung – sofern Daybreak-Red-Freigabe, Nutzungszweck, Rechtssicherheit und Budget passen.

Eine Pilotbewertung sollte Funde pro geprüftem Aufwand, nachgewiesene Falschalarme, Zeit bis zum verifizierten Fix und Scope-Verstöße getrennt erheben. Allein mehr erfolgreiche Exploits wären kein vollständiger Unternehmenserfolg.

Fazit

GPT-6 Cyber macht einen wichtigen Konflikt sichtbar: Je leistungsfähiger Sicherheitsagenten werden, desto weniger genügt ein vager „Du darfst nur …“-Satz im Prompt. Die von OpenAI berichteten Testwerte sind beachtlich, aber die veröffentlichte System Card liefert auch Gründe für unabhängige Kontrolle. Autorisierung, technische Isolation und prüfbare Entscheidungen sind das eigentliche Betriebssystem sicherer Cyber-Agenten.