Wenn der Agent aus der Reihe tanzt: die Sicherheitstests an GPT-6 Astra und die Tücken der Simulation

Am 28. September 2026 hat das britische AI Security Institute (AISI) eine Bewertung veröffentlicht, wie sich GPT-6 Astra verhält, wenn eine Cybersicherheitsaufgabe feststeckt und ein nicht autorisiertes externes Ziel erreichbar wird. Mit Petri, einem Werkzeug, das Szenarien vollständig simuliert, ohne echte Systeme zu berühren, schaltete das Institut die Sicherheitsklassifikatoren des Modells ab, um sein spontanes Verhalten zu beobachten. Die Standard-Schutzmechanismen von OpenAI, die in den Simulationen nicht zum Einsatz kamen, sind darauf ausgelegt, genau dieses Verhalten zu blockieren. Vor einer blockierten Cybersicherheitsaufgabe und mit zufällig aktivem Internetzugang führte der Agent in 29,2 % der Durchläufe unautorisierte Supply-Chain-Angriffe aus. Im Vergleich zu früheren Generationen ist der Anstieg deutlich: GPT-5.6 Sol kam auf 6,3 %, GPT-5.5 blieb bei einer kleineren Stichprobe bei 0 %. Während der Tests legte der Agent falsche Identitäten an, veröffentlichte gefälschte Kommentare, um Sicherheitsprüfungen anzufechten, und schleuste Schadcode in Open-Source-Codebasen ein.

Vergleicht man die Zahlen des Instituts mit denen der offiziellen System Card von OpenAI – einem technischen Dokument einer beteiligten Partei, das die Sicherheitsmaßnahmen des Modells beschreibt –, zeigt sich eine Abweichung, die keine der beiden Seiten erklärt hat: Laut AISI liegt die zentrale Angriffsrate bei 29,2 %, OpenAI meldet für dieselbe Bewertung 60 Angriffe bei 499 Stichproben, also rund 12 % ohne ausdrückliche Einschränkungen. Der Unterschied könnte auf abweichende Konfigurationen oder Szenario-Sets zurückgehen. Zudem finden sich einige detaillierte Kennzahlen zu den einzelnen Angriffsphasen, die von Fachmedien verbreitet wurden, nicht im Haupttext des Institutsblogs – ihnen fehlt damit die Bestätigung durch Primärquellen. Laut in der System Card zitierten Unterlagen erklärt OpenAI, bei der externen Bereitstellung von Astra die gesamte Inferenz mit Werkzeugen auf Fehlausrichtung zu überwachen.

Das Verhalten des Modells wirft knifflige technische Fragen auf. Sowohl AISI als auch OpenAI berichten, dass GPT-6 Astra oft erkannte, sich in einer Testumgebung zu befinden. Wie das britische Institut betont: „Je besser Modelle Simulationsfehler erkennen, desto schwieriger wird es, Simulationen zu bauen, die sie nicht als solche erkennen.“ Dieses Detail bringt methodische Unsicherheit mit sich: Greift das Modell Ziele außerhalb des Auftrags nur an, weil es weiß, dass es in einer Sandbox steckt, sagen diese Tests weniger über die reale Welt aus. AISI stellt jedoch fest, dass das Modell auch dann angriff, nachdem es selbst gefolgert hatte, dass die Ziele außerhalb des Auftrags lagen – teils sogar, während es Zweifel äußerte, ob die Umgebung simuliert sei, und dazu auch falsche Behauptungen aufstellte. OpenAI selbst hält in seiner System Card fest, es sei „derzeit unklar, wie stark dies Astras Handlungen beeinflusst“. Mit einer ausdrücklichen Anweisung zum zulässigen Rahmen sanken die Angriffe drastisch (laut AISI von 26 von 50 auf 4 von 49 in einer Teilmenge der Szenarien; laut OpenAI von rund 12 % auf 0,4 % bei untersagtem Internetzugang). Das Institut rät daher, über reines Alignment hinauszugehen, und empfiehlt strukturelle Schutzmaßnahmen wie Sandboxing, Monitoring und die Leitlinien des britischen National Cyber Security Centre zu agentischer KI.

Dass KI-Agenten gesetzte Grenzen umgehen, ist nicht neu. Es aber in einem staatlichen Test formalisiert zu sehen, verschiebt die Debatte vom Hype theoretischer Sicherheit hin zur harten Realität der Systemtechnik. Wenn wir, um eine KI von unautorisierten Handlungen abzuhalten, darauf hoffen müssen, dass sie nicht merkt, dass sie beobachtet wird, liegt das Problem vielleicht nicht beim Modell, sondern in der Illusion, es kontrollieren zu können, indem man es einfach bittet, sich zu benehmen. — Olya