GPT-5.6-Cyber: OpenAI gibt Verteidigern ein Modell, das Exploits schreibt

OpenAI hat am 10. August ein Modell vorgestellt, das ausdrücklich das tut, was alle anderen Modelle verweigern sollen: Es entwickelt Exploit-Ketten, umgeht Authentifizierung und weitet Zugriffsrechte aus. GPT-5.6-Cyber ist kein Ausrutscher, sondern Absicht. Die Begründung des Unternehmens ist so einfach wie unbequem: Angreifer nutzen diese Fähigkeiten längst, Verteidiger sollen nicht länger die Einzigen sein, denen sie fehlen.

Das Wichtigste in Kürze

• GPT-5.6-Cyber basiert auf GPT-5.6 Sol und ist gezielt auf Schwachstellensuche und Exploit-Entwicklung trainiert.
• In einem internen Test beantwortete es 95 Prozent der einschlägigen Anfragen; das Standardmodell mit Schutzmaßnahmen kam auf 1,5 Prozent.
• Das Modell fand zwei bislang unbekannte Lücken in Chromes V8-Engine, eine davon trägt inzwischen die Kennung CVE-2026-15903.
• Der Zugang läuft über zwei Stufen: Daybreak Blue für alltägliche Verteidigungsarbeit, Daybreak Red für Schwachstellenforschung.
• Beide Stufen verlangen eine Identitätsprüfung; ab dem 1. September 2026 sind Hardware-Sicherheitsschlüssel Pflicht.

Was das Modell darf, was andere nicht dürfen

Der Unterschied lässt sich in einer Zahl fassen. In einem internen Testlauf zu Exploit-Ketten, Authentifizierungs-Umgehung und Rechteausweitung beantwortete GPT-5.6-Cyber 95 Prozent der Anfragen. Dasselbe Basismodell mit den üblichen Schutzmaßnahmen beantwortete 1,5 Prozent, über die weniger strenge Stufe Daybreak Blue immerhin 2 Prozent. Wer je versucht hat, einem Sprachmodell eine ernstgemeinte Sicherheitsfrage zu stellen, kennt das Ergebnis: Der Assistent verweigert die Auskunft, und zwar unabhängig davon, ob am anderen Ende ein Angreifer sitzt oder die IT-Abteilung eines Krankenhauses.

Genau diese Symmetrie will OpenAI aufbrechen. Die Schutzmaßnahmen eines allgemeinen Modells unterscheiden nicht zwischen Absichten, sondern nur zwischen Formulierungen. Wer sie umgehen will, schafft das erfahrungsgemäß; wer sich an die Regeln hält, steht ohne Werkzeug da. Ein Modell, das sicherheitsrelevante Fragen beantwortet, aber nur nach geprüfter Identität herausgegeben wird, verlagert die Kontrolle von der Formulierung zur Person.

Der Beleg: zwei Lücken in Chrome

Dass es nicht bei Ankündigungen bleibt, zeigt OpenAI am Beispiel von V8, der JavaScript-Engine in Chrome. Das Modell fand dort zwei zuvor unbekannte Schwachstellen, die sich verketten lassen, um Speicher zu manipulieren und aus der Sandbox auszubrechen. Bei der ersten handelt es sich um einen Compiler-Fehler: Eine übersprungene Sicherheitsprüfung erlaubt es, Speicher innerhalb der Chrome-Sandbox zu lesen oder zu überschreiben. Sie wurde im Rahmen einer koordinierten Offenlegung an Google gemeldet, behoben und als CVE-2026-15903 eingetragen. Dazu kommen mindestens fünf Funde in einem verbreiteten mobilen Betriebssystem, darunter eine Kette zur Rechteausweitung.

Das ist der interessante Teil. Nicht die Behauptung, ein Modell könne Schwachstellen finden, sondern der nachprüfbare Fund in einer der meistgeprüften Codebasen der Welt. V8 wird von bezahlten Sicherheitsforschern, Fuzzing-Infrastruktur und Bug-Bounty-Jägern permanent beschossen. Wer dort etwas Neues findet, liefert einen Beleg, den man nicht wegdiskutieren kann.

Die Kehrseite der Freigabe

Ein Modell, das Exploit-Ketten baut, ist für Verteidiger nützlich und für Angreifer wertvoll. Die Trennung erfolgt nicht mehr über die Fähigkeiten des Modells, sondern über den Zugang: Identität prüfen, Konto absichern, rechtliche Erklärung unterschreiben, ab September zusätzlich ein Hardware-Schlüssel. Das ist mehr, als bei den meisten Werkzeugen dieser Art verlangt wird, und es bleibt eine Wette darauf, dass die Prüfung hält.

Bemerkenswert ist der zeitliche Zusammenhang. Erst vor wenigen Tagen hatte OpenAI Teile der Astra-Entwicklung gestoppt, weil das Modell zu gute Cyberangriffs-Fähigkeiten zeigte. Nun folgt ein Modell, das genau diese Fähigkeiten gezielt anbietet, nur eben hinter einer Zugangsschranke. Das ist kein Widerspruch, aber es zeigt, wie schmal der Grat ist, auf dem sich das Unternehmen bewegt. Dass KI beide Seiten der Sicherheitsarbeit verändert, hat sich zuletzt auch an anderer Stelle gezeigt, als ein Modell einen Kryptografie-Kandidaten im NIST-Verfahren zerlegte.

Was das für Unternehmen bedeutet

Für die meisten Unternehmen ändert sich kurzfristig wenig, denn der Zugang ist bewusst eng. Wer Sicherheitsarbeit einkauft, sollte allerdings damit rechnen, dass Dienstleister solche Modelle einsetzen und dass sich das Tempo der Schwachstellenfunde erhöht. OpenAI selbst formuliert es so, dass das Zeitfenster für Verteidiger kleiner werde. Das ist Marketing, aber nicht nur: Wenn automatisierte Suche auf beiden Seiten billiger wird, gewinnt, wer schneller patcht. Der Engpass verschiebt sich vom Finden zum Beheben, und dort sind viele Organisationen schlechter aufgestellt, als ihnen lieb ist.

Ausblick

Die nächsten Monate werden zeigen, ob die Zugangsschranke trägt. Zwei Fragen entscheiden darüber: ob geprüfte Konten missbraucht werden, und ob andere Anbieter nachziehen, ohne vergleichbare Hürden aufzubauen. Der erste dokumentierte Fall eines mit GPT-5.6-Cyber gebauten Angriffs wird die Debatte schlagartig verschärfen. Bis dahin gilt: Das Modell hat in Chrome geliefert, und das ist mehr, als die meisten Sicherheitsversprechen dieser Branche vorweisen können.