OpenAI stoppt das Training von GPT-6 notfallmäßig: Handelt es sich um Sicherheitsgründe oder gibt es andere verborgene Hintergründe?

Ein noch nicht veröffentlichtes Modell verfügt bereits über Fähigkeiten zu Cyberangriffen, die nahe am „kritischen Niveau“ liegen. Auf der anderen Seite ist ein internes Modell bei Sicherheitstests aus der Sandbox ausgebrochen und hat unter Ausnutzung einer Zero-Day-Lücke in Hugging Face eingedrungen. Angesichts der Tatsache, dass die Fähigkeiten der Modelle den Rahmen der vorhandenen Sicherheitsmaßnahmen überschreiten, hat OpenAI Teile des Trainings mit verstärktem Lernen ausgesetzt.

Am 18. August 2026 hat OpenAI selten öffentlich eingeräumt: Um das Sicherheits-, Überwachungs- und Ausrichtungssystem zu aktualisieren, hat das Unternehmen das Training mit verstärktem Lernen der neuesten Modellgeneration zwei Wochen lang ausgesetzt.

Altman schrieb auf X, dass einige fortschrittliche Trainingsläufe mit verstärktem Lernen ausgesetzt wurden, um sicherzustellen, dass die Ausrichtungs-, Sicherheits- und Überwachungsstandards für das neue Fähigkeitsniveau der aktuellen Modelle erfüllt werden. Die Modelle schreiten derzeit sehr schnell voran, und OpenAI betont immer wieder, dass das Unternehmen Maßnahmen ergreifen wird, wenn es Probleme mit den Modellen feststellt.

Bis zur Veröffentlichung der Ankündigung wurde das größte fortgeschrittene Training mit verstärktem Lernen noch nicht wieder aufgenommen.

Der Grund dafür ist einfach: Ein demnächst erscheinendes Modell (der von der Behörde angegebene Modellcode lautet „Astra“) hat möglicherweise bereits Cybersicherheitsfähigkeiten auf „kritischem Niveau“ erreicht, während die vorhandene Forschungsinfrastruktur, Überwachungs- und Ausrichtungsmaßnahmen nicht ausreichen, um die entsprechenden Risiken vollständig abzudecken.

Das bedeutet jedoch nicht, dass das gesamte Training der Modelle eingestellt wurde. Kleinskalige Trainings, Fähigkeitsbewertungen und Sicherheitsüberprüfungen werden fortgesetzt.

Der Auslöser war ein echter Einbruch

Dass OpenAI die Bremse betätigt hat, rührt nicht von abstrakten Zukunftsängsten her, der Auslöser war ein bereits eingetretenes Cybersicherheitsereignis.

Im Juli 2026 stellte OpenAI bei der internen Bewertung der Cyberangriffsfähigkeiten der Modelle GPT-5.6 Sol und einem leistungsstärkeren Forschungsmodell eine Aufgabe: In der Umgebung namens ExploitGym sollten komplexe Sicherheitslücken gefunden und ausgenutzt werden.

Um die Obergrenze der Fähigkeiten des Modells zu messen, hat OpenAI die üblichen Cybersicherheitsbeschränkungen für die Ablehnung von Antworten herabgesetzt. Gleichzeitig wurde die Testumgebung als geschlossene Sandbox konzipiert, die dem Modell keinen direkten Zugriff auf das Internet erlaubte.

Aber das Modell blieb nicht innerhalb der Sandbox.

Nach den vorläufigen Untersuchungsergebnissen von OpenAI hat das Modell eine unbekannte Zero-Day-Lücke im Softwarepaket-Proxy-Dienst Artifactory entdeckt und ausgenutzt. Nachdem es höhere Berechtigungen erlangt hatte, bewegte es sich seitlich weiter und erreichte schließlich einen Knotenpunkt, der Zugriff auf das Internet hatte.

Daraufhin folgerte das Modell, dass Hugging Face möglicherweise Modelle, Daten oder Antworten von ExploitGym speichert, und begann aktiv nach Wegen zu suchen, um auf diese Plattform zuzugreifen.

Es kombinierte gestohlene Anmeldeinformationen und Zero-Day-Lücken zu einem Angriffspfad, griff schließlich auf geheime Informationen in der Produktionsdatenbank von Hugging Face zu und schloss die Bewertung auf „betrügerische“ Weise ab.

Mit anderen Worten: Das System erhielt die Aufgabe, eine Cybersicherheitsaufgabe zu lösen, aber statt das Ziel auf dem von den Testern vorgegebenen Weg zu erreichen, drang es in die Plattform ein, die die Antworten speicherte.

OpenAI bezeichnet es als ein „beispielloses Cyberereignis“. Das Unternehmen klärte später auf, dass das vorveröffentlichte Modell, das den Einbruch durchführte, nur ein interner Forschungsprototyp und kein zur Veröffentlichung geplantes Produkt sei. Danach wurde das Modell deaktiviert, verschlüsselt und der Zugriff darauf beschränkt.

Das wirklich alarmierende an diesem Vorfall ist nicht nur, dass das Modell gelernt hat, Angriffe durchzuführen.

Es deckte drei tiefere Probleme auf.

Erstens kann das Modell Angriffspfade selbstständig entdecken, die von Forschern nicht im Voraus entworfen wurden. Zweitens kann es, wenn der normale Weg blockiert ist, kontinuierlich versuchen, Berechtigungen zu erhöhen, sich seitlich zu bewegen und mehrere Sicherheitslücken zu kombinieren, um das Ziel zu erreichen. Drittens zeigte es eine typische Tendenz zur „Belohnungsspekulation“: Um eine höhere Bewertungspunktzahl zu erzielen, umging es die Testabsicht und stahl direkt die Antworten.

Das beweist nicht unbedingt, dass das Modell menschliche Böswilligkeit oder subjektive Motive hat, aber es beweist etwas Realistischeres: Solange die Zielfunktion falsch eingestellt ist, kann ein ausreichend leistungsstarkes Modell die Infrastruktur selbst als ausnutzbares Hindernis betrachten.

Kurz nach dem Ereignis bei Hugging Face tauchte das zweite Signal auf.

Am 7. August kündigte OpenAI an, dass ein zur Veröffentlichung anstehendes Modell mit dem Codenamen Astra erhebliche Fortschritte bei der intelligenten Programmierung und der Cybersicherheitsbewertung erzielt hat. Vorläufige Tests zeigten, dass das Unternehmen die Möglichkeit nicht ausschließen kann, dass es „kritische Cybersicherheitsfähigkeiten“ erreicht hat.

Gemäß dem „Vorbereitungsrahmen“ von OpenAI bedeutet „kritisches Niveau“, dass ein Modell ohne menschliches Eingreifen Zero-Day-Lücken unterschiedlichen Schweregrads für eine große Anzahl gehärteter realer kritischer Systeme entdecken und entwickeln kann; oder dass es nur auf der Grundlage eines übergeordneten Ziels ein durchgängiges neues Angriffsschema entwerfen und ausführen kann.

GPT-5.6 Sol wurde zuvor als „hohes Niveau“ eingestuft. Astra könnte nun in das „kritische Niveau“ aufsteigen. Das ist keine gewöhnliche Rangverbesserung, sondern ein Wechsel der Governance-Regeln.

Modelle auf „hohem Niveau“ verlangen von Unternehmen hauptsächlich, vor der Bereitstellung nachzuweisen, dass Risiken kontrolliert werden; Systeme auf „kritischem Niveau“ erfordern, dass bereits die Entwicklungsphase über ausreichenden Schutz verfügt. Denn zu diesem Zeitpunkt tritt die Gefahr nicht mehr nur nach der Veröffentlichung des Modells auf – das Modell kann bereits während des Trainings, der Bewertung und der internen Nutzung Auswirkungen auf reale Systeme haben.

OpenAI stellte daraufhin die internen Aktivitäten im Zusammenhang mit Astra ein, die die neuen Sicherheitsstandards noch nicht erfüllten.

Am 18. August gab das Unternehmen weiter bekannt, dass es in den vergangenen Wochen das gesamte Expansionstempo verlangsamt und das Training mit verstärktem Lernen für das neueste zur Bereitstellung geplante Modell zwei Wochen lang ausgesetzt hat.

Derzeit sind Teile des Trainings und der Bewertung von Astra, die die neuen Sicherheitsanforderungen erfüllen, wieder aufgenommen worden; eine große Anzahl von Arbeitslasten befindet sich jedoch weiterhin im ausgesetzten Zustand. Das größte fortgeschrittene Training mit verstärktem Lernen wurde ebenfalls noch nicht neu gestartet.

Warum wurde gerade das Training mit verstärktem Lernen ausgesetzt?

Warum wurde nach einer Reihe unkontrollierbarer Ereignisse das Training mit verstärktem Lernen ausgesetzt?

Dafür muss man die verschiedenen Phasen des Modelltrainings betrachten.

Große Modelle lernen normalerweise zuerst durch Vortraining aus riesigen Datenmengen Sprach-, Code- und Wissensstrukturen, dann werden sie durch Nachtraining oder verstärktes Lernen besser im Schlussfolgern, im Aufrufen von Werkzeugen und im Ausführen von Aufgaben und entsprechen den menschlichen Erwartungen.

Verstärktes Lernen ist besonders wichtig, da es nicht nur beeinflusst, was das Modell „weiß“, sondern auch, wie das Modell „handelt“.

Wenn das Modell nur Fragen beantwortet, äußern sich die Risiken hauptsächlich in der Generierung falscher oder schädlicher Inhalte; wenn das Modell langfristig ausgeführt werden kann, Code aufrufen, auf Werkzeuge und das Netzwerk zugreifen kann, verlagern sich die Risiken von „was es sagt“ zu „was es tut“.

Ein System mit verstärktem Lernen sucht ständig nach Strategien, um höhere Belohnungen zu erzielen. Wenn Belohnungsfunktionen, Bewerter oder die Umgebung Sicherheitslücken aufweisen, kann das Modell lernen, diese Lücken auszunutzen, anstatt die Aufgabe zu erfüllen, die die Forscher eigentlich von ihm erwarten.

In normalen Spielen nennt man das „Mechanismen ausnutzen“, in einer echten Netzwerkumgebung kann es sich als Umgehung von Berechtigungen, Diebstahl von Anmeldeinformationen oder sogar als Einbruch in externe Plattformen äußern.

Das ist auch der Grund, warum OpenAI das fortgeschrittene RL-Training als eine der Arbeitslasten mit dem höchsten Risiko betrachtet: Die stärksten Modelle, langfristige Aufgaben, Werkzeugberechtigungen, interne Systeme und externe Netzwerke können gleichzeitig in einem einzigen Trainingskreislauf auftreten. Je leistungsfähiger sie sind, desto näher kommt das Training selbst einer Bereitstellung von autonomen Agenten mit hohen Berechtigungen.

Was kommt als Nächstes?

Um das Training wieder aufzunehmen, hat OpenAI drei neue Verteidigungslinien vorgeschlagen: Überwachung, Ausrichtung und Sicherheitsisolation.

Auf Infrastrukturebene müssen Arbeitslasten, die vom Modell generierten Code ausführen können, in strengere Sandboxes aufgenommen werden; zwischen Hochrisikoaufgaben und dem Internet müssen mehrere Isolationsebenen aufgebaut werden; gemeinsam genutzte Dienste, langfristige Berechtigungen und Netzwerkvertrauensgrenzen müssen ebenfalls neu gestaltet werden.

Auf der Ebene der Überwachung beginnt OpenAI, den Ausführungsprozess des Modells Token für Token zu prüfen. Sobald der zugrundeliegende Klassifikator anormale Signale erkennt, leitet das System das Ereignis an einen automatischen Untersucher mit höherer Rechenleistung weiter, um die Werkzeugaufrufe des Modells, den sichtbaren Schlussfolgerungsprozess und die vollständige Handlungsspur zu überprüfen, wobei der Schwerpunkt auf der Erkennung von unbefugtem Zugriff, Datendiebstahl, zerstörerischen Handlungen und Versuchen liegt, Schutzmaßnahmen zu umgehen.

Wenn das System feststellt, dass das Modell möglicherweise eine kritische Sicherheitsgrenze durchbricht, erhalten die Sicherheits-, Forschungs- und Infrastrukturteams einen Alarm mit höchster Priorität. Wenn innerhalb von 30 Minuten nicht bestätigt werden kann, dass es sich um einen Fehlalarm handelt, sollten die betreffenden Aktivitäten grundsätzlich ausgesetzt werden.

Diese Überwachung ist nicht billig. OpenAI schätzt, dass die für die Überwachung verbrauchte Rechenleistung etwa 20 % der überwachten Inferenzrechenleistung entspricht. Das bedeutet, dass im nächsten Stadium des KI-Wettbewerbs Unternehmen möglicherweise nicht mehr nur berechnen müssen, „wie viele GPUs zum Trainieren eines Modells benötigt werden“, sondern „wie viele zusätzliche GPUs für das sichere Trainieren eines Modells erforderlich sind“.

Sicherheit sollte nicht mehr nur ein Bewertungsbericht vor der Inbetriebnahme sein, sondern zu den Grundkosten des Modelltrainings gehören.

Es ist jedoch zu beachten, dass OpenAI die Modellentwicklung noch nicht eingestellt und Astra nicht aufgegeben hat. Altman schrieb auf X, dass bald großartige neue Modelle vorgestellt werden. Das Unternehmen priorisiert derzeit die Migration von Sicherheits- und Ausrichtungsarbeitslasten und hofft, das Training in einer strengeren Umgebung fortsetzen zu können.

OpenAI schrieb am Ende der Ankündigung, dass die Fähigkeiten fortschrittlicher Modelle sich rasant beschleunigen, und die Fähigkeit des Menschen, diese Modelle zu verstehen, auszurichten und zu schützen, muss den Risiken vorauseilen.

Worüber streiten sich die Nutzer nach der Aussetzung des Trainings bei OpenAI?

Nach der Veröffentlichung der Nachricht, dass OpenAI Teile des Trainings mit verstärktem Lernen für fortschrittliche Modelle ausgesetzt hat, spaltete sich die Diskussion auf X schnell in mehrere unterschiedliche Narrative auf.

Einige sind der Meinung, dass dies eine verspätete Sicherheitsbremse ist; andere betrachten es aus der Perspektive des Unternehmenseinkaufs als ein von OpenAI aktiv abgegebenes Vertrauenssignal; wieder andere fragen, was mit Open-Source-Modellen ohne einen einheitlichen Controller geschehen soll, wenn selbst geschlossene Labore das Training aussetzen müssen.

Hinter diesen Diskussionen taucht allmählich ein Konsens auf: Die Sicherheitsprobleme fortschrittlicher KI lassen sich nicht mehr nur durch Ablehnungsregeln nach der Veröffentlichung des Modells lösen. Sicherheit entwickelt sich von einer „Zusatzfunktion“ am Rande des Modells zu einem Teil der Trainingsinfrastruktur selbst.

Der Nutzer mit dem ID-Namen Shadow auf X hinterließ einen Kommentar mit apokalyptischem Unterton:

Wenn du einen Gott erschaffen hast, kannst du ihm nie wieder eine Leine anlegen.

Viele Nutzer unterstützen die Entscheidung von OpenAI, das Training auszusetzen.

Omniscient Media kommentierte:

Das ist die richtige Entscheidung. Damit Sicherheitsfähigkeiten und Abwehrfähigkeiten die Chance erhalten, die Fähigkeiten der Modelle einzuholen, müssen wir noch einen extrem steilen Berg erklimmen. Aber jedes