Dek: OpenAI hat ein Sicherheitsmodell gebaut, das bei autorisierten Aufgaben kaum noch verweigert. Der Zugang läuft über ein Programm mit Identitätsprüfung, und die Fortschritte in den Benchmarks sind kleiner, als der Name vermuten lässt.
Was GPT-6 Cyber ist und warum es nicht jeder bekommt
Das System Card ist am 5. November 2026 erschienen, und es beschreibt eine Variante, keine neue Familie. GPT-6 Cyber ist ein auf Cybersicherheit spezialisierter Ableger von GPT-6 Astra, gedacht für autorisierte Arbeit: Schwachstellen finden, Exploits entwickeln, Webanwendungen im Auftrag testen.
Der Unterschied zum Basismodell liegt im Training. OpenAI beschreibt eine spezialisierte Nachschulung mit Verstärkungslernen an Aufgaben wie Abstürze reproduzieren, funktionierende Exploits bauen und Codebasen nach Lücken durchsuchen. Dazu kommen Belohnungssignale, die Verweigerungen bei legitimen Sicherheitsanfragen reduzieren.
Das Ziel ist eng gesteckt: mehr Arbeit innerhalb des Auftrags erlauben und außerhalb der Cybersicherheit weiterhin verweigern. Ob das gelingt, ist die eigentliche Frage des Dokuments, und die Antwort ist zweigeteilt.
cyber refusals: was 100 Prozent bei der Schadensbehebung bedeuten
Die cyber refusals sind der Kern des Versprechens. In der Auswertung von OpenAI erledigte GPT-6 Cyber 100 Prozent der allgemeinen Sicherheitsunterstützung und der Aufgaben zum Schließen von Lücken. Bei der Exploit-Entwicklung waren es 96 Prozent, beim Red-Teaming 97 Prozent.
Für ein Security-Team ist das der Unterschied zwischen einem Assistenten, der bei jedem Schritt um Erlaubnis bittet, und einem, der eine Aufgabe zu Ende bringt. Wer abends einen Patch prüfen muss, will keine Diskussion über Ethik, sondern eine Antwort mit einer Einschätzung, was der Patch kaputt machen könnte, und genau solche Antworten sind der eigentliche Fortschritt in diesem Dokument.
Der Preis dafür steht im selben Dokument. GPT-6 Cyber verweigert außerhalb der Cybersicherheit weiterhin, und die Werte für biologische Risiken bleiben auf dem Niveau von Astra. Bei schweren Risikoanfragen antworteten beide Modelle in 99,87 Prozent der Fälle sicher.
Die Benchmarks: ExploitGym, SEC-Bench Pro und die kleinen Abstände
Die Zahlen sind echt, und sie sind unspektakulär. Bei ExploitGym, einem Test, in dem ein Modell eine vorgegebene Lücke auf einem entfernten Ziel ausnutzen muss, kommt GPT-6 Cyber auf 48,45 Prozent Erfolgsquote. GPT-6 Astra liegt bei 42,43 Prozent.
In der gehärteten Variante mit Adressraum-Randomisierung, Stack-Canaries und V8-Sandbox sinkt die Quote auf 36,94 Prozent, gegenüber 29,69 Prozent für Astra. Das ist der größte relative Sprung im Dokument, und er betrifft genau die Umgebung, in der echte Systeme laufen.
Bei SEC-Bench Pro, das Lücken in großen JavaScript-Engines wie V8 und SpiderMonkey sucht, steht 87,02 gegen 85,38 Prozent. SRE-Bench, ein Test für Reverse Engineering von Binärdateien ohne Quellcode, liegt bei 92,84 gegen 87,98 Prozent. Vier Suiten, jeweils ein paar Punkte Unterschied.
Wo GPT-6 Astra vorn liegt: der externe Befund von Irregular
OpenAI hat nicht nur eigene Tests veröffentlicht. Das Unternehmen hat nach eigenen Angaben mit dem Center for Advancing Innovation and Standards for Super Intelligence des NIST zusammengearbeitet und Irregular mit einer externen Auswertung beauftragt.
Irregulars Ergebnis ist gemischt, und OpenAI druckt es ab. Auf CyScenarioBench, das lange Angriffsketten simuliert, löste GPT-6 Cyber alle elf Aufgaben mindestens einmal, Astra acht. Auf FrontierCyber dagegen, das Lücken in echter Software und Hardware sucht, löste Astra mehr Aufgaben als das spezialisierte Modell.
Das ist der ehrlichste Satz im System Card: Spezialisierung hilft nicht überall. Wer ein Modell für Penetrationstests einkauft, sollte wissen, dass ein breiteres Modell in manchen Aufgaben weiterhin vorn liegt.
Daybreak Red: Identitätsprüfung, SSO und IP-Allowlist
Der Zugang ist kein Abo. OpenAI bündelt GPT-6 Cyber in einem Programm namens Daybreak Red, und die Bedingungen lesen sich wie eine Zutrittskontrolle: Identitätsprüfung, Nutzungsbeschränkungen und organisatorische Anforderungen an die Sicherheit des Kunden.
Konkret nennt das System Card Single Sign-on, Multi-Faktor-Authentifizierung und eine Allowlist für API-IP-Adressen. Wer als API-Kunde keine Daten speichern lässt, braucht in der Regel zusätzlich Private Safety Processing, damit die automatische Sicherheitsprüfung außerhalb des eigenen Datenflusses läuft.
Für ein deutsches Unternehmen bedeutet das einen Papierkrieg, der nützlich ist. Wer KRITIS betreibt oder nach NIS2 berichtet, muss ohnehin nachweisen, wer welche Werkzeuge mit welcher Berechtigung nutzt. Eine Allowlist und SSO sind hier keine Schikane, sondern genau die Nachweise, die im Audit verlangt werden.
Was GPT-6 Cyber im Alltag von Security-Teams bedeutet
In der Praxis ändert sich vor allem die Reihenfolge der Arbeit. Ein Modell, das bei autorisierten Aufgaben nicht blockiert, kann eine Codebasis in einem Durchgang durchsuchen und die Fundstellen sortieren, statt für jede Datei eine neue Anfrage zu brauchen.
Das verschiebt die Rolle des Menschen. Er entscheidet nicht mehr, ob eine Analyse erlaubt ist, sondern ob das Ergebnis stimmt. Bei einem Werkzeug, das Exploits baut, ist das keine kleine Verschiebung, und OpenAI hat dafür eine Grenze eingebaut: Das Modell soll im Rahmen der Autorisierung bleiben und Ablehnungen außerhalb der Cybersicherheit beibehalten.
In Deutschland hängt die Zulässigkeit eines Pentests an der Beauftragung. Ohne Einwilligung des Betreibers greift der Hacking-Paragraf, und kein Modell und keine Freigabe von OpenAI ändert daran etwas. Die Verantwortung bleibt beim Auftragnehmer, und das ist der Punkt, den kein System Card ersetzt.
Die Grenze bei GPT-6 Cyber: dieselbe Fähigkeit findet und baut Lücken
Das Modell ist ein Werkzeug mit zwei Schneiden, und das ist keine Metapher, sondern eine Beschreibung der Trainingsziele. Es soll Schwachstellen finden, es soll Exploits entwickeln, und beides sind dieselben Schritte in unterschiedlicher Reihenfolge.
OpenAI beschreibt neue Schutzmechanismen, die riskante Aktivitäten gegen kritische Systeme blockieren sollen. Ob eine solche Grenze hält, lässt sich von außen nicht prüfen, und das System Card nennt keine unabhängige Auswertung dieser Filter.
Was bleibt, ist die Frage nach dem Konto. Wie viel von dieser Fähigkeit darf ein einzelnes Konto haben? Zwei Personen mit derselben Fähigkeit unterscheiden sich nur durch die Absicht, und die steht nicht im Request. Deshalb ist die Identitätsprüfung kein Formalismus, sondern der eigentliche Sicherheitsmechanismus dieses Produkts.
Was bei GPT-6 Cyber als Nächstes zu beobachten ist
Ein Preis steht nicht im Dokument, ein Termin für eine breite Freigabe auch nicht. Wer Zugang will, muss durch Daybreak Red, und ob das Programm über den bestehenden Kreis sicherheitsnaher Organisationen hinauswächst, ist offen.
Interessant wird der Vergleich mit den nächsten Modellen. Wenn Astra und Cyber bei denselben Aufgaben so nah beieinanderliegen, stellt sich die Frage, ob Spezialisierung überhaupt noch ein eigenes Produkt rechtfertigt oder nur eine Konfiguration ist. Die Antwort darauf wird nicht in einem System Card stehen, sondern in den Preisen und in den Verträgen, die Kunden aushandeln.
