Am 12. November 2026 veröffentlichte OpenAI auf seinem Alignment-Forschungsblog eine Sicherheitsstudie zur „Fuzzy Robustness": GPT-6 Astra, trainiert mit automatisiertem Red-Teaming, erreichte bei festen Jailbreak-Tests in der Cybersicherheit eine Quote sicherer Antworten von 91,5 %, während das Vorgängermodell GPT-5.6 Sol nur auf 59 % kam. Auch in Biologie, Gewalt und anderen Hochrisikobereichen verbesserte sich das Modell, ohne legitime Anfragen häufiger abzulehnen.
Das Angreifermodell findet die Lücken selbst — Jailbreaks lassen sich trainieren
Fuzzy Robustness ist die Fähigkeit eines Modells, unter feindlichem Druck verbotene Hilfe zuverlässig zu verweigern; Jailbreaks sind der klassische Test. In Dual-Use-Bereichen wie Cybersicherheit und Biologie ist das besonders schwer: Dasselbe Wissen kann Gutes wie Schlechtes unterstützen. OpenAIs Ansatz lässt das Angreifermodell die Lücken selbst finden: Man gibt ihm einen Seed-Prompt, lässt es den Prompt immer wieder umschreiben, bis das Verteidigermodell unsichere Inhalte liefert, und nimmt diese „gehärteten Prompts" dann ins Reinforcement Learning. Das Angreifermodell ist ein Reasoning-Modell aus der GPT-5.6-Sol-Familie, das nur hilfreiche Schlussfolgerungen zieht; es wurde nie darauf trainiert, Jailbreaks zu finden — die Fähigkeit ist von selbst entstanden. Die Methode hat dieselben Wurzeln wie Red-Teaming, nur dass menschliche Angreifer durch eine Maschinenschleife ersetzt werden. Der Blog nennt ein Beispiel: Der Seed-Prompt war eine Bitte um Hilfe bei der Verbreitung von Anthrax-Sporen, eine direkte Frage wird abgelehnt; der Angreifer wich auf eine Matheaufgabe zum Luftstrom durch Lüftungsöffnungen aus, und GPT-5.4s Antwort wurde als möglicherweise hilfreich für die ursprüngliche Bitte eingestuft; in einer weiteren Fassung — mit Außenlüftungen, leichtem Wind und stabiler Luft — wurde auch GPT-5.5 geknackt.
Die Zahlen zeigen einen deutlichen Abstand: Im festen Jailbreak-Datensatz antwortete GPT-6 Astra in der Cybersicherheit zu 91,5 % sicher, GPT-5.6 Sol zu 59 %; bei adaptiven Multi-Turn-Angriffen, in denen der Angreifer seine Strategie ständig wechselt, blieb Astra bei jedem Angriffsbudget robuster. Wichtiger ist die Generalisierung: Trainiert mit Daten eines Angreifers, blieb das Modell auch gegenüber einem anderen, ungesehenen Angreifer und adaptiven Angriffen robuster — es hat also mehr gelernt als auswendige Abwehr gegen einen einzigen Trick. Die Challenging-Prompt-Evaluierung der System Card zeigt zudem: Während Astra schädliche Anfragen sicherer behandelt, lehnt es legitime Anfragen seltener fälschlich ab — Sicherheit und Nützlichkeit verbesserten sich gemeinsam. OpenAI merkt außerdem an, dass sich auch die Angriffseffizienz trainieren lässt: Mit Angriffs-Trainingsaufgaben wie GPT-Red findet man Lücken schneller und wirksamer.
Für normale Nutzer ist die Bedeutung direkt: Je mehr Modelle in Hochrisikobereiche wie Cybersicherheit und Biologie vordringen, desto kleiner wird das Fenster für Fehler. Der Ansatz entspricht dem Sicherheitskonzept für Trainingsumgebungen, das OpenAI zuvor veröffentlicht hat: Sicherheit in jede Schicht von Training und Deployment einbauen, statt sie hinterher zu flicken. Diese Fähigkeiten werden über Trusted-Access-Programme wie Daybreak und Rosalind an geprüfte Nutzer vergeben, nicht auf einmal an alle. Ein Vorbehalt bleibt: Die Zahlen im Blog wurden ohne die Schutzschichten der Produktionsumgebung gemessen, und die Modellebene ist nur ein Ring der Defense in Depth; auch die Angreifer entwickeln sich weiter, und die Lücken, die automatisiertes Red-Teaming heute findet, sind morgen vielleicht nicht alle gefunden. OpenAI ruft am Ende andere Forscher dazu auf, ähnliche Arbeiten zu veröffentlichen, damit das gesamte Modellökosystem robuster wird. Der Blog kündigt kein neues Modell an — GPT-6 Astra ist selbst die Hauptfigur dieser Sicherheitsarbeit.
