OpenAIs GPT-6 Astra halluziniert weniger, bleibt aber anfällig für versteckte Angriffe

OpenAIs GPT-6 Astra, veröffentlicht am 3. September, markiert eine messbare Verbesserung der faktischen Genauigkeit und der Widerstandsfähigkeit gegen direkte Prompt-Manipulation im Vergleich zum Vorgänger GPT-5.6 Sol. Unabhängige Sicherheitstests zeigen jedoch, dass das Modell weiterhin durch versteckte Anweisungen in verarbeiteten Dokumenten kompromittiert werden kann, eine Schwachstelle, die den Einsatz in Unternehmensumgebungen und agentenbasierten Systemen erschwert.

Weniger Halluzinationen und direkte Angriffe

Laut dem System-Card von OpenAI reproduziert Astra bekannte Faktenfehler deutlich seltener als GPT-5.6 Sol, wobei die größten Fortschritte bei niedriger Latenz und geringeren Argumentationsebenen erzielt wurden. Bei direkten Prompt-Injektionen, bei denen Benutzer versuchen, das Modell durch eigene Eingaben zu manipulieren, erreicht Astra eine Abwehrrate von 99,99 Prozent. OpenAI führt dies auf die GPT-Red-Methode zurück, die einen automatisierten Angreifer einsetzt, um das Modell während des Trainings zu härten.the-decoder+1

Die Widerstandsfähigkeit gegen Jailbreaks folgt einem ähnlichen Muster. Gegenüber einem festen Datensatz bekannter Angriffe, die auf schädliche Antworten in den Bereichen Biologie, Gewalt und Cybersicherheit abzielen, verweigert Astra in 91,5 bis 98,3 Prozent der Fälle die Ausführung. Wenn Angreifer ihre Strategie über mehrere Gesprächsrunden hinweg anpassen, sinkt die Abwehrrate jedoch auf etwa 67 Prozent, was bedeutet, dass hartnäckige Angreifer in etwa einem von drei Versuchen eine problematische Antwort extrahieren können. OpenAI merkte an, dass diese Tests am nackten Modell ohne die Sicherheitslayer durchgeführt wurden, die mit dem Endkundenprodukt ausgeliefert werden.the-decoder

Versteckte Prompt-Injektionen bleiben ein Problem

Die dringendere Schwachstelle liegt bei indirekten Prompt-Injektionen, bei denen bösartige Anweisungen in Dokumenten oder Webseiten versteckt sind, die das Modell liest. Externe Tests der Sicherheitsfirma Gray Swan unter Verwendung von 1.810 kuratierten Angriffen aus ihrer IPI Arena ergaben, dass Astra bei 15 Versuchen in 8,5 Prozent der Szenarien mindestens einmal geknackt werden konnte. Dies stellt eine deutliche Verbesserung gegenüber der Fehlerquote von 27 Prozent bei GPT-5.6 Sol in derselben Evaluierung dar, bedeutet aber immer noch, dass das Modell in etwa einem von zwölf Szenarien durch injizierte Anweisungen ausgetrickst werden kann.the-decoder

Anthropics Claude Opus 5 schnitt im selben Test mit einer Fehlerquote von 4,8 Prozent besser ab, war aber ebenfalls nicht immun.the-decoder

Warum das für KI-Agenten wichtig ist

Astra ist das erste Modell von OpenAI, das die kritische Schwelle für Cybersicherheitsfähigkeiten gemäß dem Preparedness Framework des Unternehmens erreicht. Das bedeutet, dass es Zero-Day-Schwachstellen in gehärteten Systemen ohne menschliche Anleitung identifizieren und ausnutzen kann. Diese Fähigkeit, gepaart mit der Möglichkeit des Modells, im Internet zu surfen, Computer zu bedienen und mehrstufige Aufgaben autonom auszuführen, macht die Lücke bei indirekten Prompt-Injektionen folgenschwerer als bei einem einfacheren Chatbot.deploymentsafety.openai+2

Wie The Decoder anmerkte, legen die Ergebnisse zu indirekten Injektionen für jedes Sicherheitsteam in Unternehmen, das Astra für den Einsatz von Agenten evaluiert, nahe, dass das Modell noch nicht zuverlässig genug für Umgebungen ist, in denen nicht vertrauenswürdige Inhalte das System erreichen könnten.the-decoder