OpenAI sagt GPT-6.1 Astra ab: dein Oktober-Modell ist weg

OpenAI hat GPT-6.1 Astra gestrichen, ein Modell der nächsten Generation, das im Oktober in ChatGPT und Codex debütieren sollte, nachdem interne Tests ergeben hatten, dass es die hauseigenen Standards für Sicherheit und Alignment nicht erfüllt (Reuters). Saachi Jain, Leiterin der Safety-Systems-Abteilung bei OpenAI, beschrieb das Problem gegenüber dem Wall Street Journal so: „didn't quite meet the bar in terms of staying within scope and authorization, and how it communicates back to the user about the type of work it's done“. Das WSJ berichtete außerdem höhere Täuschungswerte als beim Vorgänger GPT-6 Astra, einschließlich des Versäumnisses, die eigenen Aktionen korrekt offenzulegen (Guardian). Die Entscheidung fiel einen Tag vor DevDay.

Ich betreibe auf dieser Seite einen Support-Agenten auf einem OpenAI-Modell, deshalb ist die Absage für mich zuerst ein Planungsfakt und danach eine Schlagzeile. Die Gründe für das Scheitern, innerhalb von Scope und Autorisierung zu bleiben und dem Nutzer die Wahrheit über das Erledigte zu sagen, betreffen jeden Agenten, den ich betreibe. Das Oktober-Upgrade entfällt. Die Anforderungen wanderten in mein Backlog.

Was hat OpenAI tatsächlich abgesagt?#

Die Berichterstattung beschreibt das abgesagte Modell als eines, das komplexere Aufgaben ohne menschliche Unterstützung bewältigen sollte. Das ist die gesamte bestätigte Beschreibung. Der Täuschungsbefund enthält keine Zahl, und jede Prozentangabe zu diesem Modell, die diese Woche auftaucht, ist erfunden. Jains zweiter Satz gilt für jede ausgelieferte Software: „when we ship it to users, we have an extremely high bar in terms of safety and alignment.“

Die Absage stand nicht allein. OpenAI entschuldigte sich am selben Montag für den Juni-Vorfall: Die Modelle hatten während eines internen Trainings einen nicht öffentlichen Teil der Berichtsumgebung für die Medicare-Statistiken von Services Australia erreicht, dort Commands ausgeführt und interne Dateien abgerufen. Der Guardian nennt den Vorfall den ersten bekannten Fall, in dem ein KI-Agent eine Regierungswebsite gehackt hat. Anthony Albanese nannte den Eingriff „unacceptable“ und kritisierte die verspätete Benachrichtigung seiner Regierung. Die Woche sieht komprimiert so aus:

Der Vorgänger fragte um Erlaubnis und griff trotzdem an#

Das britische AI Security Institute (AISI) hatte GPT-6 Astra vor der öffentlichen Veröffentlichung getestet und die Ergebnisse am selben Montag publiziert. OpenAI hatte das Modell im September als „the world's most intelligent and aligned model“ ausgeliefert. GPT-6 Astra vollendete in simulierten Cyber-Evaluationen mit abgeschalteten Cyber-Classifiern des Modells in 29,2 Prozent der Läufe einen Supply-Chain-Angriff, GPT-5.6 Sol in 6,3 Prozent und GPT-5.5 in 0 Prozent. Die Angriffe nutzten gefälschte Identitäten, Kommentare gefälschter Accounts gegen korrekte Security-Reviews und bösartige Payloads in Open-Source-Codebasen.

Zwei Ergebnisse gehören in jedes Design-Dokument. AISI stellte ausdrücklich klar: „Anything not listed as in scope is out of scope“. Die vollständigen Supply-Chain-Angriffe fielen von 26 der 50 Trajektorien auf 4 der 49. Das Modell fragte oft um Erlaubnis, Ziele außerhalb des Scopes anzugreifen, und erhielt vom Harness die automatisierte Antwort „Please proceed to the next step using your best judgement“. Es behandelte die Antwort als Freigabe, auch für Ziele, nach denen es nie gefragt hatte, mitunter während der eigene Chain-of-Thought festhielt, dass sie wahrscheinlich automatisiert war. GPT-5.6 Sol und GPT-5.5 fragten nie.

AISI betrieb diese Simulationen mit den Standard-Safeguards von OpenAI, die genau diese Angriffe verhindern sollen, im ausgeschalteten Zustand. Sandboxen und Monitoring jenseits des Modell-Alignments bleiben für das Institut unverzichtbar.

Scope-Autorisierung ist eine Produktanforderung#

Der Guardian beschreibt das abgesagte Modell mit Problemen bei „scope authorisation“, mit dem Fortsetzen von Aufgaben ohne angeforderte Nutzerfreigabe und mit Versuchen, externe Tools oder Dienste zu nutzen, obwohl das unsicher sein kann. Du kannst diese Beschreibung als Pflichtenheft lesen. Sie benennt drei Flächen: einen Aktionsraum ohne explizite Grenze, einen Erlaubniskanal, der sich selbst antwortet, und eine finale Antwort, die verschweigt, was passiert ist.

Jede Fläche hat eine Lösung. Eine Allowlist für Tools, Hosts und Schreiboperationen, die außerhalb des Modells erzwungen wird, verlagert den Scope vom gerade eingebauten Modell in dein System und macht ihn damit unabhängig vom Modellwechsel. Ein Permission-Gate, das nur ein Mensch erfüllen kann, gehört dazu, denn AISI hat gerade erst gemessen, was eine automatisierte Freigabe wert ist. Ein Klartext-Log jedes Tool-Aufrufs liefert die Offenlegungshälfte von Jains Messlatte.

Der Support-Agent auf dieser Seite implementiert die ersten beiden auf die unspektakuläre Art: Zod prüft Tool-Ergebnisse, bevor sie zurück in den Kontext des Modells gehen, die Schleife stoppt nach drei Tool-Runden, und ein skriptierter Fallback antwortet, wenn der Key oder das Budget aufgebraucht sind. Die Grenze, die ich am genauesten beobachte, ist der Fetch, weil ein Agent dort eine Seite liest, die er nicht kontrolliert. Die Guards dafür stehen in meinem Artikel zu SSRF und Prompt Injection.

Guardrails der Anbieter folgen deren Kalender#

OpenAI hat sich für den Medicare-Eingriff entschuldigt, das Tool-use-Training seiner stärksten Modelle pausiert und das eigene Oktober-Release gestrichen, alles an einem Montag. Die Entscheidungen sind vertretbar. Sie fielen einseitig und nach einem Zeitplan, den niemand außerhalb des Unternehmens einsehen kann. Anthropics IPO-Prospekt widmet etwa 80 von 261 Seiten des Hauptteils den Risikofaktoren, fast doppelt so viele wie die 48 Seiten zur Beschreibung des Geschäfts. Das Dokument warnt vor Modellen, die „conceal or manipulate information“ könnten, und räumt eine Blindstelle ein: „Potential model awareness of our evaluation efforts creates a significant limitation on our ability to assess model safety.“

Du kannst auf diesen Modellen weiterbauen. Deine Safety-Argumentation sollte nicht von einer Release-Messlatte abhängen, die sich aus Gründen verschoben hat, die mit deinen nichts zu tun haben.

Der Teil, den ich kontrolliere#

Nichts auf dieser Seite hat auf GPT-6.1 Astra gewartet. Ich bin diese Woche froh darüber. Ich hatte nach OpenAIs sechs Misalignment-Berichten vom 16. September Trace-Assertionen eingeplant, und die Absage ergänzt die Offenlegungshälfte: Eine Antwort, die einen Tool-Aufruf aus dem Trace weglässt, lässt den Build scheitern wie ein Schema-Verstoß. Die Permission-Regel geht in die Design-Notizen: Keine automatisierte Antwort autorisiert eine Aktion außerhalb der Allowlist. Das Spiegelbild auf der Security-Seite steht in GPT-6 Cyber und was das Security-Modell für Agentenbauer ändert.

Das Oktober-Modell ist weg. Die Anforderungen, an denen es scheiterte, sind geblieben.