OpenAI stellt einen Exploit-Wert von 77% vor – doch der Vergleich bleibt unbelegt

BigGo Finance und Gizmodo Japan berichten, OpenAI habe das Ergebnis für ein nicht namentlich genanntes, noch unveröffentlichtes Modell vorgestellt, das damit über dem bestehenden Cybersicherheitsspezialisten GPT-6 Cyber mit 52.6% liege. Ein Ergebnis von etwa 38% für Mythos 5.2 von Anthropic sei Berichten zufolge mündlich als Referenzwert erwähnt, aber nicht in der Grafik angezeigt worden. Dabei handelt es sich um sekundäre Berichte über vorgestellte Ergebnisse, nicht um eine unabhängig geprüfte Evaluierung.⁠1⁠2

Laut Gizmodo Japan verglich die Präsentation zunächst das Allzweckmodell GPT-6 Astra mit GPT-6 Cyber. Dann erschien oberhalb der beiden eine rote Linie für das Cybersicherheitsmodell der nächsten Generation. In den für diesen Bericht verfügbaren Materialien ist kein Zahlenwert für GPT-6 Astra belegt; die Angabe von 77.0% bezieht sich auf das unveröffentlichte System, nicht auf GPT-6 Cyber.⁠2

Der Abstand zwischen 77.0% und 52.6% beträgt 24.4 Prozentpunkte. Das ist keine relative Verbesserung von 24.4%, und die Bezeichnung als Zuwachs von rund 25% verwechselt zwei unterschiedliche Messgrößen. Auch das Verhältnis von ungefähr zwei zu eins gegenüber dem ungefähren Mythos-Referenzwert gilt nur für diese konkreten Werte. Es belegt nicht, dass OpenAIs neues Modell allgemein doppelt so leistungsfähig im Bereich Cybersicherheit ist.⁠1⁠2

Auch der Zeitpunkt der Veranstaltung muss sorgfältig eingeordnet werden. Gizmodo Japan datiert die Präsentation in seinem japanischsprachigen Bericht auf die frühen Morgenstunden des 13. November 2026. Das verlinkte Video trägt den Titel „Cyber at the Frontier“ und nicht den in diesem Bericht verwendeten umgekehrten Titel. Die Veröffentlichungsmetadaten vom 10. November belegen nicht, wann die Präsentation stattfand; ein lesbares Transkript, anhand dessen sich die Passagen zum Benchmark direkt überprüfen ließen, lag nicht vor.⁠2⁠11

ExploitGym prüft eine engere – und folgenreichere – Fähigkeit als das bloße Erkennen fehlerhaften Codes. Ein Agent erhält eine Programmeingabe, die eine Schwachstelle auslöst, und versucht dann, daraus einen funktionsfähigen Exploit zu entwickeln. Erfolg bedeutet eine konkrete Sicherheitsauswirkung, etwa den Zugriff auf eine Datei ohne Berechtigung oder das Ausführen nicht autorisierten Codes. Die Autoren des Benchmarks unterscheiden zwischen der Schwachstelle und dem Angriff, den sie ermöglichen könnte.⁠12⁠13

Diese Unterscheidung ist für Verteidiger wichtig. Eine Schwachstelle zu finden lässt eine praktische Frage offen: Was könnte jemand tatsächlich damit anstellen? Der Nachweis, dass sie ausgenutzt werden kann, kann helfen festzustellen, welche Reparaturen dringend erforderlich sind. Dieselbe Fähigkeit kann aber auch den Aufwand verringern, den ein Angreifer betreiben muss. Nichts in dieser Vorschau belegt, dass eine Organisation angegriffen wurde; die Sorge gilt dem, was ein leistungsfähigeres System zur Erstellung von Exploits ermöglichen könnte.⁠13

Die ursprüngliche Beschreibung von ExploitGym wurde am 11. Mai 2026 als Preprint eingereicht und noch keinem Peer-Review unterzogen. Sie beschreibt 898 Fälle aus Schwachstellen in realen Anwendungen, Googles JavaScript-Engine V8 und dem Linux-Kernel, dem Kern des Betriebssystems. Die Forschenden variierten die für die Fälle geltenden Sicherheitsvorkehrungen und verpackten die Konfigurationen in reproduzierbare Softwarecontainer.⁠12⁠13

Diese Designentscheidungen sind nicht nebensächlich. Die Ausnutzung einer Schwachstelle hängt sowohl von den Schutzmaßnahmen und Laufzeitbedingungen rund um einen Fehler ab als auch davon, wie gut ein Agent darüber schlussfolgern kann. Die ursprüngliche Evaluierung ergab, dass die Ausnutzung weiterhin schwierig war. Frontier-Agenten konnten jedoch einen erheblichen Anteil der getesteten Schwachstellen ausnutzen und waren teilweise auch dann erfolgreich, wenn weit verbreitete Schutzmaßnahmen aktiviert waren.⁠13

In der früheren Evaluierung erzeugten die leistungsstärksten Konfigurationen von Claude Mythos Preview und GPT-5.5 jeweils 157 beziehungsweise 120 funktionsfähige Exploits. Dabei handelt es sich um andere Modelle als jene im neuen Vergleich. Weder diese Zahlen noch die 898 Fälle des ursprünglichen Benchmarks belegen, auf welcher Grundgesamtheit die Prozentsätze vom November beruhen. Um daraus eine Fortschrittsgrafik zu machen, müssten zunächst Aufgaben und Bedingungen angeglichen werden.⁠12⁠13

Den begleitenden Berichten zufolge hat GPT-6 Cyber außerdem 81 zuvor unbekannte Firefox-Schwachstellen mit hohem Schweregrad gefunden und in einem einzigen Durchlauf rund 1,000 Linux-Schwachstellen untersucht sowie Patches erstellt. Das sind Behauptungen über den bestehenden Spezialisten, keine verifizierten Ergebnisse des unveröffentlichten Modells. Linux-Schwachstellen zu untersuchen bedeutet nicht, 1,000 neue Schwachstellen entdeckt zu haben.⁠1⁠2

Auch bedeutet die Erstellung eines Patches nicht, dass eine Reparatur validiert, akzeptiert oder bereitgestellt wurde. Die verfügbaren Berichte enthalten keine entsprechenden Schwachstellendatensätze oder Patch-Ergebnisse, anhand derer Verteidiger diese Behauptungen überprüfen könnten. Ein vorgeschlagener Fix muss zunächst eine technische Prüfung und Tests bestehen, bevor er als erfolgreiche Reparatur gelten kann.⁠1⁠2

Der separate Bericht von Gizmodo Japan über OpenAIs Demonstration eines Verteidigungstools beschreibt diesen menschlichen Kontrollpunkt: Die KI schlägt Änderungen vor, ein Mensch prüft sie, und das System setzt die genehmigten Fixes um. Das verdeutlicht den wichtigen Unterschied zwischen der Erstellung von Sicherheitsarbeit und dem Nachweis, dass diese Arbeit zuverlässig ist. Es ist keine unabhängige Bestätigung der Zahlen zu Firefox oder Linux.⁠4

Die fehlenden Details zur Evaluierung gehen weit über den Namen des Modells hinaus. Aus dem neuen Vergleich gehen weder die Zahl der Aufgaben noch die Benchmark-Version, die Auswahl der Schwachstellen oder die Bewertungsregeln hervor. Unklar bleiben außerdem die genauen Modellkonfigurationen, Prompts, Tools, Versuchslimits sowie Zeit- oder Rechenbudgets – und ob diese Bedingungen für alle Modelle gleich waren.⁠1⁠2

Wiederholte Durchläufe und Unsicherheitsschätzungen würden helfen zu zeigen, ob der gemeldete Abstand stabil ist. Maßnahmen gegen Kontamination könnten belegen, ob eine frühere Beschäftigung mit Testmaterial die Leistung beeinflusst hat. Ohne diese Details ist die belastbare Schlussfolgerung ein erheblicher gemeldeter Vorsprung im Benchmark, nicht jedoch ein gemessener Vorteil in der realen Sicherheit über alle Bereiche hinweg.

Das nicht namentlich genannte Modell ist weiterhin unveröffentlicht. Aus den verfügbaren Belegen gehen weder ein öffentliches Veröffentlichungsdatum noch eine Zugangsregelung oder konkrete Schutzmaßnahmen hervor. Die nächste wichtige Ankündigung muss daher nicht unbedingt einen höheren Wert liefern: Entscheidend wäre eine Evaluierung, die andere prüfen können, zusammen mit Zugangsregelungen, aus denen hervorgeht, wie OpenAI eine Fähigkeit handhaben will, die sowohl für Verteidiger als auch für Angreifer wertvoll ist.⁠1⁠2