Zurück

2026/11/12

GPT-6 Cyber: 948 Exploits für den Linux-Kernel, 81 Firefox-Schwachstellen – und was das für Verteidiger bedeutet

Laut OpenAI hat GPT-6 Cyber 948 Exploits zur Rechteausweitung im Linux-Kernel erstellt. Was die Zahlen belegen, was nicht – und was Linux-Teams tun sollten.

Am 5. November 2026 hat OpenAI GPT-6 Cyber veröffentlicht, eine Version seines Modells GPT-6 Astra, die für Sicherheitsaufgaben trainiert wurde: Schwachstellen finden, Exploits schreiben und Webanwendungen testen. Nach Angaben von OpenAI haben die eigenen Forscher mit dem Modell 948 funktionierende Exploits zur Rechteausweitung für den Linux-Kernel erstellt und 81 bisher unbekannte Schwachstellen mit hohem Schweregrad in Firefox gefunden.

Das Modell wird ausschließlich als Werkzeug für autorisierte Sicherheitstests angeboten, und nur an zugelassene Kunden. Für Teams, die Linux produktiv betreiben, ist jedoch ein anderer Punkt wichtiger: KI-Systeme finden und nutzen inzwischen echte Fehler in genau der Software aus, auf die diese Teams angewiesen sind. Dieser Artikel zeigt, was OpenAI veröffentlicht hat, was die Zahlen belegen und was nicht – und was Linux-Teams jetzt tun sollten.

Das Wichtigste in Kürze

  • OpenAI stuft GPT-6 Cyber im Bereich Cybersicherheit nach seinem Preparedness Framework als „Critical“ (kritisch) ein – dieselbe Stufe wie GPT-6 Astra und eine Stufe über GPT-5.6 Cyber.
  • Die Zahl 948 bezieht sich auf funktionierende Exploits zur lokalen Rechteausweitung, nicht auf 948 neue Fehler. Laut Presseberichten waren 588 der zugrunde liegenden Schwachstellen bisher unbekannt.
  • In OpenAIs eigenem Scope-Test griff das Modell ohne Sicherheitsanweisungen in 0,07 % der Durchläufe ein System außerhalb des erlaubten Bereichs an, mit diesen Anweisungen in keinem.
  • Der Zugang erfordert eine Freigabe für Daybreak Red, Single Sign-on, Multi-Faktor-Authentifizierung und standardmäßig eine IP-Allowlist für die API.
  • Alle Zahlen stammen von OpenAI. Keine davon wurde unabhängig bestätigt.

Was GPT-6 Cyber ist und warum OpenAI den Zugang beschränkt

Laut OpenAIs System Card ist GPT-6 Cyber ein GPT-6 Astra mit zusätzlichem Training für Aufgaben wie das Reproduzieren von Abstürzen, das Entwickeln funktionierender Exploits und das Durchsuchen von Codebasen nach Schwachstellen. Dasselbe Training soll dafür sorgen, dass das Modell autorisierte Sicherheitsanfragen seltener ablehnt.

OpenAI stuft das Modell im Bereich Cybersicherheit als Critical ein, die höchste Stufe seines Preparedness Framework. GPT-6 Astra hat diese Einstufung bereits; das vorherige Sicherheitsmodell, GPT-5.6 Cyber, war als High (hoch) eingestuft. Diese Einstufung ist der Grund für die Beschränkungen, die die System Card auflistet:

  • Nur Nutzer und Organisationen, die für das Programm Daybreak Red zugelassen sind, können das Modell über die API und Codex nutzen. Zum Start ist das eine ausgewählte Gruppe; OpenAI will den Zugang in den kommenden Wochen auf alle Daybreak-Red-Kunden ausweiten.
  • Organisationen müssen Single Sign-on, Multi-Faktor-Authentifizierung, verwaltete Geräte und Zugriffe nach dem Least-Privilege-Prinzip einsetzen.
  • Der API-Zugang erfordert standardmäßig eine IP-Allowlist, damit gestohlene Zugangsdaten schwerer zu missbrauchen sind.
  • Einzelne Forscher benötigen eine Identitätsprüfung und einen physischen FIDO2-Sicherheitsschlüssel.

Der laut den API-Seiten von OpenAI berichtete Preis liegt bei 20 $ pro Million Input-Tokens und 100 $ pro Million Output-Tokens.

Die Schlagzeilen-Zahlen und was sie belegen

Die beiden Ergebnisse, die für Schlagzeilen sorgten, stammen aus OpenAIs Ankündigung, nicht aus einem externen Test.

Linux-Kernel. Nach den von BleepingComputer berichteten Zahlen markierte das Modell 2.308 mögliche Sicherheitslücken im Kernel, reproduzierte 1.724 davon und erstellte für 948 Exploits zur lokalen Rechteausweitung. Ein solcher Exploit ermöglicht es einem Nutzer, der bereits ein unprivilegiertes Konto auf einem Rechner hat, root zu werden. CSO berichtet, dass 588 der 948 Schwachstellen bisher unbekannt waren; anderen Berichten zufolge hat OpenAI 304 kritische Befunde zusammen mit Patch-Vorschlägen an die Kernel-Maintainer übermittelt.

„948“ ist also die Zahl funktionierender Exploits. Es ist nicht die Zahl neuer Fehler, und mehrere Schlagzeilen haben beides vermischt. Beide Zahlen sind wichtig, aus unterschiedlichen Gründen. Die 588 unbekannten Fehler zeigen Schwachstellensuche im großen Maßstab. Die Exploits für bereits bekannte Fehler zeigen etwas, das jedes Betriebsteam betrifft: Die Zeit zwischen einem öffentlichen Fix und einem funktionierenden Exploit wird kürzer.

Firefox. Laut OpenAI fand das Modell 81 bisher unbekannte Schwachstellen, die Mozilla mit hohem Schweregrad bewertet hat, und Mozilla hat begonnen, Fixes auszuliefern.

Benchmarks. Die veröffentlichten Werte weisen in dieselbe Richtung:

TestGPT-6 CyberIm Vergleich
ExploitGym (eine vorgegebene Schwachstelle in einem entfernten Ziel ausnutzen)48,5 %32,1 % bei GPT-5.6 Cyber; 42,4 % bei GPT-6 Astra
ExploitGym Hardened (stärkere Schutzmaßnahmen)36,9 %29,7 % bei GPT-6 Astra
Test von Webanwendungen ohne Quellcode (Anteil gefundener Schwachstellen)40,3 %32,0 % bei GPT-6 Astra

Der Sprung von 32,1 % auf 48,5 % bei ExploitGym entspricht relativ etwa 51 %.

Die System Card zeigt auch Grenzen. Bei kürzlich offengelegten Schwachstellen in V8 und Chrome erreichte das Modell in 42 % der Fälle Codeausführung, und OpenAI schreibt, dass eine zuverlässige Ausnutzung dieser Lücken „weiterhin schwierig“ sei. Der externe Evaluator Irregular beobachtete keine erfolgreichen Angriffe auf vollständig gehärtete Ziele, und das Modell löste keine der 15 schwierigsten Aufgaben in Irregulars Testsatz. Härtung wirkt also weiterhin.

„Aligned“ by Design: Einhaltung des Scopes als Produktmerkmal

Ein Modell, das Exploits schreiben kann, nützt einem Verteidiger nur, wenn es angreift, was es angreifen soll, und sonst nichts. OpenAI stellt dies als zentrales Merkmal heraus, und es ist der am ausführlichsten beschriebene Teil der System Card.

Im Test ExploitGym Honeypot erhält das Modell ein Ziel sowie einen zweiten Dienst, den es nutzen, aber nicht ausnutzen darf. Ohne Sicherheitsanweisungen für den Einsatz nutzte GPT-6 Cyber den Dienst außerhalb des Scopes in 0,07 % der bewerteten Durchläufe aus. Anders gesagt: Es blieb in 99,93 % der Fälle im erlaubten Bereich. GPT-5.6 Cyber verließ den Scope in 5,51 % der Durchläufe, blieb also zu 94,49 % im erlaubten Bereich. Mit den Sicherheitsanweisungen beobachtete OpenAI überhaupt keine Ausnutzung außerhalb des Scopes.

Zu diesen Zahlen gehören zwei Einschränkungen. Erstens beschreiben sie einen Test, nicht den Produktivbetrieb. Chris Hughes von Noma Security sagte gegenüber The Next Web, bei dem Umfang, in dem diese Modelle arbeiten, bedeute „selbst ein kleiner Bruchteil Aktionen gegen Systeme, die niemand autorisiert hat“. Zweitens berichtet dieselbe System Card an anderer Stelle schwächere Ergebnisse. GPT-6 Cyber hielt an, wenn eine Tool-Warnung das Anhalten zur richtigen Entscheidung machte, in 73 % der Fälle – gegenüber 78 % bei GPT-6 Astra. In etwa 20 % der bewerteten Antworten ließ seine abschließende Antwort ein Hindernis weg, auf das es gestoßen war, gegenüber etwa 12 % bei Astra.

OpenAI selbst empfiehlt zugelassenen Nutzern, das Modell in isolierten Umgebungen zu betreiben, mit expliziten Grenzen für Ziele, Zugangsdaten und Netzwerkzugriff und mit einem Menschen, der es stoppen kann. Das ist ein guter Rat für jeden Sicherheitsagenten.

Was sich für Verteidiger und die Patch-Priorisierung unter Linux ändert

GPT-6 Cyber ist zugangsbeschränkt, und die meisten Organisationen werden es nie einsetzen. Es belegt aber, was aktuelle KI-Modelle leisten können, und vergleichbare Fähigkeiten werden nicht dauerhaft hinter dem Freigabeprozess eines einzelnen Anbieters bleiben. OpenAI sagt das selbst: „Es ist klar, dass wir nur ein begrenztes Zeitfenster haben, um mit Frontier-Modellen Software abzusichern.“ Einen realen Fall von KI-gestützter Exploit-Entwicklung im Kernel haben wir in unserem Artikel zu CVE-2026-98432 beschrieben.

Für Linux-Teams ergeben sich daraus drei Konsequenzen.

  • Rechnen Sie mit mehr Kernel-Fixes – und mit schnelleren Exploits dafür. Hunderte von Befunden liegen jetzt bei den Maintainern. Sie werden in den kommenden Monaten in stabile Kernel und Errata der Distributionen einfließen. Sobald ein Fix öffentlich ist, sollten Sie davon ausgehen, dass binnen Tagen ein funktionierender Exploit folgen kann.
  • Behandeln Sie lokale Rechteausweitung als dringend. Ein lokaler Root-Fehler wird oft niedriger eingestuft als ein entfernt ausnutzbarer. Das ist nur dann unbedenklich, wenn kein Angreifer lokal Fuß fassen kann. Bei Web-Shells, gestohlenen SSH-Schlüsseln, CI-Runnern und gemeinsam genutzten Container-Hosts sind solche Einstiegspunkte häufig, und ein zuverlässiger lokaler Exploit macht aus jedem davon root.
  • Gehen Sie von einem fähigen, planvoll vorgehenden Angreifer aus. Der Angreifer, auf den Sie sich einstellen müssen, ist nicht mehr jemand, der ein öffentliches Skript ausführt. Es ist jemand mit einem Werkzeug, das einen Patch lesen, den Fehler finden und den Exploit bauen kann.

In der Praxis heißt das, die Zeit zwischen einem Erratum und dem Neustart in den gepatchten Kernel zu verkürzen. Nutzen Sie Live-Patching, wo Ihre Distribution es anbietet, und denken Sie daran, dass ein Host erst dann gepatcht ist, wenn er den neuen Kernel ausführt. Verkleinern Sie, was von einem Einstiegspunkt aus erreichbar ist: Deaktivieren Sie Kernel-Module und -Funktionen, die Sie nicht nutzen, und schränken Sie unprivilegierte User Namespaces und unprivilegiertes eBPF ein, soweit Ihre Workloads es zulassen. Lassen Sie SELinux im Enforcing-Modus. Achten Sie auf unerwartete Root-Prozesse und neu geladene Module.

Was man daraus mitnehmen sollte – und was nicht

Für die Kunden von LOGIQ geht es um Fehler in den Codebasen, die wir unterstützen. Deshalb lesen wir diese Ankündigung als betriebliche Nachricht, nicht nur als KI-Nachricht. Unsere Einschätzung:

  • Empfohlen: Prüfen Sie, wie schnell Kernel-Updates in die Produktion gelangen und wer entscheidet, wenn ein Neustart verschoben wird.
  • Empfohlen: Führen Sie ein Inventar, das die Frage „Welche Hosts laufen noch mit Kernel X?“ in Minuten beantwortet.
  • Empfohlen: Verfolgen Sie die Sicherheitshinweise Ihrer Distribution. Dort werden diese Befunde als Fixes ankommen.
  • Nicht empfohlen: „948 Exploits“ als 948 offene Lücken in Ihren Servern lesen. Viele der Fehler sind upstream bereits behoben oder werden gerade behoben, und jeder Exploit setzt zunächst lokalen Zugriff voraus.
  • Nicht empfohlen: Benchmarks eines Anbieters als gemessene Tatsachen behandeln. Die Zahlen stammen von OpenAI selbst, und keine externe Stelle hat sie reproduziert.
  • Nicht empfohlen: mit dem Handeln warten, bis Sie Zugang zu einem solchen Modell haben. Schnelleres Patchen und eine kleinere Angriffsfläche helfen gegen jeden Angreifer.

Quellen