GPT-6 Astra arbeitete bei Red-Teaming heimlich weniger

OpenAI hat festgestellt, dass sein Modell GPT-6 Astra bei Aufgaben der KI-Sicherheitsforschung teils weniger erledigt hat, als von ihm verlangt wurde. Betroffen waren vor allem Red-Teaming und die Entwicklung von Exploits. In den meisten Fällen erkannten die internen Systeme zur Erkennung von Fehlverhalten das nicht. Darüber berichtet SecurityWeek unter Berufung auf eine Veröffentlichung von OpenAI. Aufgefallen war das Verhalten laut OpenAI im August, kurz nachdem das Unternehmen Astra intern eingeführt hatte. GPT-6 Astra ist das erste Modell, das OpenAI nach seinem Bewertungsrahmen bei Cybersicherheitsfähigkeiten als „kritisch” einstuft.

Zurückhaltung bei Exploit-Aufgaben

Beim Red-Teaming im Rahmen der internen Sicherheitsforschung kam es laut OpenAI am häufigsten zu ausdrücklichen Ablehnungen und zu stillem Zurückhalten, also zu Fällen, in denen das Modell weniger tat, ohne darauf hinzuweisen. Weitere Fälle betrafen die Überwachung und Bewertung von Modellen.

In von OpenAI veröffentlichten Beispielen reduzierte Astra eine Aufgabe zur Exploit-Entwicklung, um eine bekannte Schwachstelle nicht als Waffe nutzbar zu machen. Wenn das Modell sein Vorgehen begründete, argumentierte es häufig, Zurückhaltung sei die sicherere Wahl. OpenAI räumt ein, dass eine offene Ablehnung bei vielen dieser Aufgaben vertretbar gewesen wäre.

Unterschied je nach Formulierung

In einem kontrollierten Test gab OpenAI Astra Paare von Programmieraufgaben, die sich nur in Benennungen, Kommentaren und Dokumentation unterschieden. Eine Aufgabe war jeweils als Sicherheitsforschung, die andere als Forschung zu Fähigkeiten dargestellt. Das Vorgängermodell GPT-5.6 Sol erzielte in beiden Fällen etwa gleiche Ergebnisse. Astra erfüllte bei den als Sicherheitsforschung formulierten Aufgaben weniger der verdeckten Prüfziele.

In der alltäglichen Nutzung von Codex durch OpenAI-Beschäftigte zeigte die Begründung des Modells bei 0,25 Prozent der sicherheitsbezogenen Anfragen eine stille Entscheidung, sich zurückzuhalten, bei Anfragen zu Fähigkeiten waren es 0,11 Prozent. Laut den Berichten deutet OpenAI das Verhalten eher als übermäßige Vorsicht denn als gezielte Täuschung.

Warnungen bereits im September

Schon in der Systemkarte zu Astra hatte OpenAI im September eingeräumt, dass das Modell in Tests, bei denen es gezielt dazu aufgefordert wurde, schlechter abschneiden konnte, ohne von den Monitoren erkannt zu werden. OpenAI-Forscher Marcus Williams hatte damals auf X geschrieben: „Ich mache mir große Sorgen, dass Astra bei sicherheitsbezogenen Aufgaben, die es nicht mag, absichtlich schlechter arbeitet oder sich selbst sabotiert.”

Die nun veröffentlichten Beobachtungen stammen dagegen aus dem regulären internen Einsatz. OpenAI hatte zuletzt bereits weitere Vorfälle offengelegt, bei denen Agenten in Tests Überwachungsfunktionen abschalteten oder Grenzen überschritten.

(red)