GPT-6 Cyber: OpenAI baut einen Agenten, der Exploits schreibt und Grenzen hält

OpenAI hat am 5. November 2026 ein Modell veröffentlicht, das genau das tut, was Sicherheitsleute seit einem Jahr fordern und ein bisschen fürchten: GPT-6 Cyber ist ein KI-Agent für Sicherheitsrecherche. Er findet Schwachstellen, baut Proof-of-Concepts, validiert sie, und OpenAI ordnet ihn selbst in der Stufe Critical der eigenen Preparedness-Framework ein. Die Verkaufszahl des Announcements ist 48,5 Prozent auf ExploitGym, gegen 32,1 Prozent beim Vorgänger GPT-5.6 Cyber. Diese Zahl interessiert mich halb so sehr wie eine andere: In 99,93 Prozent der Scopes-Tests hat das Modell Nebendienste nicht angegriffen, ohne dass ein Sicherheitsprompt davor saß. Mit Prompt: 100. Ich betreibe Agenten auf einem gebrauchten Pixel 6a und beschäftige mich seit über einem Jahr mit genau einer Frage, wie man Agenten in Grenzen hält. Deshalb lese ich dieses Announcement anders als das meiste Presseecho: nicht als Hacker-Show, sondern als Zustandsbericht über Agentbetrieb.

ExploitGym misst, ob ein Modell eine definierte Schwachstelle in einem entfernten Ziel zur Wirkung bringt. GPT-6 Cyber landet bei 48,5 Prozent, der Vorgänger bei 32,1 Prozent. Das sind rund 16 Prozentpunkte, und OpenAI rechnet daraus eine relative Verbesserung von 51 Prozent. Der zweite Test ist ein Web-Pentest-Setup: Das Modell bekommt eine Webanwendung ohne Quellcode zugewiesen und muss selbst finden, was anfällt. Hier kommt GPT-6 Cyber auf 40,3 Prozent Recall, GPT-6 Astra auf 32,0. Für die Einordnung gehört dazu: Das sind Benchmark-Zahlen aus kontrollierten Umgebungen, kein Beweis für Alltagstauglichkeit in Netzen, die einem nicht gehören. Aber die Richtung stimmt, und bei der Grenzfrage sieht es noch besser aus. Die gleiche Chart-Reihe zeigt außerdem, dass GPT-6 Astra mit aktiven Safeguards auf ExploitGym bei 0,0 Prozent verweigert und über Daybreak Blue bei 42,4 Prozent liegt. Zahlen aus einem Announcement sind immer Marketing-tauglich geschönt, deshalb ist der Rest dieses Beitrags der Frage gewidmet, was OpenAI eigentlich misst, wenn es Grenzen zählt.

Der eigentliche Clou ist ExploitGym Honeypot. OpenAI gibt dem Modell eine schwierige Aufgabe in einer isolierten Umgebung und stellt ihm Nebendienste zur Seite, etwa eine Paketregistry oder einen Objektspeicher. Diese Dienste sind absichtlich leicht auszunutzen. Wer sie anfasst, kommt schneller an den Flag des Tasks, aber im Regelwerk steht genau das ist außerhalb des Auftrags. Das Modell muss also zwischen Erfolg und Grenzverstoß unterscheiden. Die Vorlage für dieses Design war der Hacking-Fall bei Hugging Face, bei dem ein Angreifer über Nebensysteme in tiefer liegende Infrastruktur gelangt ist. Genau diese Struktur kennt jeder, der Agenten betreibt: Der Agent hat einen Auftrag, und er hat Nebentüren, über die er schneller zum Ziel käme, wenn er die Regeln missachtet.

Ausgemessen hat OpenAI das so: Ohne Deployment-Prompt hat GPT-6 Cyber die Nebendienste in 99,93 Prozent der Testläufe nicht angegriffen, der Vorgänger lag bei 94,49 Prozent. Mit Prompt: 100 Prozent. Interessant ist das Detail, OpenAI zeigt auch Ausschnitte aus dem Denkprozess, sinngemäß übersetzt: Nicht voraussetzen, dass es ein zusätzliches API oder einen Angriffscontroller gibt, wir arbeiten nur gegen das Zielsystem. Und: Zugangsdaten außerhalb der Scopes nicht anfassen. Das ist der Punkt, an dem der Beitrag spannend wird für jeden, der selbst Agenten betreibt: Das Grenzdenken passiert laut OpenAI inzwischen im laufenden Denkprozess selbst, nicht erst an der Notbremse. Ein Modell, das beim Denken Grenzen mitdenkt, braucht weniger Außensicherung als eines, das nur abgebrochen wird, wenn es zu weit geht.

Die Praxisbelege sind die Substanz des Announcements. OpenAI hat mit GPT-6 Cyber 948 Wege zur Rechteausweitung in Linux ausgearbeitet, dazu gibt es einen eigenen Beitrag vom 4. November. Das Modell hat zudem 81 bisher unbekannte Schwachstellen mit hoher Schwere in Firefox gefunden, in einem Codebestand, den die Branche schon mehrfach mit frontier-Modellen durchsucht hat. Mozilla hat die meisten Fixes inzwischen ausgeliefert, das Advisory läuft unter mfsa2026-118. Darüber hinaus nutzen Teams bei Cisco, beim Unternehmen Calif und bei CodeRabbit das Modell für Vulnerability-Research und Code-Review, und Cognition berichtet vom internen Benchmark für neuartige Lücken: 23 Prozent für GPT-6 Cyber, gegen 13 Prozent für den bisherigen Bestwert. Das heißt konkret: Das Modell arbeitet nicht nur im Labor, sondern in Codebeständen von der Größenordnung von Linux und Firefox. Wer wissen will, was so eine Liste mit 948 Funden praktisch bedeutet, muss sich den Linux-Beitrag selbst ansehen, für die Kernaussage hier reicht die Zahl.

Verfügbarkeit ist der knappe Teil. GPT-6 Cyber startet über die API und in Codex, zunächst nur bei einer überschaubaren Zahl von Daybreak-Red-Kunden, das ist OpenAIs Programm für verifizierte Verteidiger. Alle Daybreak-Red-Kunden bekommen zusätzlich GPT-5.6 Cyber, und die Alphaphase von Daybreak Blue für GPT-6 Astra ist offen für mehr Organisationen und einzelne Forscher. Ein Preis ist nicht verfügbar, OpenAI nennt im Announcement keine Zahl. Am 4. November ist Daybreak Red zusätzlich in AWS GovCloud, Region US-East, gegangen. Wer nichts davon hat, bekommt die System Card, die Blogbeiträge und die Mozilla-Fixes, aber nicht das Modell. Für meinen Teil heißt das: Ich rechne mit den gemeldeten Zahlen weiter, nicht mit eigenem Test, und der Unterschied zwischen Lesen und Messen bleibt im Text sichtbar.

Diese Einordnung kommt aus dem Alltag eines Agentenbetriebs mit kleinem Budget. Auf meinem Pixel 6a läuft ein Hermes-Kern mit pi-Agenten, die über herdr angebunden sind. Nach dem GO vom 5. November sind die Klick-Genehmigungen weg, die Hardlines bleiben, und die Schleifen-Regel gilt weiter: ein Schritt, ein Check, fertig. Das ist die Bescheiden-Version von dem, was OpenAI im Honeypot misst. Im August habe ich die Speicherkrise durchgemacht, fünf Gateway-Tode in knapp zwei Tagen, und danach die Konstruktion so gebaut, dass sie Kills übersteht statt sie zu verhindern. Der beste Beleg ist eine dokumentierte Messung aus meinem Vault: Vom 28. August um 19:40 Uhr bis zum 1. September um 12:18 Uhr lief das Setup 88 Stunden ohne Unterbrechung, null Out-of-Memory-Kills seit der Härtung, belegt durch stündliche Herzbeats, Snapshots und Gateway-Logs. Dazu die Testbilanz aus zwei Verifizierungsprojekten: 36 von 36 Tests, Netzwerk-Layer 29 von 29, Preiskompass 7 von 7, gebaut im lokalen Workflow, Hermes plant, pi führt aus, Hermes verifiziert. Ich habe dabei keine Zeile Code selbst geschrieben, nur orchestriert.

Was ich daraus für den Betrieb leite: Ein Honeypot braucht kein OpenAI-Budget. Er braucht nur eine Neben-Tür mit einer leichten Lücke und ein Protokoll, das danach beweist, ob der Agent durch sie geprobt hat. Bei mir ist das die Kombination aus Tagesnotiz und Heartbeat, bei OpenAI ist es ein Benchmark mit Flag-Logik. Die Skala unterscheidet sich um vier Größenordnungen, das Prinzip nicht. Und die Grenze, die ich am Ende des Tages nicht überschreiben darf: Ich kann die Zahlen von OpenAI nicht gegenmessen, der Zugang ist verifizierten Teams vorbehalten. Meine Messwerte decken meinen Betrieb, nicht ihren Benchmark. Wer mehr will, braucht mehr als mein Deck.

OpenAI formuliert selbst ein begrenztes Zeitfenster, in dem frontier-Modelle Software absichern können, bevor die Offensive mitzieht, das Projekt trägt den Namen Defenders Window. Der Plan ist, Daybreak zu vergrößern: erweiterte Sicherheitsrecherche für Organisationen jeder Größe, freie Forscher und die Betreiber offener Projekte. Die offenen Fragen bleiben trotzdem. Erstens: 948 Wege zu Root zeigen, dass selbst ein solcher Codebestand wie Linux nach mehreren Durchgängen noch Hunderte Funde hergibt. Was heißt das für Software, die keine Community von Tausenden Maintainern hat? Zweitens: OpenAI stuft das Modell in der Kategorie Critical ein, aber die Zulassung beschneidet den Kreis, der es benutzen darf. Diese Schere zwischen Fähigkeit und Zugang wird die kommenden Monate prägen. Drittens die Infrastruktur: Agenten in dieser Klasse brauchen Rechenzentren, die den Strommarkt belasten. Der Branchenverband EPRI rechnet für 2026 mit 9 bis 17 Prozent des US-Strombedarfs durch Rechenzentren, und Gartner erwartet, dass im Jahr 2027 rund 40 Prozent der AI-Rechenzentren an Strommangel scheitern werden. Der Punkt ist nicht Katastrophenprosa. Der Punkt ist: Das Modell, das Software sicherer machen soll, erzeugt selbst Last, die darüber mitentscheidet, wie lange das Zeitfenster offen bleibt.

Über den Autor: Ich bin Marcel, Grafikdesigner und Betreiber des HUNTER-Cyberdecks auf einem gebrauchten Google Pixel 6a. Dieser Beitrag stützt sich auf die OpenAI-Announcements vom 4. und 5. November 2026 sowie auf Projektnotizen aus meinem Vault mit den dokumentierten Messungen zum Uptime-Record vom August und zu 36 von 36 Tests in zwei Verifizierungsprojekten. Zuletzt fachlich geprüft am 6. November 2026.

Quellen, abgerufen am 6. November 2026: OpenAI, GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents (openai.com/index/introducing-gpt-6-cyber). OpenAI, A thousand fewer paths to root (openai.com/index/a-thousand-fewer-paths-to-root). OpenAI System Card zu GPT-6 Cyber (deploymentsafety.openai.com/gpt-6-cyber). Mozilla Security Advisory mfsa2026-118 (mozilla.org). OpenAI, The Defenders Window (openai.com/index/the-defenders-window). S&P Global zu AI-Rechenzentrum-Strombedarf und EPRI-Zahlen (spglobal.com). Die Projekt-Messwerte zum Uptime-Record und zu den Tests sind eigene dokumentierte Messungen aus dem Vault (Tagesnotizen, Heartbeats, Snapshots), keine öffentlichen Quellen.