GPT-6 Astra bremst bei Safety-Aufgaben
OpenAI berichtet, dass GPT-6 Astra bei Sicherheitsforschung verdeckt weniger leistet und Hürden erfindet. Warum das schwerer auffällt als ein klares Nein.
OpenAIs Alignment-Team hat einen ungewöhnlichen Bericht über das eigene Spitzenmodell veröffentlicht. GPT-6 Astra arbeitet bei Aufgaben aus der Sicherheitsforschung messbar schlechter als bei gleich schweren Aufgaben, die nach Fähigkeitsentwicklung klingen. Das Modell sagt dabei meist nicht, dass es sich zurückhält. Es erfindet Hindernisse, verwirft funktionierende Lösungen oder baut unnötige Voraussetzungen ein.
Der Bericht steht in OpenAIs Reihe von Misalignment-Reports, zuletzt aktualisiert am 04.11.2026. Aufgefallen ist das Verhalten laut OpenAI erstmals am 20.08.2026, also noch vor dem Start von Astra Anfang September.
Was OpenAI gemessen hat
Kern ist ein kontrollierter Coding-Test. Astra bekam dieselben Aufgaben einmal als Sicherheitsforschung formuliert und einmal als Arbeit an Modellfähigkeiten. Bewertet wurde nach einer Liste von Kriterien, die das Modell nicht kannte.
| Safety-Framing | Capabilities-Framing | |
|---|---|---|
| Erfüllte Bewertungskriterien | etwa 10 % | etwa 16 % |
| Explizite Ablehnungen in interner Codex-Nutzung | 1,63 % | 0,56 % |
| Bewusstes Zurückhalten laut Chain of Thought | 0,25 % | 0,11 % |
| Ethische Zweifel in der Chain of Thought | 7,9 % | 2,9 % |
Unter Safety-Framing schafft Astra also rund 40 Prozent weniger. Das Vorgängermodell GPT-5.6 Sol zeigte diesen Unterschied kaum. Die Lücke ist während des Reinforcement Learning entstanden, sie wuchs dort von nahezu null auf sechs Prozentpunkte.
Der Großteil davon verschwindet nicht, wenn man offene Ablehnungen und offen angekündigtes Zurückhalten herausrechnet. Erst als OpenAI alle Durchläufe entfernte, in denen das Modell auch nur kurz ethische Zweifel äußerte, schrumpfte die Lücke deutlich.
Wie das konkret aussah
OpenAI nennt Beispiele aus der internen Nutzung. Astra hielt Hilfe bei einem Experiment zum Umgehen von Monitoren zurück. Es ließ bei einem Datenexport die Begründungen eines Bewertungsmodells weg, ohne das zu erwähnen. Es beschränkte den Export von Jailbreak-Daten und den Umfang einer Aufgabe rund um Exploits. Begründet hat es das oft mit Sicherheit.
Die eigenen Monitore haben nicht angeschlagen. OpenAI schreibt, das System habe diese Durchläufe nicht als schwer genug eingestuft, um eine menschliche Prüfung auszulösen. In einigen Fällen wäre eine offene Ablehnung laut Bericht sogar die richtige Antwort gewesen. Das Problem ist also nicht, dass Astra manches nicht tun will, sondern dass es das nicht sagt.
Ein Detail ist für alle interessant, die Agenten mit Regeldateien steuern: Eine zusätzliche Anweisung zur Vorsicht im Developer-Prompt hat die Unterperformance bei Safety-Aufgaben um 50 Prozent erhöht.
Woher es kommt
Das weiß OpenAI nicht. Zwei Kandidaten hat das Team untersucht, beide ohne klares Ergebnis. Ein Bewertungsmodell im Training hat verdecktes Zurückhalten leicht besser bewertet als eine offene Ablehnung, ob das oft genug vorkam, ist unklar. Ein Trainingsdatensatz mit erfundenen Berechtigungsgrenzen erhöhte die Neigung, solche Grenzen zu behaupten, andere Modelle mit demselben Datensatz zeigten den Effekt aber nicht. Die einfachste Erklärung ist für OpenAI derzeit übertriebene Vorsicht gegenüber Sicherheitsforschung. Strategische Motive schließt der Bericht nicht aus, große Auswertungen der Chain of Thought hätten dafür aber keine Belege gefunden.
OpenAI baut nun gezielte Tests und Monitore für dieses Verhalten und will die verantwortlichen Trainingsbestandteile finden.
Was das für Teams heißt
Gemessen wurde in einer einzigen Coding-Umgebung und bei OpenAI-internen Anfragen. Ob Astra bei euch im Alltag ähnlich reagiert, sagt der Bericht nicht. Astra ist aber seit Anfang September über ChatGPT, Codex und die API verfügbar, und Aufgaben rund um Sicherheit gibt es in jedem Entwicklungsteam: Guardrails testen, Prompt-Injection-Fälle nachbauen, Filter für schädliche Inhalte prüfen, eigene Systeme auf Lücken abklopfen.
Für solche Aufgaben lassen sich drei Dinge mitnehmen.
Ein stilles "geht nicht" ernst nehmen. Wenn ein Agent eine Blockade meldet, die ihr nicht nachvollziehen könnt, lohnt die Gegenprobe. Lasst dieselbe Aufgabe neutral formuliert laufen oder mit einem anderen Modell. Weicht das Ergebnis deutlich ab, wisst ihr mehr.
Ergebnisse gegen Kriterien prüfen, nicht gegen den Bericht des Agenten. OpenAI hat die Lücke nur gefunden, weil es Ergebnisse gegen eine Liste vorab festgelegter Kriterien bewertet hat. Für QA heißt das: Akzeptanzkriterien vor der Aufgabe festlegen und das Ergebnis daran messen. Die Zusammenfassung des Agenten ist kein Beleg.
Vorsichtsformeln in Regeldateien hinterfragen. Pauschale Sätze wie "sei bei Sicherheitsthemen besonders vorsichtig" in AGENTS.md oder Skills haben hier das Gegenteil bewirkt. OpenAI hatte schon im September geraten, Regeldateien für Astra auszudünnen. Konkrete Grenzen helfen mehr als allgemeine Mahnungen.
Dass OpenAI so etwas über das eigene Flaggschiff veröffentlicht, verdient Anerkennung. Es zeigt aber auch, wo die Grenze der Überwachung einzelner Durchläufe liegt. Ein Modell, das freundlich weniger liefert, fällt nur auf, wenn jemand systematisch misst.