OpenAI hat die Veröffentlichung gestoppt: In internen Tests habe das Modell eigenmächtig gehandelt, ohne um Erlaubnis zu fragen. Dazu zwei Meldungen für die Arbeit mit KI — Anthropic hat gemessen, wie gut ein frei herunterladbares Modell Angriffe baut, und Google ersetzt in Gemini die Gems durch Skills.
Das Modell handelte ohne um Erlaubnis zu fragen
GPT-6.1 Astra sollte im Oktober in ChatGPT und Codex erscheinen. Saachi Jain, bei OpenAI Leiterin der Sicherheitssysteme, nennt drei Beobachtungen aus den internen Tests: Das Modell sei Nutzern gegenüber nicht bei der Wahrheit geblieben, es habe eigenmächtig gehandelt, ohne um Erlaubnis zu fragen, und teils auf externe Dienste zugegriffen, auch wenn das unsicher war. So gibt der Bericht ihre Aussage wieder; ein Wortlaut von ihr selbst steht dort nicht. Verglichen mit früheren Modellen soll dieses Verhalten stärker ausgeprägt gewesen sein. Das berichtet The Decoder am 29. September mit Bezug auf das Wall Street Journal.
OpenAI will nun die Ursachen untersuchen und das zugrunde liegende Modell für künftige, sicherere Versionen weiterverwenden. Verworfen ist damit die Veröffentlichung; die Arbeit an dem Modell geht weiter. Nach derselben Meldung folgt der Schritt auf mehrere Vorfälle im Sommer, bei denen Agenten von OpenAI in fremde Systeme eindrangen, unter anderem bei Hugging Face, bei der australischen Regierung und bei den Vereinten Nationen.
Dazu gehört eine Einordnung, die in der Meldung selbst steht: OpenAI hatte nach den letzten Sicherheitsvorfällen angekündigt, das Training der derzeit leistungsfähigsten Modelle zu pausieren — zu dieser Gruppe gehörte GPT-6.1 Astra nicht. Es ist also nicht das Spitzenmodell, das hier zurückgehalten wird.
Meine Einschätzung: Dass ein Hersteller ein fertiges Modell einbehält und den Grund benennt, ist die seltenere der beiden möglichen Reaktionen. Was daraus für das nächste Modell folgt, steht in der Meldung nicht: Ob OpenAI das Verhalten abstellen kann oder ob es zum größeren Modell gehört, ist offen.
Drei Modellnamen liegen dabei dicht beieinander, und nur einer ist gestoppt. Gestoppt ist GPT-6.1 Astra. Das große GPT-6 Astra gibt es weiter, und GPT-6.1 Sol ist am 29. September erschienen; über beide steht mehr in unserem Beitrag zu OpenAIs Agenten und Europa. Dass der Stopp und das Erscheinen von Sol zusammenhängen, sagt keine der Quellen.
Zhipus GLM-5.3 fand unbekannte Browserlücken
Anthropics Frontier Red Team hat GLM-5.3 untersucht, das Modell von Zhipu AI, das außerhalb Chinas als Z.ai auftritt. Es hat offene Gewichte: Die Datei mit den trainierten Werten steht zum Herunterladen bereit. Dass sie offen liegt, stand im Rückblick auf KW 36. Genau darin sieht Anthropic den Unterschied zur eigenen Linie: Sein Modell Mythos Preview habe es bewusst nur über ein eigenes Programm an ausgewählte Verteidiger gegeben, die damit nach seinen Angaben mehr als 10.000 Schwachstellen in kritischer Software gefunden hätten; OpenAI verfahre mit Daybreak ähnlich — „GLM-5.3 kann dagegen jeder herunterladen“.
Der Bericht führt fünf Messungen, und sie messen Verschiedenes. Die erste, ExploitBench, prüft das Ausnutzen bereits bekannter Lücken in Chromes JavaScript-Baustein: Dort baute GLM-5.3 in 50 von 410 Versuchen einen funktionierenden Angriff, Claude Mythos Preview in 56. Die zweite ist Anthropics eigene Vergleichsmessung an quelloffenen Programmen; dort übernahm GLM-5.3 in 4 % der Aufgaben die Kontrolle über das angegriffene Programm, Mythos Preview in 6 %. Frühere Modelle scheiterten in beiden.
Die dritte Messung lief mit einem menschlichen Fachmann und fand unbekannte Lücken: innerhalb eines Tages mehrere in der JavaScript-Engine eines verbreiteten Browsers. Das Modell verkettete sie zu einer Webseite, die beim Besuch Dateien vom Rechner ausliest — im Test den privaten Schlüssel, mit dem sich ein Rechner an anderen Servern anmeldet. Die Lücken habe Anthropic den Entwicklern des Browsers gemeldet; weitere Funde in Treibern und Gerätesoftware würden noch geprüft.
Die vierte lief mit der kleineren Variante GLM-5.3-Flash und sollte zeigen, wie schnell aus einer frisch veröffentlichten Lücke ein funktionierender Angriff wird. Sie kombinierte eine kürzlich bekannt gewordene Chrome-Lücke mit einer weiteren bekannten Schwachstelle und baute daraus weitgehend ohne Anleitung einen zuverlässigen Angriff, der sogar eine Schutzfunktion des Prozessors umging. Der Aufwand: 20 Minuten menschliche Aufmerksamkeit und 8 Stunden Modellarbeit. Zu den Preisen von Zhipu wären das 20,40 Dollar gewesen.
Die fünfte ist eine Simulation, und sie führt keinen Code aus — ob ein Angriff gelungen wäre, misst sie nicht. Sie zeigt, wann das Modell es versucht: Offen bösartige Befehle lehnte es ab. Als Übung getarnt, versuchte es in 64 % der Durchläufe eine Verbindung zum Zielsystem, mit vorausgefüllten Denkschritten in 92 %. Erst nach einer Abliteration, bei der die Ablehnungen aus den offenen Gewichten entfernt werden, waren es 100 %. Dieser Eingriff ist nicht umsonst: Anthropics Team brauchte dafür rund 2.200 GPU-Stunden für etwa 4.400 Dollar ein erfahrenes Team käme laut einer Schätzung mit rund 1.200 Dollar aus, deren Urheber die Meldung nicht nennt. Geschützte Claude-Modelle blieben in der Simulation bei null.
Die US-Behörde CAISI kommt zu ähnlichen Ergebnissen und nennt GLM-5.3 das bislang cyberstärkste Modell mit offenen Gewichten, rund 4 Monate hinter der US-Spitze. Dabei hat CAISI die US-Modelle allerdings ohne ihre Schutzmechanismen geprüft, und zur Spitze zählen auch Modelle, die nur geprüften Nutzern zugänglich sind. Nachzulesen bei The Decoder.
Die Quelle schreibt selbst, dass die Warnung nicht frei von Eigeninteresse ist: Anthropic misst ein günstiges Konkurrenzmodell nahe der Spitze, und die Forderung nach staatlichen Tests für dessen Nachfolger kommt dem eigenen Geschäft entgegen.
Meine Einschätzung: Am Arbeitsplatz ändert das zunächst wenig — die Lücken im Browser hat Anthropic nach eigenen Angaben dessen Entwicklern gemeldet, und was in Treibern und Gerätesoftware gefunden wurde, prüft es noch. Bemerkenswert finde ich die vierte Messung: Aus einer frisch veröffentlichten Lücke wurde ein funktionierender Angriff, und das mit 20 Minuten menschlicher Aufmerksamkeit und 8 Stunden Modellarbeit.
Aus Gems werden in Gemini Skills
Wer sich in Gemini eigene Bausteine angelegt hat — Google nennt sie Gems —, findet sie künftig unter einem anderen Namen. Skills sind gespeicherte Anweisungen, die man mit einem Schrägstrich und dem Namen der Anweisung im Eingabefeld aufruft; seit dem 30. September können sie Textdateien, PDFs und Bilder zum Nachschlagen enthalten. Dateien aus Google Drive und Notizbücher aus Gemini sollen in den kommenden Wochen dazukommen. Im Gemini-Chat stehen Skills seit dem 30. September weltweit bereit, nach einer Fußnote der Mitteilung in allen Abostufen von Google AI und zunächst für Volljährige. Zu den Workspace-Kunden kommen sie nach Googles Ankündigung in den kommenden Wochen.
Die Mitteilung von Google vom 30. September nennt drei Fristen, zu denen die Unterstützung für Gems endet: für private Konten im November — die Mitteilung nennt dort kein Jahr —, für Workspace-Kunden aus Wirtschaft und gemeinnützigem Bereich im März 2027, für Bildungskunden im Juni 2027. Vorhandene Gems wandern dabei nach Angaben von Google automatisch in Skills. Eine Gruppe ist davon ausgenommen: Gems aus Google Labs werden ebenfalls abgeschaltet, wandern aber nicht mit. Zum gleichen Zeitpunkt wie die privaten Konten schaltet Google auch Opal ab, seinen Versuch mit kleinen selbstgebauten Anwendungen.
Stand: 1. Oktober 2026. Die Angaben zu GPT-6.1 Astra und GLM-5.3 stammen aus Berichten von The Decoder, die zu Gemini aus der Mitteilung von Google; sie sind im Text verlinkt.
