OpenAI stellt mit GPT-6 Cyber ein Modell vor, das Sicherheitslücken finden und bei ihrer Behebung helfen soll. Das betrifft Unternehmen, Verwaltungen und alle, die beruflich Cloud- oder KI-Dienste nutzen, denn leistungsfähige Modelle stehen nicht nur Verteidigern zur Verfügung. Neue Benchmarks und dokumentierte Missbrauchsfälle zeigen gleichzeitig, wie schmal die Grenze zwischen Sicherheitstest und Angriff geworden ist.
Warum KI in der Cyberabwehr eine doppelte Rolle spielt
Künstliche Intelligenz (KI) kann grosse Mengen Programmcode untersuchen, mögliche Schwachstellen identifizieren und daraus konkrete Angriffsmöglichkeiten ableiten. KI-Agenten, also Systeme, die Aufgaben über mehrere Schritte weitgehend selbstständig ausführen, können ausserdem Tests durchführen und Reparaturen vorbereiten. Für Sicherheitsteams verspricht das mehr Tempo bei Arbeiten, die bisher viel manuelle Prüfung verlangten.
OpenAI ordnet GPT-6 Cyber dem Cybersicherheitsprogramm Daybreak Red zu. Zugriff erhalten laut der Meldung über das neue Cybermodell nur autorisierte Organisationen. Der Anbieter berichtet von erheblichen Fortschritten gegenüber GPT-5.6 Cyber und von 81 zuvor unbekannten Sicherheitslücken im Browser Firefox. Diese Ergebnisse stammen von OpenAI und sind in den vorliegenden Quellen nicht unabhängig geprüft.
Die Beschränkung des Zugangs löst das Grundproblem jedoch nicht. Ein Sicherheitsmodell muss verstehen, wie sich eine Schwachstelle ausnutzen lässt, damit es deren Bedeutung beurteilen kann. Genau dieses Wissen lässt sich auch offensiv verwenden. Ein Entwickler des Start-ups Charge Robotics fand mit GPT-5.6 Sol demnach eine Schwachstelle, über die Angreifer Server mit Ubuntu hätten übernehmen können; Hinweise auf eine tatsächliche Ausnutzung gab es zum Zeitpunkt der Meldung nicht.
Was KI bei der Verteidigung leisten kann
Besonders deutlich wird der Nutzen am Linux-Kernel, dem zentralen Bestandteil des weitverbreiteten Betriebssystems. OpenAI beschreibt einen Prototyp, der 2’308 mögliche Befunde identifiziert und analysiert, 1’724 Schwachstellen dynamisch reproduziert und 948 Exploits zur lokalen Rechteausweitung erzeugt habe. Ein Exploit ist eine Methode, mit der eine Schwachstelle praktisch ausgenutzt wird; eine lokale Rechteausweitung verschafft einem bereits vorhandenen Benutzer höhere Zugriffsrechte.
Die zweite Darstellung der Linux-Ergebnisse sagt zudem, der Prototyp habe diese 948 Lücken geschlossen und mithilfe von KI Patches entwickelt. Ein Patch ist eine Softwarekorrektur, die eine bekannte Schwachstelle beseitigen soll. Damit würde KI nicht nur Warnungen produzieren, sondern den Weg von der Entdeckung bis zum Reparaturvorschlag verkürzen.
Die beiden Berichte beschreiben die Zahl 948 allerdings unterschiedlich. Die Leitmeldung spricht von 948 potenziellen Problemen, während die detailliertere Meldung zwischen 2’308 Befunden, 1’724 reproduzierten Schwachstellen und 948 erzeugten Exploits unterscheidet. Deshalb sollte die Zahl nicht pauschal als 948 unabhängig bestätigte Sicherheitslücken verstanden werden. Auch die Qualität und sichere Einspielbarkeit der erzeugten Patches wird in den vorliegenden Quellen nicht unabhängig bewertet.
Ein konkretes Berufsbeispiel ist ein Sicherheitsteam, das eine umfangreiche Linux-Codebasis prüfen muss. Ein Agent kann verdächtige Stellen priorisieren, die Schwachstelle reproduzieren und einen Reparaturvorschlag erstellen. Fachpersonen müssen danach weiterhin entscheiden, ob der Befund relevant ist und ob der Patch keine neuen Probleme verursacht; die Meldungen liefern keinen Beleg dafür, dass diese menschliche Kontrolle entfallen kann.
Warum dieselben Fähigkeiten Angriffe erleichtern
Der Benchmark Vals CyberOffense zeigt die offensive Seite. Dabei arbeiteten KI-Agenten ohne menschliche Hilfe von einem isolierten Angriffsrechner aus gegen simulierte Unternehmensnetzwerke. GPT-6 Sol aus dem beschränkten Daybreak-Programm erreichte laut dem Bericht über den CyberOffense-Benchmark 80,8 Prozent der Ziele, während das frei verfügbare Open-Weight-Modell Deepseek V4.1 Flash 1017 auf 72,8 Prozent kam.
Open Weight bedeutet, dass die Modellgewichte, also die beim Training festgelegten internen Parameter, öffentlich verfügbar sind. Dadurch kann ein Anbieter den späteren Einsatz kaum kontrollieren. Im Benchmark kostete ein Durchlauf mit Deepseek rund 3 US-Dollar, verglichen mit rund 22 Dollar bei GPT-6 Sol. Im komplexeren Lighthouse-Test übernahm das Daybreak-Modell die Administratorkontrolle über ein erstes Unternehmen, stahl Passwörter und drang damit in ein zweites ein; es erledigte 27 von 31 Zielen in weniger als drei Stunden, Deepseek 21 Ziele zu einem Zehntel der Kosten.
Auch die Laufzeit verändert das Bild. Deepseek erzielte während der ersten 25 Millionen verarbeiteten Token keine Ergebnisse und machte den grössten Fortschritt erst nach 100 Millionen Token. Token sind kleine Texteinheiten, in die ein Modell Ein- und Ausgaben zerlegt. Kurze Sicherheitstests können die Fähigkeiten offener Modelle daher unterschätzen. Das britische AI Security Institute sah den Abstand offener Modelle zu geschlossenen Spitzenmodellen bei Cyberfähigkeiten im Juli noch bei vier bis sieben Monaten, nach sechs bis zehn Monaten während des grössten Teils von 2025.
Wie schnell solche Werkzeuge ausser Kontrolle geraten können, zeigt Artex. Das offene Werkzeug für autonome Penetrationstests untersucht Systeme automatisch auf Schwächen und wurde seit seiner Veröffentlichung im Juli mit mehreren Angriffen in Verbindung gebracht. Censys fand mehr als 800 öffentlich erreichbare Artex-Installationen, bei denen keine Anmeldung mit Passwort nötig war. Nicht jede Installation wurde böswillig betrieben, doch die offenen Systeme konnten auch Angriffswerkzeuge und Daten preisgeben; Artex wurde unter anderem mit Angriffen auf die koreanische Finanzbranche und auf den IT-Dienstleister ConnectWise verbunden.
Pro und Kontra von KI in der Cybersicherheit
Pro:
- Schnellere Suche – KI kann umfangreiche Codebestände analysieren und mögliche Schwachstellen für die weitere Prüfung priorisieren.
- Praktische Überprüfung – Agenten können laut Anbieter Befunde reproduzieren und damit zeigen, ob eine theoretische Schwäche tatsächlich ausnutzbar ist.
- Reparaturvorschläge – Der Linux-Prototyp soll neben Exploits auch Patches entwickelt und Lücken geschlossen haben.
- Realistischere Tests – Simulierte Unternehmensnetzwerke zeigen Verteidigern, welche Angriffsketten automatisierte Agenten bereits bewältigen.
Kontra:
- Doppelte Verwendbarkeit – Ein Modell, das Schwachstellen versteht, kann sie sowohl schliessen als auch für Angriffe nutzen.
- Breite Verfügbarkeit – Offene Modelle und frei herunterladbare Werkzeuge lassen sich nicht zuverlässig auf autorisierte Tests beschränken.
- Fehlkonfigurationen – Hunderte Artex-Systeme waren ohne Passwort aus dem Internet erreichbar und legten teilweise Angriffsmittel offen.
- Ungeprüfte Anbieterangaben – Die hohen Fundzahlen und die Qualität automatisch erzeugter Patches sind in den Quellen nicht unabhängig bestätigt.
Was das für deinen Umgang mit KI-Diensten heisst
Die Angriffsfläche umfasst nicht nur KI-Agenten, sondern auch die Zugänge zu grossen Sprachmodellen (Large Language Models, LLMs), die Sprache verarbeiten und erzeugen. Beim sogenannten LLMJacking nutzen Kriminelle gestohlene Zugangsdaten oder offen erreichbare Schnittstellen, um Modelle auf fremde Rechnung zu betreiben oder den Zugang weiterzuverkaufen. Google und Mandiant dokumentierten Fälle aus dem Finanzwesen, dem Detailhandel, der Technologiebranche und dem Transportsektor in Nord- und Südamerika sowie im asiatisch-pazifischen Raum.
In einzelnen untersuchten Fällen entstanden laut der Analyse zu gekaperten LLM-Zugängen an einem Tag Cloud-Gebühren von mehr als 100’000 US-Dollar. Bei manchen Organisationen stiegen die Kosten auf bis zu 1 Million Dollar, bevor die Zugänge gesperrt wurden. Besonders häufig verwendeten die Angreifer offengelegte oder gestohlene Cloud-Zugangsdaten, darunter Konten für die Identitäts- und Rechteverwaltung, Servicekonten und aktive Sitzungen.
Ein konkretes Alltagsbeispiel aus dem Berufsleben sind Programmierschlüssel in einem öffentlichen Github-Projekt. In einem dokumentierten Fall sammelten Angreifer dort offen zugängliche Schnittstellenschlüssel und prüften automatisiert, welche davon funktionierten. Sie begrenzten jede Anfrage auf ein einziges Token, um nicht durch ein auffällig hohes Anfragevolumen aufzufallen. Ein scheinbar kleiner veröffentlichter Schlüssel kann damit zu einer erheblichen Cloud-Rechnung führen.
Für Einsteiger: Der erste sinnvolle Schritt ist, zu klären, wo dein Team Zugänge zu KI- und Cloud-Diensten speichert und ob Schlüssel in öffentlich erreichbaren Projekten liegen. Zugänge sollten nicht breiter verfügbar sein, als es für die Arbeit nötig ist. Die Fälle zu LLMJacking und Artex zeigen, dass schon ein offener Schlüssel oder eine Installation ohne Passwort genügt, um aus einem Werkzeug eine Angriffsfläche zu machen.
Für Fortgeschrittene: Mehr Nutzen entsteht, wenn KI-gestützte Sicherheitstests nicht bei einer Trefferliste enden. Befunde sollten reproduziert, Reparaturen geprüft und Zugriffsrechte sowie aktive Sitzungen in die Kontrolle einbezogen werden. Der Benchmark legt ausserdem nahe, Tests lange genug laufen zu lassen, weil kurze Durchläufe die Fähigkeiten eines Agenten unterschätzen können.
Für die Schweiz ist der Abstand zwischen Anspruch und Praxis besonders relevant. Eine Cisco-Umfrage unter 200 Schweizer IT-Sicherheitsfachleuten ordnet 32 Prozent der Unternehmen der schwächsten Gruppe und weitere 40 Prozent einer reaktiven Gruppe zu. Insgesamt lagen damit 72 Prozent in den beiden schwächsten Kategorien, verglichen mit 40 Prozent in Grossbritannien, 48 Prozent in Italien und 50 Prozent in Frankreich. Zudem berichteten 94 Prozent der Schweizer Teilnehmenden von einem geschäftsschädigenden Cybervorfall im vergangenen Jahr.
Diese Schweizer Zahlen beruhen auf Selbstauskünften und auf einer vom Anbieter entwickelten Bewertung; sie sind deshalb keine vollständige Bestandsaufnahme aller Unternehmen. Trotzdem zeigen sie, dass leistungsfähigere KI-Werkzeuge allein keine proaktive Verteidigung schaffen. Wenn Fähigkeiten nur punktuell eingesetzt werden, bleiben schnelle Schwachstellensuche, sichere Zugangsverwaltung und geprüfte Reparaturen voneinander getrennt.
KI kann die Cyberabwehr beschleunigen, weil sie Schwachstellen nicht nur sucht, sondern teilweise reproduziert und Reparaturen vorbereitet. Dieselbe Automatisierung senkt jedoch Kosten und Aufwand für Angreifer, während schlecht geschützte Modellzugänge selbst zum Ziel werden. Das offene Risiko liegt weniger in einer einzelnen Modellgeneration als in der Kombination aus leistungsfähigen Agenten, frei verfügbaren Werkzeugen und Organisationen, die ihre Zugänge und Befunde weiterhin nur reaktiv verwalten.
Quellen
- OpenAI will mit GPT-6 Cyber das Aufspüren von Sicherheitslücken erleichtern – doch es gibt auch Kritik – t3n, 2026-11-06
- Dank KI: OpenAI findet 948 Lücken im Linux-Kernel – und schliesst sie auch gleich – t3n, 2026-11-06
- KI-Agenten können laut Benchmark eigenständig in Firmennetzwerke einbrechen – The Decoder, 2026-11-07
- Cyberkriminelle kapern LLM-Zugänge und treiben Cloud-Rechnungen hoch – Netzwoche, 2026-11-06
- Hundreds of Artex AI hacking tools found publicly exposed to the web – TechCrunch, 2026-11-06
- Schweizer Firmen bleiben bei der Cyberabwehr im Reaktionsmodus – Netzwoche, 2026-11-06
Bild: Sora Shimazaki via Pexels