948 Linux-Lücken in einem Lauf: Was OpenAIs GPT-6 Cyber für Ihre Server heißt

TL;DR. Am 5. November hat OpenAI GPT-6 Cyber vorgestellt, ein Modell nur für geprüfte Sicherheitsteams. OpenAI stuft es auf seiner eigenen Risikoskala für Cyberangriffe als „kritisch“ ein, die höchste Stufe. In einem einzigen Lauf Mitte Oktober hat es 1.724 Lücken im Linux-Kernel nachgestellt und für 948 davon einen funktionierenden Angriff geschrieben, der einem einfachen Benutzerkonto volle Kontrolle über den Rechner gibt. Kosten: 1.279 $ je Lücke. OpenAI zieht daraus selbst den Schluss: Ein einfaches Konto auf einem Linux-System ohne die neuesten Updates ist für gut ausgestattete Angreifer praktisch so viel wert wie Root, das Konto mit allen Rechten. Wir haben nachgezählt, wie schnell die Korrekturen ankommen. Von 23 Kernel-Korrekturen mit OpenAI-Vermerk, die die verbreitete Langzeitversion 6.12 braucht, waren am 30. Oktober fünf ausgeliefert.

Was OpenAI gemeldet hat

Es sind zwei Veröffentlichungen: der Forschungsbericht vom 4. November und die Vorstellung des Modells vom 5. November. Der Ablauf ist eine Kette von Agenten. Späher wählten 5.034 Stellen im Kernel aus, rund 2,8 Millionen Zeilen oder etwa 7 Prozent des Codes. Analyse-Agenten meldeten daraus in zwölf Stunden 2.308 mögliche Lücken. Weitere Agenten stellten jede davon in einer abgeschotteten virtuellen Maschine nach. Bei 1.724 gelang das. Zuletzt schrieben Agenten echte Angriffe, auf einem System mit den üblichen Schutzmechanismen einer Standard-Distribution. Nach dem Aussortieren doppelter Ursachen blieben 948 verschiedene Lücken, über die ein einfaches Konto zu Root wird. Erst danach prüften Menschen und meldeten die Funde.

Dazu kommt Firefox. Dort fand das Modell laut OpenAI 81 bisher unbekannte Lücken, die Mozilla als schwer einstuft. In Mozillas Sicherheitsmeldung zu Firefox 159 vom 27. Oktober stehen 108 Lücken der Stufe „hoch“. Bei 41 davon ist OpenAI als Finder genannt, das haben wir ausgezählt. Der Sprung zur Vorgängergeneration ist groß: Im Juli fand GPT-5.6 Sol mit demselben Aufbau 166 solcher Linux-Lücken. Das neue Modell fand mehr als fünfmal so viele, obwohl der Code in der Zwischenzeit weiter gehärtet wurde.

Was eine Lücke jetzt kostet

Der ganze Lauf kostete 1.213.430 $ an Rechenzeit, also 1.279 $ je Lücke mit funktionierendem Angriff. Bei Hacker-Wettbewerben wie Pwn2Own und TyphoonPWN gab es für einen solchen Linux-Angriff bisher 20.000 $ und 70.000 $ Prämie. In Googles Prämienprogramm kernelCTF, das einen besonders gehärteten Kernel verwendet, schrieb die Kette in 112 Stunden 21 solcher Angriffe für rund 32.936 $, allerdings ohne eine Schutzfunktion, die dort sonst aktiv ist. Angenommen hatte das Programm im ganzen Jahr 2026 bis dahin 26 Angriffe auf unbekannte Lücken dieser Art.

Den wichtigsten Satz schreibt OpenAI selbst: Sobald eine Lücke bekannt ist, „könnten selbst weniger leistungsfähige Modelle Exploits dafür entwickeln“. Das Modell bleibt also unter Verschluss, die Funde werden mit jeder Korrektur öffentlich.

Unser Test: Wo die Korrekturen stehen

Eine gefundene Lücke schützt niemanden, bis die Korrektur auf Ihrem Server läuft. Der Weg dorthin hat vier Stationen: der Hauptzweig von Linux, die Langzeitversionen, die Distribution, Ihr Update mit Neustart. Am 6. November haben wir die öffentliche Linux-Historie durchsucht, Stand Hauptzweig vom Abend des 5. November. Seit dem 1. Oktober erwähnen 41 Änderungen OpenAI. Bei 14 davon haben andere Entwickler Codex als Hilfsmittel angegeben. 27 stammen von OpenAIs Sicherheitsforschung. Diese 27 haben wir mit den Langzeitversionen vom 30. Oktober und mit der Warteschlange für die nächste Ausgabe abgeglichen.

• Die Korrekturen kommen tröpfchenweise. Die fünf, die es in die Langzeitversionen geschafft haben, brauchten vom Hauptzweig bis zur Ausgabe 10 bis 17 Tage. 19 der 27 Korrekturen entstanden erst ab dem 24. Oktober.
• Die Fehler sind alt. 26 der 27 Korrekturen nennen die Änderung, mit der der Fehler entstand. Die älteste stammt aus dem März 2008. Deshalb betreffen sie auch Versionen, die seit Jahren laufen.
• Die Distribution entscheidet mit. Debian 13 liefert über seinen Sicherheitskanal schon die Version 6.12.115 mit den fünf Korrekturen. Debian 12 steht dort bei 6.1.190 und hat damit noch keine der vier, die erst mit 6.1.191 kamen.
• 27 sind nicht 948. Viele Lücken sind noch nicht öffentlich, andere haben Entwickler ohne OpenAI-Vermerk behoben. Unsere Zählung sieht nur den sichtbaren Teil.

Der Haken

• Eigenangaben. Alle Zahlen zum Lauf stammen von OpenAI, ein unabhängiges Gutachten gibt es nicht. Eine öffentliche Stellungnahme der Kernel-Entwickler haben wir bis zum 6. November nicht gefunden. Und OpenAI verkauft den Zugang zu genau diesem Modell.
• Lokal heißt: Jemand ist schon drin. Alle 948 Lücken machen aus einem einfachen Konto Root. Ein Angreifer braucht also zuerst einen Fuß in der Tür, etwa über eine verwundbare Web-Anwendung, ein gestohlenes Passwort oder einen Container.
• Auch die Agenten irren. In einem frühen Lauf meldeten sie 200 erfolgreiche Angriffe. 20 davon kamen über eine andere unbekannte Lücke als die zugewiesene zu Root. Die ersten Korrekturvorschläge waren teils zu groß oder übersahen Varianten derselben Lücke.
• Der Zugang ist begrenzt, vorerst. GPT-6 Cyber bekommen nur ausgewählte Kunden aus OpenAIs Programm Daybreak Red, in der Regel nur aus freigegebenen Netzen. Dass es in einem Test ohne seine Einsatzanweisungen in 0,07 Prozent der Fälle über den Auftrag hinausging, hat OpenAI laut The Register nicht näher erklärt.

Was das für den Mittelstand heißt

Linux steckt an vielen Stellen, die niemand als Server zählt: Webshop und Website, Netzwerkspeicher, Firewall, VPN-Zugang, Kameras, Steuerungen und die Cloud. Bei Geräten liefert der Hersteller den Kernel und bestimmt, wann ein Update kommt. Wie weit die Modelle in Industrieanlagen reichen, zeigt ein Test der Sicherheitsfirma Dragos aus OpenAIs Ankündigung: In einem nachgebauten Kraftwerk fand ein Modell mit kaum einer Anweisung zwei unbekannte Lücken in der Engineering-Software, die die Daten von Schutzrelais verwaltet.

Das Finden ist billig geworden. Der Engpass liegt jetzt beim Schließen: bei den Kernel-Entwicklern, bei den Distributionen und bei jedem Betrieb, der Updates einspielen muss.

Was Sie jetzt tun sollten

1. Den Linux-Bestand aufschreiben. Jedes System mit Linux, auch Geräte wie Speicher, Firewall oder Steuerung. Dazu die Kernel-Version und wer die Updates liefert.
2. Kernel-Updates in einen festen Takt bringen, mit Neustart. Ein neuer Kernel wirkt erst nach dem Neustart oder über Live-Patching. Planen Sie Wartungsfenster wöchentlich oder alle zwei Wochen statt einmal im Quartal.
3. Jedes Konto wie Root behandeln. Unbenutzte Konten und geteilte Zugänge entfernen. Dienste getrennt betreiben, in eigenen virtuellen Maschinen oder in Containern mit zusätzlicher Abschottung wie gVisor oder Firecracker, die auch OpenAI empfiehlt.
4. Gerätehersteller fragen. Wann kommt das Update für Speicher, Firewall und Steuerung, und wie lange gibt es noch welche? Lassen Sie es sich schriftlich geben. Geräte ohne Updates gehören auf die Austauschliste.
5. Browser automatisch aktualisieren lassen. Allein Firefox 159 schloss 108 Lücken der Stufe „hoch“.
6. Eigene Software mit jeder Modellgeneration neu prüfen. OpenAIs eigene Lehre aus dem Lauf: Ein neues Modell findet mit demselben Aufbau, was das alte übersehen hat. Wer selbst Software baut, plant eine neue Prüfung je Generation ein.

Lücken zu finden kostet heute einen Bruchteil von früher. Sie zu schließen bleibt Arbeit, und ein Teil davon liegt bei Ihnen. Wenn Sie wissen wollen, wo KI Ihre IT-Sicherheit entlastet und wo sie neue Arbeit macht, sprechen wir gern darüber.