Wer die Sicherheitsmeldungen von Mozilla aufmerksam liest, dem ist OpenAI zuletzt öfter begegnet: Unter den 167 Schwachstellen, die Firefox 159 am 27. Oktober geschlossen hat, sind 41 Einträge Meldern von OpenAI zugeschrieben, alle mit der Einstufung „hoch“. Am Donnerstag hat OpenAI nun GPT-6 Cyber vorgestellt, ein auf IT-Sicherheit spezialisiertes Sprachmodell. Damit haben die Forscher des Unternehmens nach eigenen Angaben 81 bislang unbekannte schwere Lücken in Firefox gefunden und für 948 Fehler im Linux-Kernel funktionierende Root-Exploits entwickelt. Frei verfügbar ist das Modell nicht, Zugang bekommen vorerst nur ausgewählte, geprüfte Kunden.

Was GPT-6 Cyber ist

Laut der zeitgleich veröffentlichten Systemkarte ist GPT-6 Cyber eine Variante des Anfang September erschienenen GPT-6 Astra, gedacht für autorisierte Sicherheitsarbeit wie Schwachstellensuche, Exploit-Entwicklung und Penetrationstests von Webanwendungen. OpenAI hat das Modell per Reinforcement Learning auf Aufgaben trainiert wie das Reproduzieren von Abstürzen, das Schreiben funktionierender Exploits und das Durchsuchen von Codebasen nach Lücken. Zugleich soll es legitime Sicherheitsanfragen seltener ablehnen, aber in dem Rahmen bleiben, den der Auftraggeber freigegeben hat.

In OpenAIs internem Risikoraster, dem Preparedness Framework, erhält GPT-6 Cyber bei Cybersicherheit wie schon GPT-6 Astra die höchste Stufe „Critical“. Im Test ExploitGym, bei dem ein Modell eine vorgegebene Schwachstelle in einem entfernten Ziel tatsächlich ausnutzen muss, kommt GPT-6 Cyber nach Herstellerangaben auf 48,45 Prozent, GPT-6 Astra auf 42,43 und der Vorgänger GPT-5.6 Cyber auf 32,1 Prozent. In einem Szenario mit einem nicht freigegebenen Zusatzdienst als Köder griff das neue Modell ohne zusätzliche Sicherheitsanweisungen in 0,07 Prozent der Durchläufe trotzdem an, GPT-5.6 Cyber in 5,51 Prozent. Die externe Prüffirma Irregular fand laut Systemkarte erfolgreiche Angriffe auf Zero-Day-Lücken in Browsern, Smartphones und Cloud-Datenbanken, aber keinen auf vollständig gehärtete Ziele; dort löste GPT-6 Cyber mit 90 von 288 Aufgaben sogar etwas weniger als GPT-6 Astra (96).

81 Firefox-Lücken: Was Mozillas Advisories zeigen

Für Firefox nennt OpenAI 81 zuvor unbekannte Schwachstellen mit hohem Schweregrad. Mozilla habe die Meldungen angenommen und bereits Korrekturen ausgeliefert, berichten The Register und The Decoder unter Berufung auf OpenAI. Eine eigene Stellungnahme von Mozilla zu GPT-6 Cyber haben wir nicht gefunden. Nachprüfen lässt sich ein Teil über die öffentlichen Advisories: In der Meldung MFSA 2026-118 zu Firefox 159 sind 34 CVEs „OpenAI Codex Security“ und 7 weitere einer OpenAI-Sicherheitsforscherin zugeschrieben. Alle 41 sind als „hoch“ eingestuft, 30 davon sind Use-after-free-Fehler. Bei Firefox 158 vom 13. Oktober kamen 9 weitere Einträge derselben Forscherin hinzu. Welches Modell hinter den Funden steckt, schreibt Mozilla nicht. Ob sich alle 81 Lücken in den Advisories wiederfinden oder Korrekturen noch ausstehen, bleibt offen.

Firefox ist ein bekanntes Testfeld für KI-gestützte Fehlersuche: Im April hatte Mozilla berichtet, dass Firefox 150 Korrekturen für 271 Schwachstellen enthielt, die bei einer ersten Erprobung von Anthropics Modell Claude Mythos Preview aufgefallen waren.

Symbolbild: Firefox 157 unter Linux zeigt den englischen Wikipedia-Artikel über Firefox

Bild: Symbolbild, Firefox 157 (ältere Version) – Screenshot von Exploraz, Wikimedia Commons, Lizenz CC BY-SA 4.0

948 Kernel-Lücken: neue Fehler, lokale Root-Exploits

Die Linux-Zahl bedarf der Erklärung. OpenAI beschreibt den Versuch im separaten Forschungsbeitrag „A thousand fewer paths to root“, über den etwa SecurityWeek und Help Net Security berichten. Demnach ließ das Team Mitte Oktober eine automatisierte Agenten-Pipeline auf den damals aktuellen Master-Zweig des Kernels los. Zuerst grenzten Agenten den Code ein, den unprivilegierte Nutzer erreichen können, rund 7 Prozent des Kernels. Daraus ergaben sich 2308 Verdachtsfälle, von denen sich 1724 in isolierten virtuellen Maschinen reproduzieren ließen. Am Ende standen 1169 funktionierende Exploits zur lokalen Rechteausweitung und 291 Proof-of-Concepts für Informationslecks. Nach der zugrunde liegenden Ursache gruppiert, ergeben sich 948 eigenständige Schwachstellen, für die jeweils ein eigener Patch entstand.

Es geht also nicht um das Nachbauen längst bekannter Lücken, sondern um neu gefundene Fehler. Sie sind allerdings lokal: Ein Angreifer braucht bereits Zugriff auf ein Konto mit geringen Rechten. Getestet wurden die Exploits in VMs mit einer unveränderten Desktop-Distribution und eingeschalteten Schutzmechanismen wie KASLR, SMEP und SMAP. Die API-Kosten für den Lauf beziffert OpenAI auf 1.213.430 US-Dollar, rund 1279 Dollar pro Schwachstelle. Ein Durchgang mit GPT-5.6 Sol im Juli hatte 166 Rechteausweitungen ergeben. In einer Stichprobe von 166 Exploits fand OpenAI mindestens zehn Ausnutzungstechniken, die nach eigener Darstellung selbst externen Kernel-Experten neu waren. Details hält das Unternehmen zurück.

Fehlerfrei arbeiteten die Agenten nicht: In einem frühen Durchlauf erreichten 20 von 200 gemeldeten Root-Exploits ihr Ziel über eine andere als die zugewiesene Lücke. OpenAI ergänzte eine unabhängige Prüfung und ließ alle Exploits, Patches und Einstufungen von Menschen kontrollieren, bevor sie an die Kernel-Entwickler gingen. Auf deren Rat meldet OpenAI zuerst die schwersten Fehler. Bemerkenswert: Binnen zehn Tagen nach Scan-Beginn waren laut OpenAI über 100 dieser Lücken bereits durch Patches anderer Entwickler behoben oder in Vorbereitung. Dieselben Fehler werden offenbar parallel gefunden.

Zugang nur mit Prüfung und Auflagen

GPT-6 Cyber gibt es zunächst nur per API und in Codex für ausgewählte Kunden von Daybreak Red, OpenAIs Programm für offensive Sicherheitsarbeit. In den kommenden Wochen sollen alle Daybreak-Red-Kunden Zugang erhalten. Einzelpersonen kommen laut Systemkarte nur auf Einladung hinein, nach Identitäts- und Lebenderkennungsprüfung, und brauchen einen physischen FIDO2-Schlüssel. Organisationen müssen Single Sign-on, Mehrfaktor-Authentifizierung und verwaltete Geräte nachweisen, die API ist standardmäßig nur von freigegebenen IP-Adressen nutzbar. Neue Filter sollen besonders riskante Hilfe bei Industriesteuerungen, kritischen Versorgungsdiensten und Wahlsystemen blockieren, geprüft gemeinsam mit dem ICS-Sicherheitsspezialisten Dragos. Bei schwerwiegenden Auffälligkeiten will OpenAI Anfragen anhalten oder abbrechen; bestätigt sich ein Missbrauch, können Zugänge eingeschränkt oder entzogen werden.

Einordnung: Hilfe für Verteidiger, Last für Maintainer

Mozilla sieht in solchen Werkzeugen vor allem eine Chance. Im April schrieb Mozillas Bobby Holley, Verteidiger hätten „endlich die Chance, entscheidend zu gewinnen“ (übersetzt): Die Zahl der Fehler sei endlich, und man könne sie nun tatsächlich alle finden. OpenAI selbst rechnet vor, dass die gefundenen Kernel-Exploits zu historischen Wettbewerbsprämien von 20.000 bis 70.000 Dollar das 16- bis 55-Fache der Rechenkosten wert wären. Die Rechnung ist hypothetisch, zeigt aber, wie billig die Fehlersuche wird – für beide Seiten.

Genau darin liegt das Risiko. OpenAI rät Verteidigern, ein Konto mit geringen Rechten auf einem ungepatchten System gegenüber gut ausgestatteten Angreifern faktisch wie Root-Zugriff zu behandeln. Die Zugangskontrollen schützen nur, solange vergleichbare Fähigkeiten nicht anderswo frei verfügbar sind. Für Open-Source-Projekte kommt die Menge hinzu. Das OpenSSH-Team schrieb am Donnerstag in seinen Release Notes, es erhalte derzeit sehr viele KI-gestützte Sicherheitsmeldungen, von denen viele bei realistischem Bedrohungsmodell keine Sicherheitsrelevanz hätten; willkommen seien sie vor allem mit menschlicher Prüfung und Patch-Vorschlägen. Zugleich habe man mehrfach erlebt, dass eine von KI gefundene Lücke kurz darauf unabhängig von anderen entdeckt wurde. OpenSSH-Entwickler Damien Miller spricht von schnellen Wiederentdeckungen durch KI-Agenten, mitunter binnen Stunden. Das Projekt will deshalb häufiger Releases veröffentlichen, statt Korrekturen zu sammeln.

Unabhängig überprüft sind OpenAIs Zahlen bislang nicht; die Systemkarte warnt selbst, dass Benchmarks mit älteren, öffentlich dokumentierten Lücken durch Trainingsdaten verzerrt sein können. Belastbar ist vorerst, was in den Advisories und Commits der betroffenen Projekte landet.

Was du jetzt tun solltest

  • Firefox aktualisieren: Aktuell ist Firefox 159.0.1 vom 3. November. Nutzer der Langzeitversionen bekommen die entsprechenden Korrekturen mit Firefox ESR 153.6 beziehungsweise ESR 115.44, beide vom 27. Oktober. Die Version siehst du unter „Hilfe“ › „Über Firefox“, dort startet auch das Update.
  • Kernel-Updates nicht aufschieben: Korrekturen aus solchen Kampagnen fließen laufend in den Kernel. Spiele Updates deiner Distribution zeitnah ein und starte neu, damit der neue Kernel auch läuft.
  • Lokale Konten ernst nehmen: Auf Mehrbenutzersystemen und Servern mit fremden Workloads solltest du unprivilegierte Konten nicht als harte Grenze betrachten. OpenAI empfiehlt zusätzliche Isolationsschichten, etwa mit Sandboxing-Technik wie Firecracker oder gVisor.
# Installierte Firefox-Version anzeigen (Linux)
firefox --version

# Laufenden Kernel anzeigen und mit dem installierten Paket vergleichen
uname -r

Quellen

Bildnachweis