Die automatisierte Red-Teaming-Revolution: Wie OpenAIs KI mit 700.000 GPU-Stunden GPT-5.6 auf Lücken prüfte

OpenAI hat nie ein System namens „GPT-Red“ veröffentlicht. Der Name taucht in keinem offiziellen Paper, System Card, Blogbeitrag oder einer Stellenausschreibung auf .

Was es tatsächlich gibt, ist ein leistungsfähiges, zunehmend automatisiertes Red-Teaming-Framework. Es nutzt Reinforcement Learning und Selbstspiel (Self-Play), um Modelle gezielt auf Schwachstellen zu untersuchen – darunter Prompt Injection, Jailbreaks und andere Fehlermodi . Dieses Framework spielte eine zentrale Rolle bei der Sicherheitsbewertung von GPT-5.6. Vor der allgemeinen Verfügbarkeit des Modells wurden dafür über 700.000 GPU-Stunden automatisierter Adversarial-Tests aufgewendet .

Was OpenAI wirklich einsetzt: Ein RL-basiertes, automatisiertes Red-Teaming-Framework

OpenAIs Ansatz für automatisiertes Red Teaming ist im Paper „Diverse and Effective Red Teaming with Auto-generated Rewards“ (14. Juli 2026) dokumentiert . Das System zerlegt das Red-Teaming-Problem in zwei Schritte:

1. Automatische Generierung verschiedener Angriffsziele – das System erstellt eine breite Palette von adversariellen Testszenarien.
2. Effektive Angriffsgenerierung durch mehrstufiges Reinforcement Learning – ein Angreifer-Modell wird trainiert und dafür belohnt, erfolgreiche Angriffe zu produzieren, die diese Ziele erreichen .

Diese Methode nutzt Selbstspiel (Self-Play), bei dem ein LLM-basierter automatisierter Angreifer das Zielmodell auf Schwachstellen wie Prompt Injection und Jailbreaks testet . OpenAI hat betont, dass dieser RL-gestützte Ansatz hilft, Exploits proaktiv zu entdecken und zu beheben, bevor sie in der Praxis ausgenutzt werden können . Das Unternehmen bezeichnet Prompt Injection als eine „Sicherheitsherausforderung der Spitzenklasse“ und setzt automatisiertes Red Teaming aktiv ein, um neuartige Prompt-Injection-Angriffe zu entwickeln .

Der 700.000-GPU-Stunden-Black-Box-Test von GPT-5.6

Bevor GPT-5.6 allgemein verfügbar wurde, unterzog OpenAI das Modell der bisher umfangreichsten Evaluierungsphase . Der GPT-5.6 Preview System Card hält fest: „Wir haben auch über 700.000 A100e GPU-Stunden aufgewendet, um automatisch universelle Jailbreaks und andere Schwachstellen zu finden“ . Diese automatisierte Testphase ergänzte die wochenlange Arbeit menschlicher Red Teams und externer Fachexperten .

Das Unternehmen setzte dieses enorme Rechenbudget ein, um gezielt nach allgemeinen, systemischen Jailbreaks zu suchen – nicht nur nach isolierten, einmaligen Fehlern . Das automatisierte Red Teaming läuft auch nach dem Deployment kontinuierlich weiter. Neue Jailbreaks werden reproduziert, Gegenmaßnahmen entwickelt und das Modell erneut getestet .

GPT-5.6-Risikobewertungen: Hoch, aber nicht kritisch

Nach OpenAIs Preparedness Framework werden alle drei GPT-5.6-Varianten – Sol (Flaggschiff), Terra (günstiger) und Luna (am schnellsten) – sowohl im Bereich Cybersicherheit als auch bei biologischen/chemischen Risiken als „High“ eingestuft . Dies ist das erste Mal, dass selbst die kleineren, günstigeren Modelle diese hohe Schwelle in diesen Kategorien überschritten haben .

Keines der Modelle erreichte jedoch die Schwelle „Critical“. Interne Cybersicherheitstests ergaben, dass GPT-5.6 Sol und Terra zwar Schwachstellen und Teile von Exploits identifizieren, aber keine vollständigen End-to-End-Angriffe autonom durchführen konnten . Keines der Modelle erreichte die „High“-Schwelle für KI-Selbstverbesserung .

Der mehrschichtige Sicherheits-Stack

GPT-5.6 wird mit dem ausgeliefert, was OpenAI als seine „bisher robustesten Schutzmaßnahmen“ bezeichnet . Die Sicherheitsarchitektur umfasst:

• Eingebaute Modellverweigerung für risikoreiche Anfragen
• Echtzeit-Aktivierungs-Klassifikatoren, die während der Inferenz interne neuronale Signale überwachen und die Generierung anhalten können, wenn risikoreiche Muster erkannt werden
• Echtzeit-Klassifikatoren für Missbrauch in den Bereichen Cyber und Biologie
• Kontenbezogene Überprüfung und differenzierte Zugangskontrollen

Diese mehrschichtige Herangehensweise spiegelt OpenAIs Erkenntnis wider, dass keine einzelne Schutzmaßnahme ausreicht .

Die Rolle des Automated Red Teaming (ART)-Forschers

OpenAI baut seine internen Kapazitäten für automatisiertes Red Teaming aktiv aus. Das Unternehmen stellt einen „Researcher, Automated Red Teaming“ (Basisgehalt 295.000–445.000 USD) ein, dessen Aufgabe es ist, „die Automated Red Teaming Initiative zu leiten, mit Schwerpunkt auf dem Aufbau skalierbarer Systeme zur Aufdeckung von Fehlermodi in KI-Modellen und Schutzmechanismen“ . Ebenfalls gesucht wird ein „Biosafety Red Teaming Specialist“ (158.000–320.000 USD) für die Leitung von Biosicherheits- und CBRN-Red-Teaming-Aktivitäten .

Die 500.000-Dollar-Kaggle-Challenge

OpenAI veranstaltete eine Red-Teaming-Challenge auf Kaggle mit einem Preispool von 500.000 US-Dollar, die sich auf die Open-Weight-Modelle gpt-oss-120b und gpt-oss-20b konzentrierte . Der Wettbewerb sollte die Teilnehmer dazu anregen, neuartige, zuvor nicht identifizierte Schwachstellen zu entdecken .

Regulatorischer Kontext und Unsicherheiten

Die verfügbaren Belege bestätigen, dass GPT-5.6 mit einem mehrschichtigen Sicherheits-Stack ausgeliefert wird und dass OpenAIs Preparedness Framework die eigenen Modelle klassifiziert hat . Drittanbieter-Berichte erwähnen eine Beteiligung der US-Regierung im Sinne eines „Gatekeepings“, bei dem die Regierung den Zugang zu den leistungsfähigsten Modellen beeinflussen könnte . Ein direkter Hinweis auf das UK AI Safety Institute oder spezifische US-Regulierungsmaßnahmen fand sich in den gecrawlten Primärquellen jedoch nicht. OpenAIs eigener System Card dokumentiert die Sicherheitsklassifizierungen, geht aber nicht auf externe Regulierungsprüfungen ein .