GPT-6 Cyber: OpenAI findet 81 bisher unbekannte Firefox-Lücken

Das US-amerikanische KI-Unternehmen OpenAI hat am 5. November 2026 bekannt gegeben, dass sein Modell GPT-6 Cyber 81 zuvor unbekannte Schwachstellen im Webbrowser Firefox aufgespürt hat.

Mozilla stuft diese Funde als hoch ein und hat daraufhin mit der Auslieferung entsprechender Sicherheits-Fixes begonnen. Das System lieferte zu allen 81 entdeckten Schwachstellen konkrete Nachweise, reproduzierbare Testverfahren sowie Vorschläge für Programm-Patches.

Neben den neuen Lücken bewertete das Modell separat 30 bereits dokumentierte Firefox-Probleme neu und stufte diese als schwerwiegender ein als in früheren Berichten verzeichnet; diese Gruppe ist nicht in den 81 Funden enthalten. Nach Angaben von OpenAI hat Mozilla für viele der gemeldeten Lücken bereits Korrekturen veröffentlicht.

Eine Gesamtzahl behobener Probleme nannte OpenAI dabei nicht, zudem liegt bislang keine lückenlose Zuordnung der 81 Schwachstellen zu konkreten Software-Updates vor. Hinweise auf eine aktive Ausnutzung der entdeckten Sicherheitslücken gegen Nutzer gebe es laut OpenAI nicht.

Schnelle Fehlerbehebung in gehärteter Codebasis

In einem am 5. November 2026 veröffentlichten Video von OpenAI äußerte sich Firefox-Engineer Brian Grinstead zu den Ergebnissen. Er erklärte, dass das Modell in frühen Testphasen neue Schwachstellen identifiziert und sehr effizient gearbeitet habe.

Ein Klick auf den falschen Link oder eine Sicherheitslücke im Browser reicht oft schon aus, um die Kontrolle über das eigene Gerät zu verlieren. Dieser kostenlose Report zeigt Ihnen, wie Sie Ihren PC mit Bordmitteln richtig einstellen und wirksam vor Viren schützen. Windows Defender Anleitung 2026 jetzt kostenlos herunterladen

Die mitgelieferten reproduzierbaren Tests und Patch-Vorschläge hätten dem Entwicklerteam geholfen, Sicherheitskorrekturen zügig an Millionen Nutzer zu verteilen. Grinstead betonte zudem, dass die Codebasis von Firefox im Jahr 2026 bereits stark gehärtet gewesen sei, das KI-Modell jedoch trotzdem fündig wurde.

Bereits am 27. Oktober 2026 hatte Mozilla in einem Sicherheitsbericht zu Firefox 159 insgesamt 167 behobene Schwachstellen aufgeführt. Darunter befanden sich 41 als hoch eingestufte Lücken, bei denen OpenAI als Melder verzeichnet war: 34 Meldungen stammten demnach von der Kennung OpenAI Codex Security (kylebot), sieben weitere von Amy Burnett of OpenAI. Das Modell GPT-6 Cyber wurde in diesem Bericht namentlich nicht erwähnt.

Hohe Einstufung im Sicherheits-Framework

OpenAI stellte GPT-6 Cyber am 5. November 2026 offiziell vor und ordnete die Cybersicherheits-Fähigkeiten des Modells im internen Preparedness Framework in die höchste Stufe „Critical“ ein.

Während Browser-Sicherheit ein wichtiger Baustein ist, nutzen Kriminelle zunehmend auch andere digitale Einfallstore aus. Erfahren Sie in diesem Experten-Ratgeber, wie Sie Ihre Konten bei Amazon, WhatsApp und Co. mit einer neuen Methode komplett ohne Passwörter absichern. Kostenlosen Report zur passwortlosen Anmeldung sichern

Das Vorgängermodell GPT-5.6 Cyber war zuvor mit der Stufe „High“ bewertet worden. Im Benchmark ExploitGym bewältigte GPT-6 Cyber 48,5 Prozent der gestellten Aufgaben, während der Vorgänger einen Wert von 32,1 Prozent erreichte.

In Honeypot-Tests vermied das System ohne vorgeschaltete Sicherheitsvorgaben in 99,93 Prozent der Durchläufe eigenständige Angriffe außerhalb des erteilten Auftrags (Vorgänger: 94,49 Prozent); bei gesetzten Sicherheitsvorgaben lag die Quote bei 100 Prozent.

Das Modell kommt auch in anderen Sicherheitsbereichen zum Einsatz. Bei einer zehntägigen Linux-Kernel-Kampagne, bei der Mitte Oktober 2026 insgesamt 2.308 potenzielle Schwachstellen auf dem Kernel-Master analysiert wurden, reproduzierte das System 1.724 Schwachstellen. Es erzeugte dabei 948 funktionierende lokale Exploits zur Rechteausweitung – ohne dass es sich dabei um 948 neue Fehler handelte – und übermittelte 304 kritische Funde samt Patch-Vorschlägen an die Maintainer.

Die Kampagne verursachte Kosten in Höhe von 1.213.430 US-Dollar an API-Guthaben. Zudem entdeckte das Modell im Rahmen eines Tests durch Dragos zwei Zero-Day-Lücken in Engineering-Software für Schutzrelais-Daten innerhalb einer simulierten Kraftwerksumgebung. Nach vorliegenden Berichten setzten auch Cisco und CodeRabbit das System für automatisierte Code-Reviews ein.

Der Zugang zu GPT-6 Cyber bleibt stark reglementiert: Nur geprüfte Unternehmenskunden im Rahmen des Programms Daybreak Red erhalten Zugriff über eine Programmierschnittstelle und Codex. Ein Vertrieb als Endkunden-Chatbot, Kaufoptionen, Preise oder ein Termin für eine allgemeine Verfügbarkeit wurden nicht bekannt gegeben.

Angesichts der laufenden Fehlerbehebungen raten IT-Sicherheitsexperten Anwendern dazu, Firefox über das Menü unter Hilfe und Über Firefox zeitnah zu aktualisieren, um das Risiko bestehender Patch-Lücken zu minimieren.