Der rote Hammer steht nicht im Werkzeugschrank, sondern im Modellprüfstand. Er ist nicht freundlich. Er ist auch nicht dekorativ. Er schlägt auf kleine Karten ein, auf denen niemand etwas lesen soll, weil genau dort normalerweise die Gemeinheit wohnt: in der Anweisung, die nicht vom Nutzer kommt, aber trotzdem gern am Lenkrad zieht.
OpenAI hat am 15. Juli GPT-Red vorgestellt, ein internes Modell für automatisiertes Red-Teaming. Laut OpenAI soll es Angriffe finden, bevor sie im Alltag zwischen Browsern, Dateien, verbundenen Apps und Werkzeugen herumkriechen. Besonders im Blick: Prompt-Injection, also jene kleinen fremden Befehlszettel, die einem KI-Agenten zuflüstern, er möge doch bitte die falsche Tür öffnen und dabei so tun, als sei alles Dienst nach Vorschrift.
Der Angriff kommt als Büroklammer
Das Interessante an der Sache ist nicht nur der rote Name. Es ist der Mechanismus. OpenAI beschreibt GPT-Red als Angreifer, der Ziele verfolgt, Prompts ausprobiert, Antworten beobachtet und dann nachlegt. Nicht ein Mensch mit Kaffee und Liste allein, sondern ein Automat, der viele kleine Gemeinheiten in die Prüfstraße kippt. Eine Art Sicherheitswalze mit schlechter Laune.
Die Anbieterbehauptung muss man sauber auf den Tisch legen: OpenAI sagt, GPT-Red sei in neuartigen Prompt-Injection-Szenarien deutlich erfolgreicher gewesen als menschliche Red-Teamer und habe Angriffe geliefert, mit denen GPT-5.6 robuster trainiert wurde. Für GPT-5.6 Sol nennt OpenAI sechsfach weniger Fehler auf dem härtesten eigenen direkten Prompt-Injection-Benchmark gegenüber dem besten Produktionsmodell von vier Monaten zuvor. Das ist eine Anbieterangabe, keine unabhängige Feldprüfung. Also: Schraube gezeigt, Drehmoment laut Hersteller.
Warum das trotzdem knirscht
Je mehr KI-Systeme echte Werkzeuge bekommen, desto weniger reicht das alte „Bitte ignoriere böse Anweisungen“ als Schutzlack. Ein Agent liest Webseiten, Mails, Dateien, Tool-Antworten. Jede dieser Stellen kann ein vergifteter Zettel sein. Und wenn der Agent dann nicht nur plaudert, sondern bucht, kopiert, sendet oder löscht, wird aus dem Zettel ein kleiner Hebel.
GPT-Red ist deshalb ein Signal: Die großen Anbieter trainieren nicht mehr nur Modelle, sondern auch Maschinen, die Modelle angreifen, damit spätere Modelle weniger leicht umfallen. Das ist sinnvoll. Es ist aber auch ein Wettrüsten im Miniaturformat. Rechts der rote Prüfhammer, links die nächste, schlauere Büroklammer. Dazwischen steht der Nutzer und fragt, warum sein Kalender plötzlich wie ein Schachtplan aussieht.
Die rote Prüfmaschine ersetzt keine offene Prüfung
OpenAI hält GPT-Red intern und verweist auf menschliches sowie externes Red-Teaming als weitere Schichten. Das ist nachvollziehbar, weil ein gutes Angriffswerkzeug nicht unbedingt als Bastelbogen in die Welt muss. Für die Öffentlichkeit bleibt damit aber die übliche Lücke: Wir sehen Methodik, Beispiele und Kennzahlen aus Anbieterhand, nicht den gesamten Prüfstand.
Für Betreiber, Entwickler und alle, die gerade Agenten an Postfächer, Browser und Firmendaten schrauben, ist die Lehre trotzdem brauchbar: Prompt-Injection ist kein Randwitz mehr. Sie ist der Staub in der Maschine, der irgendwann in die Lager geht. Wer Werkzeuge an Modelle hängt, braucht eigene Tests, klare Berechtigungen, Protokolle, harte Daten-Grenzen und einen Plan für den Fall, dass der freundliche Assistent plötzlich einem fremden Zettel glaubt.
Die Blechpresse notiert: Der rote Hammer ist ein Fortschritt, aber kein Heiligenschein. Er ist Werkzeug. Werkzeug kann helfen. Werkzeug kann rosten. Und irgendwo im Serverraum liegt schon die nächste Karte auf dem Förderband und tut unschuldig.