Wie wir Sicherheit, Schutz vor Angriffen und Datenschutz in dots integrieren

Dots sind dauerhaft aktive Agenten, die fortlaufend Verantwortung übernehmen. So hast du mehr Zeit und Aufmerksamkeit für die Dinge, die dir wichtig sind. Jeder dot hat seinen eigenen Computer und arbeitet über die Apps hinweg, die du verbindest. Du gibst dots Ziele vor und legst fest, was sie selbstständig tun dürfen. Sie können einzelne Schritte abarbeiten, auf Veränderungen reagieren und auch zwischen Gesprächen weiter vorankommen. Sie können etwa ein aktuelles Thema verfolgen und einen Newsletter-Entwurf vorbereiten oder helfen, ein Projekt anhand neuer Informationen zu aktualisieren. Die Ergebnisse legen sie dir zur Prüfung vor und wenden sich bei Entscheidungen, die dein Urteil erfordern, an dich.

Wenn du dots diese Verantwortung überträgst, vertraust du ihnen mehr Informationen und Aufgaben an. Du solltest verstehen, worauf jeder dot zugreifen kann, wie er diesen Zugriff nutzt und wann er dich einbeziehen muss. Diese Fragen sind wichtig, denn Fehler eines Agenten können Folgen über ein Gespräch hinaus haben: Versteht er eine Anfrage falsch, könnte er die falsche Datei ändern oder Informationen teilen, die du für dich behalten wolltest.

Wir entwickeln Schutzmaßnahmen für jeden Teil dieser Arbeit. Die Grundlage bildet GPT‑6 Astra, das wir darauf trainieren, deine Absichten zu verstehen und Sicherheitsregeln zu befolgen. Hinzu kommen Schutzmaßnahmen für die Informationen, die dots nutzen, für ihre Arbeitsumgebungen und für die Aktionen, die sie planen. Eine geschützte Cloud-Arbeitsumgebung hilft, die Folgen von Fehlern zu begrenzen. Sichere Anmeldeverfahren helfen, sensible Zugangsdaten zu schützen. Separate Aktionsprüfungen helfen, Schritte zu erkennen, die deinen Anweisungen oder den Sicherheitsanforderungen widersprechen. Du entscheidest, was du verbindest, legst Präferenzen fest und verfolgst oder steuerst die laufende Arbeit.

Dots können weiterhin Fehler machen. Wir werden diese Schutzmaßnahmen anhand der Erfahrungen aus der Praxis weiter verbessern. Hier erklären wir, wie die Schutzmaßnahmen zusammenspielen, was du kontrollierst und wo weiterhin Grenzen bestehen. So kannst du fundiert entscheiden, welche Aufgaben du dots anvertraust.

Dots basieren auf GPT‑6 Astra, unserem leistungsfähigsten und am besten auf menschliche Absichten und Werte ausgerichteten Modell. Astra versteht dein Ziel besonders gut, hält sich an den Rahmen deiner Anfrage und stellt gezielte Fragen, wenn die Antworten das weitere Vorgehen beeinflussen könnten. Diese Fähigkeiten helfen dots, Aufgaben über längere Zeit zu verfolgen, ohne deine Absicht aus den Augen zu verlieren.

Wir haben Astra darauf trainiert, schädliche Anfragen abzulehnen, darunter Anfragen zum Missbrauch biologischer Verfahren oder von Cybersicherheitswissen. Wir testen, wie dots mit geänderten Anweisungen, mehrdeutigen Anfragen und Versuchen umgehen, sie zur Überschreitung deiner erteilten Berechtigungen zu bewegen. Red Teaming durch Menschen und automatisierte Verfahren hilft uns, Schwachstellen zu finden, das Modell und die umgebenden Systeme zu verbessern und diese Änderungen erneut zu testen.

Wir ergänzen diese Schutzmaßnahmen auf Modellebene um die Sicherheitsvorkehrungen von ChatGPT und zusätzliche Maßnahmen für Agenten, die fortlaufend in deinem Auftrag arbeiten können.

Zu den integrierten Schutzmaßnahmen von ChatGPT gehört die Verschlüsselung deiner Inhalte bei der Speicherung und bei der Übertragung zwischen dir, OpenAI und unseren Dienstleistern. Hinzu kommen Zugriffskontrollen, die gespeicherte Informationen schützen helfen. Unsere Systeme zur Kontosicherheit achten außerdem auf verdächtige Aktivitäten in deinem OpenAI-Konto. Sie können eine erneute Anmeldung verlangen, wenn eine Sitzung kompromittiert erscheint.

Agenten müssen auch vor den Informationen geschützt werden, auf die sie bei ihrer Arbeit stoßen. Webseiten, E-Mails oder Dokumente können bösartige Anweisungen enthalten, die Agenten umlenken oder zur Weitergabe privater Informationen bewegen sollen. Dieses Problem wird als Prompt Injection bezeichnet. Wir kombinieren Schutzmaßnahmen auf Modellebene mit Tool-Beschränkungen, Prüfungen vor Aktionen und Überwachung. So wollen wir verhindern, dass solche Inhalte zu unerwünschten Aktionen führen.

Wir überwachen dots außerdem beim Planen und Ausführen von Aktionen auf potenziell schädliches Verhalten, etwa auf Aktionen außerhalb deiner Anweisungen oder Versuche, Schutzmaßnahmen zu umgehen. Wenn die Sicherheitsüberwachung bei der laufenden Arbeit eines dots ein mögliches Problem erkennt, kann sie die Arbeit pausieren und dir eine Warnung zur Prüfung anzeigen. Diese Überwachung ist fest integriert und hilft, Probleme im Verlauf einer Aufgabe zu erkennen. Sie ergänzt die Schutzmaßnahmen, die den Zugriff und die Handlungsmöglichkeiten von dots begrenzen.

Jeder dot hat seinen eigenen Cloud-Computer. Dort kann er im Web surfen, Informationen analysieren, Dateien erstellen und Tools ausführen. Dots können in diesen Arbeitsumgebungen weiterarbeiten, auch wenn du nicht aktiv dabei bist.

Du entscheidest, welche Konten dots nutzen dürfen. Dazu verbindest du Apps im Rahmen der Berechtigungen, die du ChatGPT erteilt hast, oder meldest dich im Browser eines dots auf einer Website an. Wo unterstützt, kannst du dafür die sichere Anmeldung nutzen. Du kannst auch deinen eigenen Computer verbinden, damit dots dir auf weitere Weise helfen können. So können sie etwa eine auf deinem Desktop gespeicherte Tabelle analysieren oder Programmierwerkzeuge nutzen, die auf deinem Gerät installiert sind.

In der geschützten Arbeitsumgebung jedes dots begrenzt Sandboxing, auf welchen Code und welche Tools der dot zugreifen kann. Das hilft, die Auswirkungen von schädlichem Code oder einem fehlerhaften Befehl einzudämmen. Außerdem isolieren wir die Cloud-Umgebungen verschiedener Personen voneinander und warten das zugrunde liegende Linux-Betriebssystem sowie den Chrome-Browser.

Dots führen Code in Umgebungen aus, die von den Systemen getrennt sind, die ihre Arbeit koordinieren und zentrale Schutzmaßnahmen durchsetzen. Dort können sie Dateien erstellen und Tools ausführen. Sie können diesen Zugriff aber nicht nutzen, um die Sicherheitssysteme zu verändern oder vorgeschriebene Prüfungen abzuschalten. Diese Trennung trägt dazu bei, dass die Schutzmaßnahmen auch dann bestehen bleiben, wenn ein dot einen Fehler macht.

Die unten beschriebenen Aktionsregeln legen fest, was dots mit ihrem Zugriff tun dürfen.

Mit der sicheren Anmeldung können dots in Konten arbeiten, ohne dass Passwörter ins Gespräch gelangen. Bei unterstützten Anmeldeverfahren wird das Modell pausiert, während du ein sicheres Anmeldeformular ausfüllst. Dieses sendet deine Zugangsdaten direkt an die Browser-Umgebung und übermittelt sie zur Anmeldung, ohne sie in den Kontext des Modells aufzunehmen. Anschließend setzt der dot die Arbeit im angemeldeten Konto fort. Da das Passwort nicht ins Gespräch gelangt, sinkt das Risiko, dass es in einer Antwort erscheint oder versehentlich weitergegeben wird.

Unterstützte Anmeldeverfahren mit gespeicherten Passwörtern wahren diese Trennung durch einen eigenen verschlüsselten Dienst für Zugangsdaten. Der Dienst stellt das Passwort für die Anmeldung bereit, ohne es an das Modell weiterzugeben. So können dots in Konten arbeiten, die du freigegeben hast, während Passwörter außerhalb des Modellkontexts bleiben. Diese Schutzmaßnahmen gelten speziell für die sichere Anmeldung und Anmeldeverfahren mit gespeicherten Passwörtern. Eine vertrauliche Angabe, die separat in einer lesbaren Nachricht oder einem Dokument steht, kann für das Modell weiterhin sichtbar sein.

Welche Apps dots nutzen dürfen, verwaltest du über deine bestehenden ChatGPT‑Verbindungen und Berechtigungen. Diese gelten gemeinsam für ChatGPT, ChatGPT Work und Codex. Im Bereich „Plugins“ der Einstellungen kannst du verbundene Konten prüfen und ändern, worauf dots künftig zugreifen dürfen. Wenn du eine App trennst, werden über diese Verbindung keine neuen Informationen mehr geteilt. Informationen, die ein dot bereits aufgenommen hat, bleiben jedoch in seinem eigenen Kontext erhalten. Diese Berechtigungen regeln den Zugriff auf deine Apps. Sie setzen keine vorgeschriebenen Sicherheitsanforderungen außer Kraft.

Wenn dots mit lokalen Dateien oder Tools arbeiten sollen, kannst du auch deinen Computer verbinden. Für diese Verbindung gelten weiterhin die Beschränkungen der lokalen Sandbox und die jeweils erforderlichen Aktionsprüfungen. Um das Mikrofon oder die Kamera deines Computers zu nutzen, sind außerdem Geräteberechtigungen erforderlich. Du entscheidest, ob du sie ChatGPT erteilst.

Mit der Aktivitätsansicht in der Desktop-App kannst du laufende Arbeiten verfolgen und steuern. Sie zeigt laufende und delegierte Aufgaben sowie ihren Status an. Du kannst Kontext ergänzen, ein Missverständnis korrigieren, die Richtung ändern oder einen dot bitten, aufzuhören.

Dots bauen mit der Zeit Kontext auf, um dich besser unterstützen zu können. Wenn sie Aufgaben delegieren, erhalten die anderen Agenten die Anweisung, die für die Aufgabe nötigen Informationen zu behalten und unnötige sensible Details nicht zu speichern. Jeder dot hat seinen eigenen Kontext, den du jederzeit zurücksetzen kannst.

Bei Workspaces von ChatGPT Business, Enterprise und Edu verwenden wir deine Daten standardmäßig nicht zum Trainieren unserer Modelle. Bei persönlichen ChatGPT‑Abos legst du über die Einstellung „Das Modell für alle verbessern“ fest, ob die Gespräche deiner dots und ihre ausgeführten Arbeiten zur Verbesserung unserer Modelle verwendet werden. Wenn das Modelltraining aktiviert ist, kann dies auch Aktionen von dots und von dir eingerichtete Automatisierungen umfassen, nachdem wir Maßnahmen zur Entfernung personenbezogener Identifikatoren ergriffen haben. Mehr darüber, wie deine Daten verwendet werden, erfährst du in diesem Artikel⁠(wird in einem neuen Fenster geöffnet) in unserem Hilfecenter.

Neben den Aufgaben, die du ihnen gibst, können dots im Hintergrund Recherchen starten, um weitere Möglichkeiten zur Unterstützung zu finden. So können sie etwa eine Änderung deiner Reisepläne bemerken. Wir nennen das proaktive Recherche.

Diese Aufgaben laufen in der Cloud-Umgebung des jeweiligen dots. Sie nutzen Tools mit reinem Lesezugriff, um Informationen aus verbundenen Quellen zu sammeln, auf die der Zugriff erlaubt ist. Anschließend speichern sie private Notizen für den jeweiligen dot. Wir setzen diese Grenzen im Code durch: Die Rechercheaufgaben können weder direkt Nachrichten an andere Personen senden noch Inhalte in verbundenen Apps ändern oder einen Browser oder Desktop steuern. Dots können anhand der Erkenntnisse entscheiden, wie sie helfen. Für jede anschließende Aktion gelten jedoch die üblichen Regeln und Prüfungen.

Wir trainieren unsere Modelle nicht direkt mit diesen Hintergrundrecherche-Verläufen oder den dabei erstellten Notizen. Ein dot kann jedoch Notizen aus seiner Hintergrundrecherche erhalten oder Teile seiner Rechercheverläufe lesen. Informationen, die auf diese Weise in ein für das Training infrage kommendes Gespräch oder eine solche Aufgabe gelangen, können je nach deinen Einstellungen für das Modelltraining verwendet werden. Eine Hintergrundrecherche könnte beispielsweise Informationen zu mehreren Zielen für eine bevorstehende Europareise sammeln. Dieser Rechercheverlauf und die zugehörigen Notizen werden nicht direkt für das Training verwendet. Wenn du deinen dot später um Hilfe bei der Planung einer Reise nach Lissabon bittest, liest er möglicherweise eine Notiz über Lissabon aus seiner Hintergrundrecherche. Diese Notiz wird Teil des Kontexts deines Gesprächs zur Reiseplanung und kann dann je nach deinen Einstellungen für das Training verwendet werden. Die übrige Hintergrundrecherche wird nicht für das Training verwendet, es sei denn, sie fließt ebenfalls in ein dafür infrage kommendes Gespräch oder eine solche Aufgabe ein.

Dots befolgen integrierte Schutzvorgaben, die Schäden verhindern und dafür sorgen sollen, dass folgenreiche Entscheidungen bei dir bleiben. Ihre Sicherheitsregeln verlangen, dass sie schädliche Anfragen ablehnen, darunter Anfragen zum Missbrauch biologischer Verfahren oder von Cybersicherheitswissen. Bei Aufgaben, die sie unterstützen dürfen, legen Aktionsregeln fest, wann sie fortfahren dürfen, wann sie um Bestätigung bitten müssen und wann sie einen Schritt an dich zurückgeben müssen.

Innerhalb dieser Grenzen können dots Informationen lesen, auf die sie zugreifen dürfen, diese analysieren und Entwürfe in deinen Gesprächen vorbereiten. Sie sind darauf trainiert, vor dem Senden einer Nachricht oder dem Teilen einer Datei eine Freigabe einzuholen, die sowohl die Informationen als auch den Empfängerkreis abdeckt. Je sensibler die Daten, desto genauer muss angegeben sein, wer sie erhalten darf. Bei Gesundheitsdaten musst du zum Beispiel immer eine Person namentlich angeben, die sie erhalten soll („share my medical history with Dr. Thompson“). Bei weniger sensiblen personenbezogenen Daten wie einer E-Mail-Adresse oder Telefonnummer musst du standardmäßig Gruppen angeben, die sie erhalten dürfen („any airline company“). Mit einer benutzerdefinierten Regel kannst du die Vorgaben für weniger sensible personenbezogene Daten weiter lockern („share with any online form“). Mehr über diese Funktion erfährst du im nächsten Abschnitt. Diese Freigabe bleibt an deine Anweisungen für die Aufgabe gebunden. Sie wird nicht erweitert, wenn die Arbeit später fortgesetzt oder delegiert wird.

Dots können Einkäufe mit Karten tätigen, die du bereits auf der Website eines Handelsunternehmens gespeichert hast. Diese Einkäufe erfordern deine Zustimmung.

Einige Aktionen erfordern jedes Mal deine Bestätigung. Dazu gehören das endgültige Löschen von Daten, das Installieren oder Ausführen von Software aus einer unbekannten Quelle und das Erteilen neuer sicherheitsrelevanter Zugriffsrechte. So kannst du Änderungen prüfen, die sich möglicherweise nur schwer rückgängig machen lassen oder jemandem neue Zugriffsrechte geben.

Bei anderen sensiblen Schritten, etwa dem Ändern eines Passworts oder dem Überweisen von Geld zwischen Finanzkonten, können dots bei der übergeordneten Aufgabe helfen. Die sensiblen Schritte selbst müssen sie jedoch an dich zurückgeben.

Mit benutzerdefinierten Regeln bestimmst du, wie dots dich innerhalb der integrierten Schutzvorgaben unterstützen. Du kannst ihnen zum Beispiel vorgeben, niemals E-Mails zu senden. Du kannst auch aufgabenspezifische Anweisungen geben. Zum Beispiel kannst du einen dot bitten, jemandem aus deinem Team deine Abwesenheit mitzuteilen, ohne den persönlichen Grund zu nennen. Diese Anweisungen gelten auch dann weiter, wenn der dot Arbeit delegiert oder im Hintergrund arbeitet.

Dots können dir beim Formulieren benutzerdefinierter Regeln helfen, brauchen aber deine Zustimmung, um sie zu ändern. Diese Präferenzen gelten innerhalb der integrierten Schutzvorgaben. Sie können vorgeschriebene Bestätigungen, Rückgaben an dich oder grundlegende Sicherheitsanforderungen nicht aufheben.

Bevor dots Aktionen wie das Senden von E-Mails oder das Ändern von Dateien ausführen, gleicht ein separates Sicherheitssystem namens Auto-review die geplanten Schritte mit deinen Anweisungen, benutzerdefinierten Regeln und den Sicherheitsanforderungen ab. Bei einer E-Mail prüft es, an wen sie geht und was darin steht. So hilft es, eine falsche Adresse oder Informationen zu erkennen, die du nicht teilen wolltest.

Wenn Auto-review einen Schritt zulässt, führt der dot, der ihn vorgeschlagen hat, ihn mit dem passenden Computer- oder App-Tool aus. Anschließend nutzt er das Ergebnis, um deine Aufgabe fortzusetzen. Dabei kann er sich auf eine bereits erteilte Zustimmung stützen, wenn sie die Aktion abdeckt und die Regeln keine erneute Bestätigung verlangen.

Wenn Auto-review einen Schritt blockiert, verhindert es die Ausführung der Aktion und teilt dem dot den Grund mit. Der dot kann dich um weitere Informationen oder deine Zustimmung bitten, wenn sich die Blockierung dadurch aufheben ließe. Anschließend kann er den Schritt erneut zur Prüfung vorlegen. Je nach Grund kann er stattdessen eine erlaubte Alternative versuchen, einen sensiblen Schritt an dich zurückgeben oder aufhören. Deine Zustimmung kann grundlegende Sicherheitsanforderungen nicht außer Kraft setzen.

Die Kontrollen, die Auto-review durchsetzen, liegen außerhalb der Umgebungen, die dots verändern können. Dadurch können dots eine vorgeschriebene Prüfung weder ändern noch abschalten. Für gewöhnliche Schritte mit reinem Lesezugriff gelten weiterhin App-Berechtigungen, Tool-Beschränkungen und andere Schutzmaßnahmen. Diese zusätzliche Prüfung ist dafür jedoch nicht nötig.

Wenn du dots fortlaufende Aufgaben anvertraust, musst du wissen, wie sie deine Anweisungen befolgen und auf Unerwartetes reagieren. Astra hilft ihnen, deine Absichten zu verstehen. Schutzmaßnahmen für ihre Daten, Arbeitsumgebungen, Zugangsdaten und Aktionen helfen zugleich, Schäden durch Fehler oder bösartige Inhalte zu begrenzen. Zusammen geben diese Schutzmaßnahmen dots den nötigen Spielraum für nützliche Arbeit. Gleichzeitig verringern sie das Risiko, dass ein Fehler zu einer unerwünschten Aktion oder Offenlegung von Informationen führt.

Du entscheidest, womit dots sich verbinden dürfen und wie sie dir helfen. Du kannst ihre Fortschritte verfolgen oder die Richtung ändern, wenn sich deine Anforderungen ändern. Durch Zustimmungen und die Rückgabe von Schritten an dich bleiben wichtige Entscheidungen in deiner Hand. Dots können weiterhin Fehler machen. Deshalb werden wir ihre Schutzmaßnahmen anhand der Erfahrungen aus der Praxis weiter testen und verbessern. Unser Ziel ist, dass du dots leichter Aufgaben überlassen und später auf nützliche Fortschritte zurückkommen kannst. Dabei sollen deine Präferenzen die Arbeit leiten und wichtige Entscheidungen weiterhin bei dir liegen.

In der Systemkarte⁠(wird in einem neuen Fenster geöffnet) findest du weitere Details zu unseren Schutzmaßnahmen, Sicherheitsbewertungen und verbleibenden Einschränkungen.

Mehr zu den Sicherheitsgrundlagen von ChatGPT erfährst du im Beitrag Sicherheit und Datenschutz bei OpenAI. Einen genaueren Einblick in eine unserer Web-Schutzmaßnahmen bietet der Beitrag So schützen wir deine Daten, wenn ein KI-Agent auf einen Link klickt.