Orion-1: Artemis Security baut KI-Modell für Verteidiger

Sicherheitsteams haben ein Problem mit Frontier-Modellen. Dieselben Fähigkeiten, die ein Modell bei der Untersuchung eines Einbruchs nützlich machen, helfen auch dabei, einen durchzuführen. Deshalb ziehen die Anbieter die Schutzmechanismen immer weiter an. Verteidiger bleiben zunehmend daran hängen.

Das US-Start-up Artemis Security setzt auf ein eigens dafür gebautes Modell. Die neue Veröffentlichung Orion-1 soll Angriffe auf Unternehmensnetzwerke selbstständig untersuchen und darauf reagieren. Im hauseigenen Benchmark des Unternehmens schlägt es Claude Opus 5.5 und GPT-6 Sol.

Was Orion-1 tatsächlich macht

Orion-1 arbeitet sich durch Protokolldaten der Systeme, die ein typisches Unternehmen betreibt:

• Authentifizierungsdienste
• Cloud-Umgebungen
• Firmenrechner und andere Endgeräte
• SaaS-Anwendungen
• Netzwerktechnik

Die Aufgabe des Modells ist es, Signale zu verknüpfen, die für sich genommen harmlos wirken. Artemis nennt dazu ein Beispiel: eine Anmeldung bei einem Firmenkonto, neue Berechtigungen in einer Cloud-Umgebung und eine frisch angelegte Posteingangsregel in einem E-Mail-Konto. Orion-1 bringt diese drei Ereignisse zusammen und ordnet sie einem einzigen Angreifer zu.

Hat das Modell rekonstruiert, was passiert ist, vergibt es einen Konfidenzwert, legt sich auf ein Urteil fest und empfiehlt dann eine Gegenmaßnahme oder leitet sie selbst ein.

Laut Artemis tun sich Allzweckmodelle mit dieser Art von Arbeit auf zweierlei Weise schwer. Sie verlieren den Faden, wenn sie mit Milliarden von Ereignissen gefüttert werden, oder sie halten ungewöhnliche, aber harmlose Aktivitäten für einen Angriff.

Wie es trainiert wurde

Artemis hat Orion-1 mit Aufgaben aus dem eigenen Sicherheitsbetrieb feinabgestimmt. Dazu gehören das Aufspüren verdächtiger Muster in Protokollen, die Suche nach bekannten Angriffstechniken, das Schreiben neuer Erkennungsregeln und das Eindämmen laufender Angriffe. Kundendaten sind nach Angaben des Unternehmens nicht ins Training eingeflossen.

Artemis bezeichnet Orion-1 als "Frontier Foundation Model". Der Blogbeitrag des Unternehmens beschreibt allerdings nur die Feinabstimmung. Ob das Modell auf einem bestehenden Modell eines anderen Anbieters aufsetzt, verrät er nicht.

Ein Benchmark, der sich um Entscheidungen dreht

Um Modelle zu vergleichen, hat Artemis einen eigenen Test entwickelt: "Decision-Grade Readiness" (DGR). Die meisten bestehenden Sicherheits-Benchmarks fragen Modelle zu Angriffstechniken ab oder lassen sie Hacking-Rätsel lösen. DGR funktioniert anders. Jedes Modell bekommt denselben Erstalarm, dieselben Umgebungsdaten und dieselben Werkzeuge, die auch einem menschlichen Sicherheitsteam zur Verfügung stünden. Dann muss es entscheiden, ob tatsächlich ein Angriff im Gange ist.

Der Benchmark umfasst Tausende Aufgaben mit bekanntem Ausgang. Manche enthalten gar keinen Angriff, andere harmlose Daten, die gezielt bösartig aussehen sollen. Bewertet werden die Modelle sowohl nach ihrem Urteil als auch nach den Belegen dafür.

Artemis veröffentlicht Ergebnisse für fünf Aufgaben. Neben Opus 5.5 und GPT-6 Sol wurden Grok 4.7 und Kimi K3 getestet. Den größten Vorsprung erzielte Orion-1 bei der Rekonstruktion von Angriffen: 80,8 Punkte gegenüber 58,3 für das zweitbeste Modell.

Es handelt sich um Zahlen, die der Hersteller selbst auf einem selbst gebauten Benchmark erhoben hat, und so sollte man sie auch lesen.

Verfügbarkeit und Kontrollen

Orion-1 steht ausgewählten Kunden auf der Artemis-Plattform in einer geschlossenen Vorschau zur Verfügung. Die Kunden legen für jede Art von Aktion Grenzen fest und bestimmen damit, wie viel das Modell ohne Menschen entscheiden darf. Standardmäßig müssen Aktionen mit großer Tragweite von einem Menschen freigegeben werden.

Artemis ist jung. Das Unternehmen trat im April aus dem Verborgenen und gab bekannt, in Seed- und Series-A-Runden 70 Millionen Dollar eingesammelt zu haben, rund sechs Monate nach der Gründung.

Warum Verteidiger an Grenzen stoßen

Die größere Geschichte ist die Reibung, mit der Sicherheitsteams bei Allzweckmodellen zu kämpfen haben.

OpenAI hält sein Modell Astra für das erste, das die höchste Cybersicherheits-Risikostufe des Unternehmens erreichen könnte. Diese Stufe gilt für ein Modell, das selbstständig Cyberangriffe entwickeln und ausführen könnte. Claude Opus 5.5 reicht die meisten Cybersicherheitsaufgaben an das ältere Opus 4.8 weiter.

Hugging Face bekam das Problem direkt zu spüren. Im Juli versuchte das Unternehmen, einen vollständig autonomen KI-Angriff auf die eigene Infrastruktur mithilfe kommerzieller Frontier-Modelle zu analysieren. Die Schutzmechanismen blockierten die Analyse der Angriffsdaten komplett. Das Team wich auf das Open-Weight-Modell GLM 5.2 aus, das auf eigenen Servern lief.

Die Anbieter reagieren mit spezialisierten, zugangsbeschränkten Modellen für Verteidiger. OpenAI stellt das weniger eingeschränkte GPT-5.5-Cyber nur verifizierten Verteidigern zur Verfügung. Anthropic geht mit seinem Cyber-Verifizierungsprogramm einen ähnlichen Weg. Sein stärkstes Modell, Claude Mythos 5, setzt das Unternehmen über den Claude-Security-Scanner und Sicherheitsprodukte von Partnern ein.

Das ist wichtig für die Einordnung der Artemis-Ergebnisse. Weder Mythos 5 noch GPT-6 Astra tauchen im Orion-1-Vergleich auf. Und weil Opus 5.5 Cyberaufgaben an Opus 4.8 weiterleitet, dürften die Werte von Opus 5.5 zu einem großen Teil die Antworten des älteren Modells widerspiegeln.

Unsere Einschätzung

Der Fall Hugging Face legt nahe, dass Schutzmechanismen, die vor allem auf Verweigerung setzen, ausgerechnet diejenigen im Stich lassen können, die sie schützen sollen. Ein Team, das einen Angriff auf die eigenen Systeme analysierte, musste auf ein selbst betriebenes Open-Weight-Modell zurückgreifen. Das deutet auf einen gespaltenen Markt hin: streng abgeschottete Frontier-Modelle auf der einen Seite, spezialisierte oder selbst betriebene Werkzeuge für Verteidiger auf der anderen.

Orion-1 passt in dieses Muster, doch die Beweislage ist bislang dünn. Der Benchmark stammt von Artemis selbst. Die stärksten zugangsbeschränkten Modelle fehlen im Vergleich. Die Herkunft des Modells ist unklar. Unabhängige Tests gegen Mythos 5 oder GPT-6 Astra würden weit mehr aussagen als die bisherigen Zahlen.

Die Designentscheidungen wirken vernünftig. Autonomiegrenzen pro Aktion und eine standardmäßige menschliche Freigabe für folgenreiche Schritte passen zu einer breiteren Bewegung in der Branche, KI für Angriff und Verteidigung zu trainieren - unter klar festgelegten Kontrollen. Spannend wird, ob die Kunden in der Vorschau Orion-1 tatsächlich handeln lassen oder es in einer beratenden Rolle halten.