הדרך ל-Astra: יכולות ברמה קריטית ואמצעי הגנה למודלי חזית

מאז ההערכה הקודמת שלנו, שלפיה Astra עשוי להגיע לרמה קריטית של יכולות סייבר, אספנו ראיות נוספות וערכנו הערכות נוספות לבחינת יכולות המודל. כעת אנחנו סבורים ש-Astra עומד בסף יכולות הסייבר לרמה הקריטית לפי ה-Preparedness Framework שלנו. המשמעות היא שעם הכלים והגישה המתאימים, הוא יכול לאתר חולשות אבטחה שלא היו ידועות קודם לכן ולפתח דרכים לנצל אותן במערכות רבות המוגנות היטב, בלי שאדם ינחה אותו בכל שלב. זהו המודל הראשון שאנחנו מסווגים ברמה זו, והוא דורש אמצעי הגנה חזקים יותר במהלך הפיתוח ולפני ההשקה.

בשבועות האחרונים עיכבנו חלק משלבי הפיתוח וההשקה של Astra, בזמן שחיזקנו ובדקנו את ההגנות מפני שימוש לרעה בסייבר ופעולות לא מורשות של המודל. על סמך עבודה זו, אנחנו סבורים שאמצעי ההגנה של Astra מצמצמים את הסיכון לנזק חמור במידה מספקת כדי לאפשר את השקתו בהתאם ל-Preparedness Framework שלנו.

אף ש-Astra לא היה מעורב בתקרית Hugging Face, שילבנו בגישת הבטיחות שלנו את הלקחים שהפקנו⁠(נפתח בחלון חדש) ממנה. על סמך בדיקות בדיעבד, אנחנו סבורים שאמצעי ההגנה שהיו אז בסביבת הייצור שלנו היו מונעים את תקרית Hugging Face. מאז הטמענו ב-Astra אמצעי הגנה חזקים אף יותר. בין היתר, אימנו את המודל לסרב באופן אמין יותר לבקשות סייבר מזיקות ולכבד מגבלות בטיחות, הוספנו הגנות מפני שימוש לרעה והטמענו ניטור שיכול לעצור פעילות שעלולה להיות לא מורשית.

אנחנו מתכננים להפוך את Astra לזמין בקרוב, אך הגישה ליכולות הסייבר המתקדמות ביותר שלו תהיה מוגבלת יותר. עבודה מתקדמת בתחום הסייבר תהיה זמינה בתחילה לקבוצת בודקים. בהמשך תיפתח גישה דרך Daybreak Blue כדי להרחיב את השימוש לצורכי הגנה.

בעת ההשקה נשתף פרטים נוספים על הבדיקות וההערכות שערכנו בתחומי הבטיחות, האבטחה וההלימה בכרטיס המערכת של המודל. לקראת ההשקה, אנחנו רוצים לעדכן בחלק מהעבודה שעשינו כדי להיערך להשקה בטוחה של מודל בעל יכולות סייבר ברמה זו — ולשקף בשקיפות אילו סיכונים עדיין נותרו.

לפי ה-Preparedness Framework שלנו, מודל עומד בסף לרמה הקריטית אם מתקיים אחד מהתנאים הבאים:

• המודל מסוגל לזהות חולשות יום אפס בכל דרגות החומרה ולפתח דרכים מעשיות לניצולן במערכות קריטיות מוקשחות רבות בעולם האמיתי, ללא התערבות אנושית.

• המודל מסוגל לגבש ולהוציא לפועל אסטרטגיות חדשות למתקפות סייבר מקצה לקצה נגד יעדים מוקשחים, על סמך הגדרה כללית בלבד של המטרה הרצויה.

הערכת המוכנות שלנו ל-Astra שילבה מבחני ביצועים אוטומטיים ציבוריים ופרטיים עם הערכות בהובלת מומחים. Astra מציג שיפור משמעותי ביכולות הסייבר לעומת GPT‑5.6 Sol: הוא גם יעיל משמעותית יותר בשימוש בטוקנים וגם בעל יכולות גבוהות יותר בזיהוי חולשות ובפיתוח דרכים לניצולן.

לדוגמה, הרצנו את Astra במבחן ExploitBench, שנועד להעריך את יכולת המודל לפתח דרכים לניצול חולשות מוכרות, והוא השיג בו ציון מושלם של 100%.

בשל חשש לזליגת נתוני המבחן לאימון, בנינו לאחר מכן מבחן ביצועים פנימי בשם ״ExploitBench - הסבה פנימית (יוני–אוגוסט 2026)״, הכולל 20 חולשות בחומרה גבוהה ב-V8 שנחשפו לאחרונה יותר. במערך נתונים זה, Astra משיג שיעורי הצלחה גבוהים בהרבה בהרצת קוד שרירותי לעומת GPT‑5.6 Sol, תוך שימוש במספר קטן בהרבה של טוקני פלט. במהלך ההערכה המודל אף גילה שתי חולשות יום אפס והשתמש בהן כחלק משרשרת ניצול חולשות. אנחנו נמצאים בתהליך דיווח על שתי החולשות האלה לגורמים המתחזקים את התוכנה.

בהערכות בהובלת מומחים מול דפדפן ומערכת הפעלה מוקשחים, Astra גילה חולשות שלא היו ידועות קודם לכן והפך אותן לשרשראות ניצול חולשות שפועלות בפועל. הוא בנה שרשרת מלאה להשתלטות על דפדפן, שיצאה מארגז החול והריצה פקודות במחשב המארח כשהדפדפן פתח קובץ HTML. המודל גם מצא כמה חולשות במערכת הפעלה מוקשחת ושילב אותן בשרשרת להעלאת הרשאות מקומית, ממשתמש ללא הרשאות מיוחדות ל-root. מכלול הממצאים בבדיקה שלנו הוביל אותנו למסקנה ש-Astra עומד בסף לרמה הקריטית.

במודלים בעלי יכולות סייבר ברמה של Astra, עלינו לתת מענה לשני תרחישים כדי למזער את הסיכון לנזקי סייבר חמורים, הן במהלך הפיתוח והן לפני ההשקה:

• שימוש במודל בידי גורמים זדוניים. אמצעי ההגנה שלנו חייבים למנוע באופן אמין מגורמים זדוניים להשתמש ב-Astra כדי לפתח דרכים לניצול חולשות שלא היו ידועות קודם לכן במערכות קריטיות מוקשחות, או לבצע מתקפות מקצה לקצה נגד יעדים מוקשחים.

• ביצוע פעולות לא מורשות מצד המודל, שאינן בהלימה למטרות ולכללי הבטיחות. גם ללא משתמש זדוני, מודל בעל יכולות סייבר מתקדמות עלול לגרום בעצמו לנזקי סייבר אם התנהגותו אינה בהלימה למטרות ולכללי הבטיחות. לצד רף גבוה מאוד של הלימה למודלים בעלי יכולות אלה, אמצעי ההגנה שלנו חייבים לשמש שכבת הגנה שנייה, המסוגלת לזהות במהירות ולבלום פעולות שאינן בהלימה ועלולות לגרום נזק משמעותי בעולם האמיתי.

חשוב לציין שהתרחיש השני רלוונטי הן לפיתוח פנימי והן לפריסה חיצונית. כפי שתיארנו בעבר, בעקבות תקרית OpenAI-Hugging Face השהינו לשבועיים חלק מתהליכי האימון של מודלי חזית (ובהם חלק מתהליכי האימון של Astra), כדי להקשיח את תשתית האימון שלנו. בין היתר, שיפרנו את הבידוד ואת בקרות הרשת, הרחבנו את הניטור וחיזקנו את האימון להלימה ואת ספי ההלימה. לאחר מכן המשכנו בעבודה בהיקף קטן יותר, בכפוף לבקרות מחמירות יותר.

דחינו לזמן ממושך יותר כמה מהרצות למידת החיזוק (RL) הגדולות יותר לגרסאות עתידיות של Astra, עד שקבענו רפים גבוהים יותר לבטיחות ולאבטחה של סביבת האימון שלהן. ב-28 באוגוסט, לאחר שהוטמעו דרישות הבטיחות והאבטחה החדשות, חידשנו את הרצת למידת החיזוק הגדולה של מודל החזית שהושהתה קודם לכן. אנחנו ממשיכים לעכב זמנית כמה מהרצות האימון הניסיוניות הקטנות יותר.

הכנת Astra להשקה דרשה גם הגנות חזקות יותר מפני שימוש לרעה בסייבר ופעולות לא מורשות. בהמשך נתאר את אמצעי ההגנה האלה ואת האופן שבו בדקנו אותם.

מאז שהשקנו בפברואר את המודל הראשון שסיווגנו כבעל יכולת סייבר גבוהה, חיזקנו את אמצעי ההגנה שלנו בתחום הסייבר בכל השקה נוספת. גישת הבטיחות הכוללת שלנו משלבת כמה שכבות: סירוב לבקשות שנלמד באימון המשך של המודל, מסווגי בטיחות ברמת המערכת, וכן זיהוי שלא בזמן אמת ושיבוש איומים.

ב-GPT‑5.6⁠(נפתח בחלון חדש) שיפרנו משמעותית את עמידות מערך ההגנה ברמת המערכת. בין היתר, הוספנו מסווגים המבוססים על אקטיבציות לזיהוי שימוש לרעה בסייבר, והרחבנו את ההגנה מפני פרצות שהתגלו באמצעות red teaming אוטומטי אינטנסיבי. על בסיס שיפורים אלה, ב-Astra השקענו עוד בשכבת המודל של מערך ההגנה שלנו, ושיפרנו גם את יכולתם של אמצעי ההגנה להתחשב בהקשר החוצה שיחות.

• הודות לטכניקות אימון חדשות לחיזוק עמידות המודל, Astra מסרב באופן אמין יותר לבקשות לסיוע אסור בתחום הסייבר. בסדרת ההערכות שלנו לפרצות בתחום הסייבר, Astra מסרב ל-91.5% מהבקשות (לעומת 59% ב-GPT‑5.6 Sol).

• בחשבונות שהוערכו כבעלי סיכון גבוה יותר, אנחנו מחילים מגבלות מחמירות יותר על התנהגות המודל, כך שהוא מסרב למגוון רחב יותר של בקשות לסיוע בתחום הסייבר שעלול להיות מסוכן. עבור משתמשים בסיכון גבוה, הרחבנו את ההקשר שמערכות הניטור שלנו מביאות בחשבון, כדי שיוכלו לזהות סוגים אלה של שימוש לרעה בסייבר.

המשכנו גם בתוכנית הבדיקות הקפדניות שלנו, הכוללת red teaming פנימי וחיצוני ותיקון הליקויים שהתגלו. לצד בדיקות רגרסיה שנועדו לוודא שההגנות עדיין נותנות מענה לכל הפרצות שנמצאו בסבבי הבדיקות הקודמים, אנחנו עורכים סבב חדש של red teaming באמצעות תוקפי ה-red teaming הפנימיים העדכניים ביותר שלנו. אנחנו עובדים עם שותפים בתעשייה כדי להגדיר שיטת דירוג משותפת לפרצות, ונשתמש בתוכנית התגובה המהירה שלנו, הפועלת 24/7, כדי לחקור ממצאים חדשים ולטפל בהם. נשתף פרטים נוספים על בדיקות אמצעי ההגנה שלנו בתחום הסייבר בכרטיס המערכת של Astra.

סיוע לגורמי הגנה באיתור חולשות ובתיקונן נותר נדבך מרכזי בגישת הבטיחות שלנו. בעת ההשקה, אנחנו צופים שאמצעי ההגנה של Astra יכבידו על השימוש יותר מכפי שאנחנו מתכוונים בטווח הארוך, כדי להגן מפני שימוש לרעה אפשרי. הגישה ל-Astra לצורך תהליכי עבודה מתקדמים בתחום הסייבר תהיה זמינה בתחילה לקבוצה קטנה של בודקי אלפא. בהמשך תורחב הגישה דרך Daybreak Blue כדי לתמוך בשימוש לצורכי הגנה.

הוספנו גם שכבות הגנה נוספות כדי למנוע מהמודל לבצע פעולות שעלולות לחרוג מההלימה למטרות ולכללי הבטיחות:

• הלימת המודל: בהערכות שערכנו, Astra נטה הרבה יותר מ-GPT‑5.6 Sol לכבד מגבלות בטיחות ואבטחה מפורשות ולהישאר בגבולות הסמכות שהוענקה לו. בכך הוא המודל בעל רמת ההלימה הגבוהה ביותר שלנו עד כה. התמקדנו במיוחד בכיבוד מגבלות אבטחה ובטיחות מצד המודל ובנטייתו להישאר בגבולות הסמכות שהוענקה לו.

• ניטור ובקרה: בדומה לנהלים הפנימיים שלנו, אנחנו משיקים את Astra עם ניטור נוסף של שרשרת המחשבה, כדי לזהות במהירות ולבלום פעולות שעלולות לחרוג מההלימה.

Astra הוא צעד משמעותי קדימה בהלימת מודלים, ותוצר של כמה מאמצים ממושכים בתחום — מהתערבויות באימון המקדים ועד לדירוג קפדני ועקבי יותר במהלך למידת החיזוק. בבדיקות אנחנו מוצאים ש-Astra נוטה באופן עקבי יותר לכבד מגבלות בטיחות ואזהרות מפורשות (כגון בדיקה אוטומטית) בהשוואה ל-GPT 5.6 Sol.

פיתחנו גם בדיקה המבוססת על לקחי תקרית Hugging Face, שבה סוכנים שהריצו את הערכת הסייבר ExploitGym פרצו למערכות של צד שלישי. השתמשנו במשימות הקשות ביותר מאותה הערכה כדי ליצור בדיקות ״מלכודת דבש״, שנועדו לבדוק אם מודל ינסה לפרוץ לתשתית האבטחה שסביבו במקום לפתור את המשימה שהוטלה עליו. ללא אמצעי ההגנה של סביבת הייצור, GPT‑5.6 Sol ניסה לגשת ליעדים האלה ב-56% מהבדיקות שדימו את סביבת מבחן הביצועים, שבה המודל מונחה לפתח דרכים לניצול חולשות. Astra לא ביצע ניסיונות כאלה בבדיקות אלה. הנתונים האלה מתארים התנהגות בתנאי בדיקה ללא אמצעי הגנה בתחום הסייבר, ולא שימוש רגיל בסביבת הייצור.

אימון מודלים להלימה הוא שכבת בטיחות אחת. נשתף פרטים נוספים על בדיקות ההלימה שלנו ועל תוצאותיהן בכרטיס המערכת של Astra.

אנחנו מטמיעים גם ניטור של חריגות מהלימה בסביבת הייצור עבור מודלים ברמה של Astra, כדי לזהות חריגות אפשריות ולבלום אותן במהירות. אמצעי ההגנה האלה דומים לניטור שלנו בפריסות פנימיות, וכוללים מערכת מסווגים שבוחנים את ה-reasoning ואת הפעולות של המודל כדי לזהות התנהגות לא מורשית, ועוצרים אוטומטית פעילות שעלולה להיות לא מורשית. ככל שיכולות המודלים גדלות, אמצעי ההגנה האלה אינם יכולים להחליף הלימה טובה. המטרה שלנו היא שמודלים עתידיים יפגינו רמת הלימה גבוהה דיה, כך שאמצעי ההגנה האלה לעולם לא יידרשו לפעול.

OpenAI מחויבת להבטיח שהיתרונות של בינה מלאכותית יהיו נגישים לקהל רחב. לנוכח השיפור המשמעותי ביכולות הסייבר של Astra, אנחנו נוקטים זהירות מיוחדת כדי להבטיח שהפריסה תהיה בטוחה ומאובטחת. בדיקות בטיחות נוספות עלולות לפעמים להאט, להשהות או לעצור עבודה לגיטימית, לרבות עבודה בתחום הגנת הסייבר.

מדי פעם המערכת עלולה לסמן פעילות לגיטימית כחשודה בשימוש לרעה בסייבר או כהתנהגות לא מורשית, וכתוצאה מכך להאט, להשהות או לעצור אותה שלא לצורך. הדבר עשוי לכלול גם עבודה שלא נראית קשורה ישירות לסייבר, או משימות שבהן סוכן פועל לאורך זמן.

אם מנגנון הניטור של חריגות מהלימה משהה משימה, משתמשים ב-ChatGPT או ב-Codex עשויים להתבקש לבדוק את הפעולה לפני שימשיכו. בשימוש בממשקים אחרים, כגון ה-API, המשימה תיעצר. אנחנו מתכננים להמשיך לכייל את אמצעי ההגנה האלה כדי לצמצם הפרעות מיותרות, ולהרחיב את הגישה ליכולות חזית באמצעות תוכניות כגון Daybreak.

אנחנו נכנסים לשלב בפיתוח הבינה המלאכותית שבו מודלים יכולים לבצע עבודה בעלת השלכות משמעותיות יותר, ולכשלים בהלימה ובבקרה עלולות להיות השפעות חמורות יותר. מימוש היתרונות של המערכות האלה יהיה תלוי ביכולתנו להבטיח את הלימת המודלים ולשלוט בהם ככל שיכולותיהם גדלות.

האחריות הזו חלה לאורך כל שלבי האימון, ההערכה והפריסה. היא דורשת ראיות מבוססות יותר להתנהגות בהלימה, אמצעי הגנה שמתפתחים בקצב היכולות, ונכונות להאט כשההגנות האלה אינן מספיקות.

נמשיך לבדוק את המערכות האלה, לשתף את מה שאנחנו לומדים ולהבהיר היכן עדיין קיימת אי-ודאות. המודלים שיבואו אחרי Astra ידרשו מאיתנו יותר. נקדיש את הזמן ונעשה את העבודה הנדרשת כדי לעמוד באחריות הזו.