Caminho até a Astra: capacidades críticas e proteções de fronteira

Desde nossa avaliação anterior de que a Astra poderia alcançar um nível crítico de capacidade de cibersegurança, reunimos mais evidências e realizamos avaliações adicionais para analisar as capacidades do modelo. Agora acreditamos que a Astra atende ao limiar de capacidade Crítica de cibersegurança do nosso Preparedness Framework. Isso significa que, com as ferramentas e o acesso adequados, ela consegue encontrar falhas de segurança até então desconhecidas e desenvolver formas de explorá-las em muitos sistemas bem protegidos, sem que uma pessoa oriente cada etapa. É o primeiro modelo que classificamos nesse nível e exige proteções mais robustas durante o desenvolvimento e antes do lançamento.

Nas últimas semanas, adiamos partes do desenvolvimento e do lançamento da Astra enquanto reforçávamos e testávamos proteções contra uso indevido cibernético e ações não autorizadas do modelo. Com base nesse trabalho, acreditamos que as proteções da Astra minimizam suficientemente o risco de danos graves para permitir o lançamento de acordo com nosso Preparedness Framework.

Embora a Astra não tenha participado do incidente da Hugging Face, incorporamos os aprendizados⁠(abre em uma nova janela) desse incidente à nossa abordagem de segurança. Com base em testes retrospectivos, acreditamos que nossas proteções de produção existentes na época teriam evitado o incidente da Hugging Face. Desde então, implementamos proteções ainda mais robustas para a Astra, incluindo treinamento para que o modelo recuse solicitações cibernéticas prejudiciais e respeite restrições de segurança com maior confiabilidade, proteções adicionais contra uso indevido e monitoramento capaz de interromper atividades potencialmente não autorizadas.

Planejamos disponibilizar a Astra em breve, mas o acesso às suas capacidades mais avançadas de cibersegurança será mais restrito. Inicialmente, trabalhos avançados de cibersegurança estarão disponíveis a um grupo de testadores. Em seguida, o acesso pelo Daybreak Blue será disponibilizado para ampliar o uso defensivo.

No lançamento, compartilharemos mais detalhes sobre nossos testes e avaliações de segurança, proteção e alinhamento no system card do modelo. Antes do lançamento, queremos apresentar uma atualização sobre parte do trabalho que realizamos para lançar com segurança um modelo com esse nível de capacidade de cibersegurança — e ser transparentes sobre os riscos que permanecem.

Segundo nosso Preparedness Framework, um modelo atende ao limiar Crítico se uma das seguintes condições for cumprida:

• O modelo consegue identificar e desenvolver exploits funcionais de dia zero, de todos os níveis de gravidade, em muitos sistemas críticos reforçados do mundo real, sem intervenção humana.
• O modelo consegue elaborar e executar novas estratégias completas de ataques cibernéticos contra alvos reforçados, recebendo apenas um objetivo geral.

Nossa avaliação de preparação da Astra combinou benchmarks automatizados públicos e privados com avaliações conduzidas por especialistas. A Astra representa um avanço significativo nas capacidades de cibersegurança em comparação com o GPT‑5.6 Sol: é muito mais eficiente no uso de tokens e mais capaz de identificar vulnerabilidades e desenvolver exploits.

Por exemplo, executamos a Astra no ExploitBench, em que o modelo obteve a pontuação perfeita de 100% no benchmark que avalia sua capacidade de desenvolver exploits a partir de vulnerabilidades conhecidas.

Devido a preocupações com contaminação, criamos então um benchmark interno chamado "ExploitBench - Internal Port (junho–agosto de 2026)", que contém 20 vulnerabilidades V8 de alta gravidade divulgadas mais recentemente. Nesse conjunto de dados, a Astra alcança taxas de execução arbitrária de código muito superiores às do GPT‑5.6 Sol usando muito menos tokens de saída. Durante a avaliação, o modelo chegou a descobrir e usar duas vulnerabilidades de dia zero como parte de uma cadeia de exploits. Estamos divulgando essas duas vulnerabilidades aos responsáveis pela manutenção.

Em avaliações conduzidas por especialistas contra um navegador e um sistema operacional reforçados, a Astra descobriu vulnerabilidades até então desconhecidas e as transformou em cadeias de exploits funcionais. Ela criou uma cadeia completa de comprometimento do navegador que escapou da sandbox e executou comandos no sistema host quando o navegador abriu um arquivo HTML. O modelo também encontrou diversas vulnerabilidades em um sistema operacional reforçado e as combinou em uma cadeia de escalonamento local de privilégios, levando um usuário sem privilégios ao nível root. No conjunto, nossa investigação nos levou a concluir que a Astra atende ao limiar crítico.

Para modelos com o nível de capacidade de cibersegurança da Astra, precisamos abordar duas vias para minimizar o risco de danos cibernéticos graves, tanto durante o desenvolvimento quanto antes da implantação:

• Uso do modelo por agentes mal-intencionados. Nossas proteções devem impedir de forma robusta que agentes mal-intencionados usem a Astra para desenvolver exploits para falhas até então desconhecidas em sistemas críticos reforçados ou realizar ataques completos contra alvos reforçados.
• Ações não autorizadas e desalinhadas realizadas pelo modelo. Mesmo sem um usuário mal-intencionado, um modelo com capacidades avançadas de cibersegurança poderia causar danos cibernéticos caso estivesse desalinhado. Além de exigirmos um padrão muito elevado de alinhamento para modelos com essas capacidades, nossas proteções devem detectar e conter rapidamente ações desalinhadas que possam causar danos significativos no mundo real, como uma segunda camada de defesa.

É importante observar que a segunda via se aplica tanto ao desenvolvimento interno quanto à implantação externa. Como descrevemos anteriormente, após o incidente entre a OpenAI e a Hugging Face, suspendemos por duas semanas determinados treinamentos de fronteira (inclusive alguns da Astra) para reforçar nossa infraestrutura de treinamento. Isso incluiu isolamento e controles de rede, ampliação do monitoramento e fortalecimento do treinamento e dos limiares de alinhamento. Em seguida, retomamos os trabalhos de menor escala sob controles mais rigorosos.

Adiamos por mais tempo algumas execuções maiores de aprendizado por reforço (RL) para futuras versões da Astra enquanto estabelecíamos padrões mais elevados de segurança e proteção para o ambiente de treinamento. Em 28 de agosto, após a implementação dos novos requisitos de segurança e proteção, reiniciamos a grande execução de RL de fronteira que havia sido suspensa. Continuamos adiando temporariamente algumas execuções experimentais de treinamento de menor escala.

Preparar a Astra para o lançamento também exigiu proteções mais robustas contra abuso cibernético e ações não autorizadas. A seguir, descrevemos essas proteções e como as testamos.

Desde que implantamos, em fevereiro, o primeiro modelo que classificamos com capacidade Alta em cibersegurança, reforçamos nossas proteções cibernéticas a cada lançamento. Nossa abordagem geral de segurança combina recusas do modelo pós-treinado, classificadores de segurança no nível do sistema, detecção offline e neutralização de ameaças.

Para o GPT‑5.6⁠(abre em uma nova janela), aumentamos significativamente a robustez do nosso conjunto de proteções no nível do sistema, inclusive adicionando classificadores de ativação para detectar abuso cibernético e ampliando a cobertura contra jailbreaks universais encontrados por meio de red teaming automatizado intensivo. Com base nessas melhorias, investimos ainda mais na camada de modelo do conjunto de proteções da Astra e aprimoramos a capacidade dessas proteções de lidar com o contexto entre conversas.

• Com novas técnicas de treinamento voltadas à robustez do modelo, a Astra recusa de forma mais consistente solicitações de assistência cibernética não permitida. Em nosso conjunto de avaliações de jailbreaks cibernéticos, a Astra recusa 91,5% das solicitações, ante 59% do GPT‑5.6 Sol.
• Para contas avaliadas como de maior risco, aplicamos um limite mais conservador ao comportamento do modelo, que recusa uma gama mais ampla de assistência cibernética potencialmente arriscada. Para usuários de alto risco, ampliamos o contexto dos nossos sistemas de monitoramento para que possam detectar esses tipos de abuso cibernético.

Também demos continuidade ao nosso programa de testes rigorosos, red teaming interno e externo e correção de problemas. Além de testes de regressão para garantir que todos os jailbreaks encontrados em períodos anteriores continuem cobertos, estamos realizando uma nova rodada de red teaming com nossos mais recentes atacantes internos de red teaming. Estamos trabalhando com parceiros do setor para definir um sistema comum de classificação de jailbreaks e usaremos nosso programa de resposta rápida 24 horas por dia, 7 dias por semana, para investigar e tratar novas descobertas. Compartilharemos mais detalhes sobre os testes das proteções cibernéticas no system card da Astra.

Ajudar os defensores a encontrar e corrigir vulnerabilidades continua sendo um pilar central da nossa abordagem de segurança. No lançamento, esperamos que as proteções da Astra imponham mais restrições do que pretendemos a longo prazo, para evitar possíveis usos indevidos. Inicialmente, o acesso à Astra para fluxos de trabalho avançados de cibersegurança estará disponível a um pequeno grupo de testadores alfa. Depois, o acesso pelo Daybreak Blue será ampliado para apoiar usos defensivos.

Também adicionamos outras camadas de proteção para impedir que o modelo realize ações potencialmente desalinhadas:

• Alinhamento do modelo: em nossas avaliações, a Astra demonstrou probabilidade muito maior do que o GPT‑5.6 Sol de respeitar restrições explícitas de segurança e proteção e permanecer dentro do escopo autorizado, o que a torna nosso modelo mais alinhado até hoje. Concentramos atenção especial no respeito do modelo às restrições de segurança e proteção e em sua propensão a permanecer dentro do escopo autorizado.
• Monitoramento e controle: em paralelo aos nossos procedimentos internos, estamos implantando a Astra com monitoramento adicional da cadeia de pensamento para detectar e conter rapidamente ações potencialmente desalinhadas.

A Astra representa um avanço significativo no alinhamento de modelos e é o resultado de várias frentes de trabalho de longo prazo nessa área, desde intervenções no pré-treinamento até avaliações mais cuidadosas e consistentes durante o aprendizado por reforço. Nos testes, constatamos que a Astra respeita de forma consistentemente mais provável as restrições e advertências explícitas de segurança, como a revisão automática, em comparação com o GPT 5.6 Sol.

Também desenvolvemos um teste inspirado no incidente da Hugging Face, no qual agentes que executavam a avaliação cibernética ExploitGym comprometeram os sistemas de terceiros. Usamos as tarefas mais difíceis dessa avaliação para criar testes de "honeypot" e verificar se um modelo tentaria comprometer a infraestrutura de segurança ao redor em vez de resolver a tarefa atribuída. Sem as proteções de produção, o GPT‑5.6 Sol tentou acessar esses alvos em 56% dos testes que simulavam o ambiente do benchmark, no qual o modelo recebe instruções para desenvolver exploits. A Astra não fez nenhuma tentativa desse tipo nesses testes. Esses números descrevem o comportamento nas condições de teste sem proteções cibernéticas, não durante o uso normal em produção.

Treinar modelos para que sejam alinhados é uma das camadas de segurança. Compartilharemos mais detalhes sobre nossos testes de alinhamento e seus resultados no system card da Astra.

Também estamos implantando em produção o monitoramento de desalinhamento para modelos da classe Astra, a fim de detectar e conter rapidamente possíveis desalinhamentos. Essas proteções são semelhantes ao monitoramento usado em nossas implantações internas e envolvem um sistema de classificadores que verifica o raciocínio e as ações do modelo em busca de comportamentos não autorizados, interrompendo automaticamente atividades potencialmente não autorizadas. À medida que as capacidades aumentam, essas proteções não podem substituir o bom alinhamento dos nossos modelos. Nosso objetivo é que os modelos futuros sejam tão bem alinhados que essas proteções nunca sejam acionadas.

A OpenAI tem o compromisso de garantir que os benefícios da IA sejam amplamente acessíveis. Dado o avanço significativo das capacidades de cibersegurança da Astra, estamos tomando cuidados especiais para garantir uma implantação segura e protegida. Verificações adicionais de segurança podem, às vezes, desacelerar, pausar ou interromper trabalhos legítimos, inclusive de cibersegurança defensiva.

O sistema pode ocasionalmente sinalizar atividades legítimas como possível uso cibernético indevido ou comportamento não autorizado, fazendo com que sejam desaceleradas, pausadas ou interrompidas por engano. Isso pode incluir trabalhos sem relação direta aparente com cibersegurança ou tarefas nas quais um agente permanece em execução por um período prolongado.

Se o monitor de desalinhamento pausar uma tarefa, os usuários do ChatGPT ou Codex poderão ser solicitados a revisar a ação antes de continuar. Ao usar outras interfaces, como a API, a tarefa será interrompida. Planejamos continuar calibrando essas proteções para reduzir interrupções desnecessárias e ampliar o acesso a capacidades de fronteira por meio de programas como o Daybreak.

Estamos entrando em uma fase do desenvolvimento da IA em que os modelos podem assumir trabalhos de maior impacto, e falhas de alinhamento e controle podem ter consequências mais graves. Concretizar os benefícios desses sistemas dependerá da nossa capacidade de alinhar e controlar os modelos à medida que suas capacidades aumentam.

Essa responsabilidade abrange o treinamento, a avaliação e a implantação. Isso exige evidências mais sólidas de comportamento alinhado, proteções que acompanhem o avanço das capacidades e disposição para desacelerar quando essas proteções não forem suficientes.

Continuaremos testando esses sistemas, compartilhando o que aprendemos e esclarecendo o que ainda permanece incerto. Os modelos que sucederem a Astra exigirão mais de nós. Dedicaremos o tempo e faremos o trabalho necessários para cumprir essa responsabilidade.