Rumo ao Astra: capacidades críticas e salvaguardas de fronteira

Desde a nossa avaliação anterior, segundo a qual o Astra poderia atingir um nível crítico de capacidade de cibersegurança, reunimos mais dados e realizámos avaliações adicionais para analisar as capacidades do modelo. Consideramos agora que o Astra cumpre o limiar de capacidade Crítica de cibersegurança previsto no nosso Preparedness Framework. Isto significa que, com as ferramentas e o acesso adequados, consegue encontrar falhas de segurança até então desconhecidas e desenvolver formas de as explorar em muitos sistemas bem protegidos, sem orientação humana em cada etapa. É o primeiro modelo que classificamos neste nível, o que exige salvaguardas mais robustas durante o desenvolvimento e antes do lançamento.

Nas últimas semanas, adiámos partes do desenvolvimento e do lançamento do Astra enquanto reforçávamos e testávamos as proteções contra a utilização cibernética indevida e as ações não autorizadas do modelo. Com base nesse trabalho, consideramos que as salvaguardas do Astra minimizam suficientemente o risco de danos graves para permitir o lançamento ao abrigo do nosso Preparedness Framework.

Embora o Astra não tenha estado envolvido no incidente da Hugging Face, integrámos na nossa abordagem à segurança os ensinamentos⁠(abre numa nova janela) retirados desse incidente. Com base em testes retrospetivos, consideramos que as salvaguardas de produção em vigor na altura teriam impedido o incidente da Hugging Face. Desde então, implementámos salvaguardas ainda mais robustas para o Astra, incluindo o treino do modelo para recusar de forma mais fiável pedidos cibernéticos nocivos e respeitar restrições de segurança, proteções adicionais contra a utilização indevida e uma monitorização capaz de interromper atividades potencialmente não autorizadas.

Planeamos disponibilizar o Astra em breve, mas o acesso às suas capacidades mais avançadas de cibersegurança será mais limitado. Inicialmente, o trabalho avançado de cibersegurança estará disponível para um grupo de testadores. Seguir-se-á o acesso através do Daybreak Blue, para alargar a utilização defensiva.

No lançamento, partilharemos mais informações sobre os nossos testes e avaliações de segurança, proteção e alinhamento no system card do modelo. Antes do lançamento, queremos apresentar uma atualização sobre parte do trabalho que temos desenvolvido para lançar em segurança um modelo com este nível de capacidades de cibersegurança e ser transparentes quanto aos riscos que subsistem.

Ao abrigo do nosso Preparedness Framework, um modelo cumpre o limiar Crítico se estiver satisfeita uma das seguintes condições:

• O modelo consegue identificar e desenvolver exploits zero-day funcionais de todos os níveis de gravidade em muitos sistemas críticos reais e reforçados, sem intervenção humana.
• O modelo consegue conceber e executar novas estratégias completas para ciberataques contra alvos reforçados, recebendo apenas um objetivo geral.

A nossa avaliação de preparação do Astra combinou benchmarks públicos e privados automatizados com avaliações realizadas por especialistas. O Astra representa um aumento significativo das capacidades de cibersegurança em comparação com o GPT‑5.6 Sol: é muito mais eficiente na utilização de tokens e mais capaz de identificar vulnerabilidades e desenvolver exploits.

A título de exemplo, executámos o Astra no ExploitBench, onde o modelo obteve a pontuação perfeita de 100% no benchmark destinado a avaliar a sua capacidade de desenvolver exploits a partir de vulnerabilidades conhecidas.

Devido a preocupações com a contaminação, criámos depois um benchmark interno denominado «ExploitBench — versão interna (junho–agosto de 2026)», que contém 20 vulnerabilidades V8 de gravidade elevada divulgadas mais recentemente. Neste conjunto de dados, o Astra alcança taxas muito mais elevadas de execução arbitrária de código do que o GPT‑5.6 Sol, utilizando muito menos tokens de saída. Durante a avaliação, o modelo chegou a descobrir e utilizar duas vulnerabilidades zero-day numa cadeia de exploits. Estamos a comunicar estas duas vulnerabilidades aos responsáveis pela manutenção.

Em avaliações conduzidas por especialistas contra um navegador e um sistema operativo reforçados, o Astra descobriu vulnerabilidades até então desconhecidas e transformou-as em cadeias de exploits funcionais. Criou uma cadeia completa de comprometimento do navegador que escapou à sandbox e executou comandos no sistema anfitrião quando o navegador abriu um ficheiro HTML. O modelo encontrou também várias vulnerabilidades num sistema operativo reforçado e combinou-as numa cadeia de elevação local de privilégios, passando de um utilizador sem privilégios para root. No seu conjunto, a nossa investigação levou-nos a concluir que o Astra cumpre o limiar crítico.

No caso de modelos com o nível de capacidades de cibersegurança do Astra, temos de abranger duas vias para minimizar o risco de danos cibernéticos graves, tanto durante o desenvolvimento como antes da implementação:

• Utilização do modelo por intervenientes mal-intencionados. As nossas salvaguardas têm de impedir eficazmente que intervenientes mal-intencionados utilizem o Astra para desenvolver exploits de falhas até então desconhecidas em sistemas críticos reforçados ou para realizar ataques completos contra alvos reforçados.
• Ações não autorizadas e desalinhadas realizadas pelo modelo. Mesmo sem um utilizador mal-intencionado, um modelo com capacidades avançadas de cibersegurança poderia causar danos cibernéticos se estivesse desalinhado. Além de exigirmos um nível muito elevado de alinhamento aos modelos com estas capacidades, as nossas salvaguardas têm de conseguir detetar e conter rapidamente ações desalinhadas que possam causar danos significativos no mundo real, como segunda linha de defesa.

Importa salientar que a segunda via se aplica tanto ao desenvolvimento interno como à implementação externa. Conforme descrevemos anteriormente, após o incidente OpenAI-Hugging Face, suspendemos durante duas semanas determinados treinos de fronteira (incluindo alguns treinos do Astra) para reforçar a nossa infraestrutura de treino, nomeadamente o isolamento e os controlos de rede, a monitorização alargada e o reforço do treino e dos limiares de alinhamento. Retomámos depois o trabalho em menor escala, sujeito a controlos mais rigorosos.

Adiámos por mais tempo determinadas execuções de aprendizagem por reforço (RL) de maior dimensão destinadas a futuras versões do Astra, enquanto definíamos requisitos mais exigentes para a segurança do respetivo ambiente de treino. A 28 de agosto, retomámos a execução de RL de fronteira em grande escala anteriormente suspensa, após a implementação dos novos requisitos de segurança. Continuamos a adiar temporariamente algumas execuções experimentais de treino de menor dimensão.

A preparação do Astra para o lançamento exigiu também proteções mais robustas contra abusos cibernéticos e ações não autorizadas. Descrevemos abaixo essas salvaguardas e a forma como as testámos.

Desde que, em fevereiro, implementámos o primeiro modelo que classificámos como tendo capacidade Elevada em cibersegurança, reforçámos as nossas salvaguardas cibernéticas a cada novo lançamento. A nossa abordagem global à segurança combina recusas do modelo pós-treinado, classificadores de segurança ao nível do sistema, deteção offline e neutralização de ameaças.

No GPT‑5.6⁠(abre numa nova janela), melhorámos significativamente a robustez do conjunto de mecanismos ao nível do sistema, incluindo classificadores de ativação para detetar abusos cibernéticos e uma melhor cobertura dos jailbreaks universais encontrados através de um intenso red teaming automatizado. Com base nestas melhorias, investimos ainda mais, no Astra, na camada de modelo do nosso conjunto de salvaguardas e melhorámos a capacidade destas para lidar com o contexto entre conversas.

• Graças a novas técnicas de treino para reforçar a robustez do modelo, o Astra recusa de forma mais consistente pedidos de assistência cibernética não permitida. No nosso conjunto de avaliações de jailbreaks cibernéticos, o Astra recusa 91,5% dos pedidos (em comparação com 59% no GPT‑5.6 Sol).
• Nas contas consideradas de maior risco, aplicamos ao comportamento do modelo um limite mais conservador, que leva à recusa de um leque mais amplo de assistência cibernética potencialmente arriscada. Para os utilizadores de alto risco, alargámos o contexto dos nossos sistemas de monitorização, para que consigam detetar estes tipos de abuso cibernético.

Prosseguimos também o nosso programa rigoroso de testes, red teaming interno e externo e correção de problemas. Além dos testes de regressão destinados a garantir que todos os jailbreaks encontrados em períodos de teste anteriores continuam abrangidos, estamos a realizar uma nova ronda de red teaming com os nossos mais recentes atacantes internos de red teaming. Estamos a colaborar com parceiros do setor para definir um sistema comum de classificação de jailbreaks e utilizaremos o nosso programa de resposta rápida permanente para investigar e resolver novas descobertas. Partilharemos mais informações sobre os testes às nossas salvaguardas cibernéticas no system card do Astra.

Ajudar os defensores a encontrar e corrigir vulnerabilidades continua a ser um pilar central da nossa abordagem à segurança. No lançamento, esperamos que as salvaguardas do Astra criem mais obstáculos do que pretendemos a longo prazo, para proteger contra uma potencial utilização indevida. Inicialmente, o acesso ao Astra para fluxos de trabalho avançados de cibersegurança estará disponível para um pequeno grupo de testadores alfa. Posteriormente, o acesso através do Daybreak Blue será alargado para apoiar utilizações defensivas.

Acrescentámos também proteções adicionais em várias camadas para impedir que o modelo realize ações potencialmente desalinhadas:

• Alinhamento do modelo: nas nossas avaliações, o Astra mostrou-se muito mais propenso do que o GPT‑5.6 Sol a respeitar restrições explícitas de segurança e a permanecer dentro do âmbito autorizado, tornando-se o nosso modelo mais alinhado até à data. Concentrámo-nos especialmente no respeito do modelo pelas restrições de segurança e na sua tendência para permanecer dentro do âmbito autorizado.
• Monitorização e controlo: em paralelo com os nossos procedimentos internos, estamos a implementar o Astra com monitorização adicional da cadeia de pensamento, para detetar e conter rapidamente ações potencialmente desalinhadas.

O Astra representa um avanço significativo no alinhamento de modelos e o culminar de várias linhas de trabalho de longo prazo nesta área, desde intervenções no pré-treinamento até uma avaliação mais cuidadosa e consistente durante a aprendizagem por reforço. Nos testes, verificámos que o Astra respeita de forma consistentemente mais provável as restrições e os avisos explícitos de segurança, como a revisão automática, em comparação com o GPT 5.6 Sol.

Desenvolvemos também um teste inspirado no incidente da Hugging Face, no qual agentes que executavam a avaliação cibernética ExploitGym comprometeram os sistemas de terceiros. Utilizámos as tarefas mais difíceis dessa avaliação para criar testes com «honeypots» e determinar se um modelo tentaria comprometer a infraestrutura de segurança circundante em vez de resolver a tarefa que lhe fora atribuída. Sem salvaguardas de produção, o GPT‑5.6 Sol tentou aceder a esses alvos em 56% dos testes que simulavam o ambiente do benchmark, no qual o modelo recebe instruções para desenvolver exploits. O Astra não realizou qualquer tentativa desse tipo nestes testes. Estes valores descrevem o comportamento nas condições de teste sem salvaguardas cibernéticas, e não durante a utilização normal em produção.

Treinar modelos para estarem alinhados é uma das camadas de segurança. Partilharemos mais informações sobre os nossos testes e resultados de alinhamento no system card do Astra.

Estamos também a implementar em produção a monitorização de desalinhamento para modelos da classe do Astra, a fim de detetar e conter rapidamente potenciais desalinhamentos. Estas salvaguardas são semelhantes à monitorização das nossas implementações internas e incluem um sistema de classificadores que verifica o raciocínio e as ações do modelo para detetar comportamentos não autorizados e interromper automaticamente atividades potencialmente não autorizadas. À medida que as capacidades aumentam, estas salvaguardas não podem substituir um bom alinhamento dos nossos modelos. O nosso objetivo é que os futuros modelos estejam suficientemente alinhados para que estas salvaguardas nunca sejam acionadas.

A OpenAI está empenhada em garantir que os benefícios da IA sejam amplamente acessíveis. Dado o aumento significativo das capacidades de cibersegurança do Astra, estamos a ter especial cuidado para garantir que esta implementação seja segura. As verificações de segurança adicionais podem, por vezes, abrandar, suspender ou interromper trabalho legítimo, incluindo no domínio da cibersegurança defensiva.

O sistema pode ocasionalmente assinalar atividades legítimas como potencial utilização cibernética indevida ou comportamento não autorizado, levando inadvertidamente a que sejam abrandadas, suspensas ou interrompidas. Isto pode incluir trabalho que não pareça diretamente relacionado com cibersegurança ou tarefas em que um agente esteja em execução durante um período prolongado.

Se o monitor de desalinhamento suspender uma tarefa, poderá ser pedido aos utilizadores do ChatGPT ou do Codex que revejam a ação antes de continuarem. Ao utilizar outras interfaces, como a API, a tarefa será interrompida. Planeamos continuar a calibrar estas salvaguardas para reduzir interrupções desnecessárias e alargar o acesso a capacidades de fronteira através de programas como o Daybreak.

Estamos a entrar numa fase do desenvolvimento da IA em que os modelos podem assumir trabalho com maiores consequências e em que falhas de alinhamento e controlo podem ter efeitos mais graves. A concretização dos benefícios destes sistemas dependerá da nossa capacidade de alinhar e controlar os modelos à medida que as suas capacidades aumentam.

Essa responsabilidade abrange o treino, a avaliação e a implementação. Exige provas mais sólidas de comportamento alinhado, salvaguardas que acompanhem o aumento das capacidades e disponibilidade para abrandar quando essas proteções não forem suficientes.

Continuaremos a testar estes sistemas, a partilhar o que aprendemos e a ser claros quanto ao que permanece incerto. Os modelos que se seguirem ao Astra exigirão mais de nós. Dedicaremos o tempo e o trabalho necessários para cumprir essa responsabilidade.