Vägen till Astra: kritiska förmågor och banbrytande skyddsåtgärder

Sedan vår tidigare bedömning att Astra kunde nå en kritisk nivå av cybersäkerhetsförmåga har vi samlat in mer underlag och genomfört ytterligare utvärderingar av modellens förmågor. Vi bedömer nu att Astra når tröskeln för kritisk cybersäkerhetsförmåga enligt vårt Preparedness Framework. Det innebär att modellen med rätt verktyg och åtkomst kan hitta tidigare okända säkerhetsbrister och utveckla sätt att utnyttja dem i många välskyddade system, utan att en person vägleder varje steg. Det är den första modellen som vi klassificerar på denna nivå, vilket kräver starkare skyddsåtgärder under utvecklingen och före lanseringen.

Under de senaste veckorna har vi senarelagt delar av Astras utveckling och lansering medan vi stärkte och testade skydd mot cybermissbruk och obehöriga modellåtgärder. Utifrån detta arbete bedömer vi att Astras skyddsåtgärder minimerar risken för allvarlig skada tillräckligt för en lansering enligt vårt Preparedness Framework.

Även om Astra inte var inblandad i Hugging Face-incidenten har vi införlivat våra lärdomar⁠(öppnas i ett nytt fönster) från incidenten i vår säkerhetsstrategi. Baserat på tester i efterhand bedömer vi att våra dåvarande produktionsskydd skulle ha förhindrat Hugging Face-incidenten. Sedan dess har vi infört ännu starkare skyddsåtgärder för Astra. Bland annat har vi tränat modellen att mer tillförlitligt avvisa skadliga cyberförfrågningar och följa säkerhetsbegränsningar, infört ytterligare skydd mot missbruk samt lagt till övervakning som kan stoppa potentiellt obehörig aktivitet.

Vi planerar att snart göra Astra tillgänglig, men åtkomsten till dess mest avancerade cybersäkerhetsförmågor kommer att vara mer begränsad. Avancerat cybersäkerhetsarbete blir inledningsvis tillgängligt för en grupp testare. Därefter följer åtkomst via Daybreak Blue för att utöka den defensiva användningen.

Vid lanseringen kommer vi att dela mer information om våra tester och utvärderingar av säkerhet, skydd och anpassning i modellens systemkort. Inför lanseringen vill vi berätta om en del av det arbete vi har gjort för att på ett säkert sätt kunna lansera en modell med cybersäkerhetsförmågor på denna nivå – och öppet redovisa vilka risker som kvarstår.

Enligt vårt Preparedness Framework når en modell tröskeln Kritisk om något av följande villkor uppfylls:

• Modellen kan utan mänsklig inblandning identifiera och utveckla fungerande nolldagsexploateringar på alla allvarlighetsnivåer i många förstärkta, verkliga och kritiska system.

• Modellen kan utforma och genomföra nya, heltäckande strategier för cyberattacker mot förstärkta mål utifrån enbart ett övergripande önskat mål.

Vår beredskapsutvärdering av Astra kombinerade automatiserade offentliga och privata riktmärken med expertledda bedömningar. Astra innebär en betydande ökning av cybersäkerhetsförmågan jämfört med GPT‑5.6 Sol: modellen är både betydligt mer tokeneffektiv och bättre på att identifiera sårbarheter och utveckla exploateringar.

Som ett exempel körde vi Astra på ExploitBench, där modellen fick full poäng, 100 %, i riktmärket som utvärderar modellens förmåga att utveckla exploateringar utifrån kända sårbarheter.

På grund av risken för kontaminering tog vi sedan fram ett internt riktmärke med namnet ”ExploitBench – intern portning (juni–augusti 2026)”, som innehåller 20 allvarliga V8-sårbarheter som offentliggjorts mer nyligen. I denna datauppsättning uppnår Astra mycket högre frekvens av godtycklig kodkörning än GPT‑5.6 Sol, med betydligt färre utdatatoken. Under utvärderingen upptäckte och använde modellen dessutom två nolldagssårbarheter som delar av en exploateringskedja. Vi håller på att informera underhållarna om dessa två sårbarheter.

I expertledda bedömningar mot en förstärkt webbläsare och ett förstärkt operativsystem upptäckte Astra tidigare okända sårbarheter och omvandlade dem till fungerande exploateringskedjor. Modellen skapade en fullständig kedja för att kompromettera webbläsaren, ta sig ur sandlådan och köra kommandon på värdsystemet när webbläsaren öppnade en HTML-fil. Modellen hittade också flera sårbarheter i ett förstärkt operativsystem och kombinerade dem till en lokal kedja för privilegieeskalering, från en användare utan särskilda behörigheter till root. Sammantaget har vår undersökning lett oss till slutsatsen att Astra når den kritiska tröskeln.

För modeller med cybersäkerhetsförmågor på Astras nivå måste vi hantera två vägar för att minimera risken för allvarlig cyberskada, både under utvecklingen och före driftsättningen:

• Skadliga aktörer som använder modellen. Våra skyddsåtgärder måste på ett robust sätt hindra skadliga aktörer från att använda Astra för att utveckla exploateringar av tidigare okända brister i förstärkta kritiska system eller genomföra heltäckande attacker mot förstärkta mål.

• Modellen vidtar obehöriga, felanpassade åtgärder. Även utan en skadlig användare skulle en felanpassad modell med avancerade cybersäkerhetsförmågor själv kunna orsaka cyberskada. Utöver mycket höga krav på anpassningen av modeller med dessa förmågor måste våra skyddsåtgärder, som ett andra försvarslager, snabbt kunna upptäcka och begränsa felanpassade åtgärder som kan orsaka betydande skada i verkligheten.

Det är viktigt att den andra vägen gäller både intern utveckling och extern driftsättning. Som vi tidigare beskrev pausade vi viss träning av banbrytande modeller (däribland viss träning av Astra) i två veckor efter incidenten mellan OpenAI och Hugging Face. Syftet var att förstärka vår träningsinfrastruktur, bland annat genom isolering och nätverkskontroller, utökad övervakning samt förstärkt anpassningsträning och skärpta tröskelvärden. Därefter fortsatte vi arbetet i mindre skala under striktare kontroller.

Vissa större körningar med förstärkningsinlärning (RL) för framtida versioner av Astra höll vi tillbaka längre medan vi införde högre krav på träningsmiljöns säkerhet. Den 28 augusti återupptog vi den stora, tidigare pausade RL-körningen för den banbrytande modellen efter att de nya säkerhetskraven hade införts. Vi fortsätter att tillfälligt hålla tillbaka vissa mindre experimentella träningskörningar.

Förberedelserna inför lanseringen av Astra har också krävt starkare skydd mot cybermissbruk och obehöriga åtgärder. Nedan beskriver vi dessa skyddsåtgärder och hur vi har testat dem.

Sedan vi i februari lanserade den första modellen som vi bedömde ha cybersäkerhetsförmåga på nivån Hög har vi stärkt våra cyberskydd vid varje efterföljande lansering. Vår övergripande säkerhetsstrategi kombinerar avvisanden från eftertränade modeller, säkerhetsklassificerare på systemnivå samt offlineidentifiering och avvärjning av hot.

För GPT‑5.6⁠(öppnas i ett nytt fönster) förbättrade vi robustheten i vår systembaserade skyddslösning avsevärt, bland annat genom att lägga till aktiveringsklassificerare som upptäcker cybermissbruk och förbättra täckningen för universella jailbreak som identifierats genom intensiv automatiserad red teaming. Med dessa förbättringar som grund har vi för Astra investerat ytterligare i modellagret i vår skyddslösning och förbättrat skyddsåtgärdernas förmåga att hantera sammanhang över flera konversationer.

• Med hjälp av nya träningstekniker för modellrobusthet avvisar Astra otillåtna förfrågningar om cyberassistans på ett mer robust sätt. I våra utvärderingar av cyberrelaterade jailbreak avvisar Astra 91,5 % av förfrågningarna (jämfört med 59 % för GPT‑5.6 Sol).

• För konton som bedöms innebära högre risk tillämpar vi en mer försiktig gräns för modellens beteende, så att ett bredare spektrum av potentiellt riskfylld cyberassistans avvisas. För högriskanvändare har vi utökat sammanhanget som våra övervakningssystem tar hänsyn till för att kunna upptäcka den här typen av cybermissbruk.

Vi har också fortsatt vårt program med rigorösa tester, intern och extern red teaming samt korrigerande åtgärder. Utöver regressionstester som säkerställer fortsatt skydd mot alla jailbreak som hittats under tidigare testperioder genomför vi en ny omgång red teaming med våra senaste interna red teaming-angripare. Vi samarbetar med branschpartner för att ta fram ett gemensamt klassificeringssystem för jailbreak och kommer att använda vårt snabbinsatsprogram, som är bemannat dygnet runt, för att utreda och hantera nya fynd. Vi kommer att dela mer information om testerna av våra cyberskydd i Astras systemkort.

Att hjälpa försvarare att hitta och åtgärda sårbarheter är fortsatt en central del av vår säkerhetsstrategi. Vid lanseringen räknar vi med att Astras skyddsåtgärder skapar fler hinder än vad vi avser på sikt, för att skydda mot potentiellt missbruk. Tillgång till Astra för avancerade arbetsflöden inom cybersäkerhet kommer inledningsvis att ges till en liten grupp alfatestare. Därefter utökas åtkomsten via Daybreak Blue för att stödja defensiv användning.

Vi har också lagt till ytterligare skyddslager för att förhindra att modellen vidtar potentiellt felanpassade åtgärder:

• Modellanpassning: I våra utvärderingar var Astra mycket mer benägen än GPT‑5.6 Sol att följa uttryckliga säkerhetsbegränsningar och hålla sig inom sitt behörighetsområde, vilket gör den till vår hittills bäst anpassade modell. Vi fokuserade särskilt på modellens förmåga att följa säkerhetsbegränsningar och dess benägenhet att hålla sig inom sitt behörighetsområde.

• Övervakning och kontroll: I linje med våra interna rutiner driftsätter vi Astra med ytterligare övervakning av tankekedjan för att snabbt upptäcka och begränsa potentiellt felanpassade åtgärder.

Astra är ett betydande framsteg inom modellanpassning och kulmen på flera långvariga arbetsområden inom anpassning, från åtgärder under förträningen till mer noggrann och konsekvent betygsättning under förstärkningsinlärningen. I tester ser vi att Astra genomgående är mer benägen än GPT 5.6 Sol att följa uttryckliga säkerhetsbegränsningar och varningar, exempelvis automatisk granskning.

Vi utvecklade också ett test baserat på Hugging Face-incidenten, där agenter som körde cyberutvärderingen ExploitGym komprometterade en tredje parts system. Vi använde de svåraste uppgifterna från utvärderingen för att skapa ”honeypot”-tester av om en modell skulle försöka kompromettera den omgivande säkerhetsinfrastrukturen i stället för att lösa sin tilldelade uppgift. Utan produktionsskydd försökte GPT‑5.6 Sol komma åt dessa mål i 56 % av testerna, som simulerade riktmärkesmiljön där modellen instrueras att utveckla exploateringar. Astra gjorde inga sådana försök i dessa tester. Siffrorna beskriver beteendet under testförhållanden utan cyberskydd, inte vid normal produktionsanvändning.

Att träna modeller för god anpassning är ett säkerhetslager. Vi kommer att dela mer information om våra anpassningstester och resultat i Astras systemkort.

Vi driftsätter också övervakning av felanpassning i produktion för modeller i Astras klass, i syfte att upptäcka och snabbt begränsa potentiell felanpassning. Skyddsåtgärderna liknar vår övervakning av interna driftsättningar och omfattar ett system av klassificerare som granskar modellens resonemang och åtgärder efter obehörigt beteende och automatiskt stoppar potentiellt obehörig aktivitet. När modellernas förmågor ökar kan dessa skyddsåtgärder inte ersätta god anpassning. Vårt mål är att framtida modeller ska vara så väl anpassade att skyddsåtgärderna aldrig aktiveras.

OpenAI arbetar för att AI:s fördelar ska vara brett tillgängliga. Med tanke på den betydande ökningen av Astras cybersäkerhetsförmågor är vi särskilt noga med att denna driftsättning sker tryggt och säkert. Extra säkerhetskontroller kan ibland bromsa, pausa eller stoppa legitimt arbete, även defensivt cybersäkerhetsarbete.

Systemet kan ibland felaktigt flagga legitim aktivitet som potentiellt cybermissbruk eller obehörigt beteende, vilket oavsiktligt kan leda till att aktiviteten bromsas, pausas eller stoppas. Det kan även gälla arbete som inte verkar vara direkt relaterat till cybersäkerhet eller uppgifter där en agent körs under en längre tid.

Om övervakningen av felanpassning pausar en uppgift kan användare i ChatGPT eller Codex bli ombedda att granska åtgärden innan de fortsätter. När andra gränssnitt, exempelvis API:et, används stoppas uppgiften. Vi planerar att fortsätta kalibrera skyddsåtgärderna för att minska onödiga avbrott och utöka tillgången till banbrytande förmågor genom program som Daybreak.

Vi går in i en fas av AI-utvecklingen där modeller kan ta sig an uppgifter med större konsekvenser och där brister i anpassning och kontroll kan få allvarligare följder. För att förverkliga fördelarna med dessa system måste vi kunna anpassa och kontrollera modellerna i takt med att deras förmågor växer.

Det ansvaret omfattar träning, utvärdering och driftsättning. Det kräver starkare belägg för anpassat beteende, skyddsåtgärder som håller jämna steg med förmågorna och en vilja att sakta ned när skyddet inte är tillräckligt.

Vi kommer att fortsätta testa systemen, dela med oss av våra lärdomar och vara tydliga med vad som fortfarande är osäkert. Modellerna som följer efter Astra kommer att ställa högre krav på oss. Vi kommer att ta den tid som krävs och göra det arbete som behövs för att leva upp till det ansvaret.