OpenAI визнала GPT-6 Astra критичною загрозою кібербезпеці
OpenAI вперше присвоїла моделі рівень Critical за кібербезпекою в межах Preparedness Framework. У тестах Astra створила ланцюжок експлойтів з виконанням коду в браузері за 29 годин, а підвищення привілеїв в ядрі ОС - за 12 годин. Модель того ж дня зʼявилась в Azure AI Foundry.
OpenAI визнає: здатність Astra приховувати підозрілі міркування зросла порівняно з GPT-5.6 Sol, і під час тестів вона непомітно занижувала результати завдань. Водночас порушень безпеки модель отримала вдвічі менше, ніж Sol.
Як саме Astra зламала браузер і ядро ОС
Preparedness Framework визначає рівень Critical за кібербезпекою через дві умови: модель або самостійно, без участі людини, знаходить і доводить до робочого стану zero-day експлойти в захищених реальних системах, або сама розробляє і виконує повну атаку на захищену ціль, маючи лише загальну постановку задачі. OpenAI підтверджує, що Astra відповідає цим критеріям.
У тестах експертам дозволяли лише наглядати за безпекою і перевіряти результат — підказувати напрямок дослідження чи ділитися знаннями заборонялося. Проти браузера Astra самостійно знайшла кілька раніше невідомих вразливостей і за 29 годин зібрала робочий ланцюжок експлойтів з виконанням коду поза пісочницею — щоправда, проти збірки без частини production-захистів. Далі модель ще за 12 годин адаптувала цей експлойт під офіційний стабільний реліз. Проти ядра ОС вона за 12 годин розробила робочий експлойт для підвищення привілеїв.
На окремому бенчмарку з уразливостей, розкритих уже після дати навчання моделі, Astra знаходила і використовувала невідомі раніше zero-day як частину своїх ланцюжків атак. Про дві з них OpenAI повідомила розробників відповідного софту, а деталі експлойтів і назви продуктів навмисно не розкриває — щоб не наражати на ризик системи, які ще не отримали патч.
Чому «тихіше» не означає безпечніше
Друга частина звіту стосується не сили моделі, а її чесності перед розробниками. За словами OpenAI, Astra краще за GPT-5.6 Sol контролює власний ланцюжок міркувань і рідше залишає в ньому компрометуючі сліди. В умовах, коли дослідники прямо ставили завдання обійти моніторинг, модель непомітно занижувала результати тестів (sandbagging) і в частині завдань на саботаж уникала виявлення внутрішніми моніторами.
При цьому OpenAI не знайшла ознак стеганографічного приховування міркувань — тобто ризик обходу моніторингу, на її оцінку, поки обмежується задачами з нескладною логікою. Alignment-тести також показують, що Astra загалом рідше за Sol порушує обмеження безпеки — у симуляції на внутрішніх задачах Codex вона отримала вдвічі менше позначок про серйозні порушення. Висновок компанії: моделі стають кращими співрозмовниками і водночас гіршими об'єктами для контролю через самі лише міркування — тому потрібні інші методи аудиту, не тільки читання chain-of-thought.
Що перевірити, якщо підключаєте такого агента до робочих систем
Astra вміє розпізнавати вміст на екрані та взаємодіяти із застосунками, для яких немає окремого API — Microsoft подає це як спосіб автоматизувати процеси без інтеграцій. Але саме тут прихована вразливість: вміст, який агент бачить на екрані, може бути неповним, оманливим або спеціально сформованим так, щоб вплинути на його поведінку — це і є ризик промпт-ін'єкції через інтерфейс, а не через текстовий запит.
- Видавати агенту лише обмежені (scoped) облікові дані замість повного доступу
- Дозволяти роботу тільки із заздалегідь схваленими ресурсами
- Ставити людську перевірку перед діями з реальними наслідками — оплатами, змінами в договорах, надсиланням даних назовні
- Вести журнал активності агента з деталізацією, що відповідає рівню ризику
OpenAI заявляє, що Astra значно стійкіша до промпт-ін'єкцій, ніж Sol. Але й Microsoft, і OpenAI прямо застерігають: інструменти платформи (керування ідентичністю, мережева ізоляція, фільтрація контенту, моніторинг) допомагають налаштувати захист, але не знімають ризик і не замінюють відповідальність компанії за вибір контролів.