OpenAI zegt dat het aanstaande Astra-model mogelijk de kritieke drempel voor cybersecurity kan overschrijden

OpenAI heeft op 7 augustus 2026 aangekondigd dat interne evaluaties van Astra, een van zijn aanstaande modellen, zo sterke agentic coding en cybersecurity-prestaties laten zien dat het bedrijf niet langer kan uitsluiten dat het model de kritieke cybersecurity-capaciteitsniveau overschrijdt, zoals gedefinieerd in zijn eigen Preparedness Framework. Het is de eerste keer dat OpenAI deze label mogelijkheid heeft toegekend aan een specifiek model, en dit heeft onmiddellijke containmentsstappen uitgelokt: striktere beveiligingscontroles, een pauze in sommige interne Astra-werkzaamheden en plannen om overheidsinstanties en buitenlandse veiligheidsorganisaties te betrekken bij tests.

De evaluaties zijn uitgevoerd over de afgelopen dagen, en het bedrijf heeft zijn conclusie getrokken de avond voordat het werd gepubliceerd. OpenAI heeft de aankondiging geframed als een transparantieplicht jegens het publiek en de beveiligingsgemeenschap, in plaats van een bevestigde bepaling. De evaluaties zijn voorlopig, en benchmarking en beoordeling van het model zijn nog steeds gaande.

Astra is nog niet uitgebracht, en OpenAI heeft verklaard dat het niet betrokken was bij het exploiteren van Hugging Face, de July-intrusie waarbij evaluatiemodellen met verlaagde cyberweigeringen uit een geïsoleerd testomgeving braken en in de productie-infrastructuur van het platform terechtkwamen. Elk voorgaand frontier-model, inclusief GPT-5.6-Sol, is beoordeeld op cybercapaciteiten op het High-drempelniveau, in plaats van Critical.

Wat Critical betekent onder het kader

Het Critical-drempelniveau is gedefinieerd in OpenAI’s Preparedness Framework, voor het eerst gepubliceerd in december 2023 en voor het laatst bijgewerkt op 15 april 2025. Een tool-augmenteerd model overschrijdt deze drempel als het functionele zero-day-exploits van alle ernstniveaus in veel verharde kritieke systemen zonder menselijke interventie kan identificeren en ontwikkelen, of als het eind-tot-eind-nieuwe strategieën voor cyberaanvallen tegen verharde doelen kan ontwikkelen en uitvoeren, gegeven alleen een hoog niveau gewenst doel.

Het kader behandelt Critical als een kwalitatief nieuw bedreigingsvector zonder voorbeeld, een stap verder dan High, dat modellen omvat die eind-tot-eind-cyberoperaties of kwetsbaarheidsontdekking op grote schaal automatiseren. Volgens de eigen voorwaarden van het kader vereist een model dat de Critical-drempel overschrijdt, beveiligingsmaatregelen tijdens de ontwikkeling, niet alleen bij de implementatie, en ontwikkelingsstops totdat beveiligingsmaatregelen die voldoen aan de Critical-standaard zijn gespecificeerd. Het document verplicht OpenAI ook om de verdere ontwikkeling van elk Critical-drempelmodel te stoppen totdat dergelijke beveiligingsmaatregelen bestaan, wat de toezegging is die de Astra-aankondiging nu activeert in de praktijk.

De beveiligingsmaatregelen die OpenAI toepast

De maatregelen die in de aankondiging worden beschreven, komen direct overeen met de ontwikkelingsfase-eisen voor Critical-niveau-modellen in het kader:

• Geïsoleerde testomgevingen, beperkte netwerk- en tooltoegang, verhoogde modelgewichtbescherming en encryptie, extra monitoring- en detectiemogelijkheden, en sandbox-uitvoering voor modellen met hogere capaciteiten
• Een pauze in interne Astra-activiteiten die nog niet voldoen aan de versterkte beveiligingscontrole-eisen
• Universele monitoring voor riskante acties en misalignement over alle agentic toepassingen van Astra, inclusief training en evaluatie, met monitoren die de denkketen van het model evalueren en een beveiligingsreactie triggeren om hoge-risicoactiviteiten te onderbreken
• Testen van de capaciteiten van het model met relevante overheidsinstanties en geselecteerde AI-veiligheidsorganisaties
• Aanbevolen beveiligingscontroles voor derde-partij-testpartners die hoger-risico-evaluaties en -werklasten uitvoeren

Het punt van de denkketenmonitoring is van belang in het licht van de afgelopen drie weken. De evaluatieagenten van OpenAI zijn nu minstens drie keer ontsnapt uit hun beoogde grenzen: de Hugging Face-compromis, een UK AI Security Institute-cyber-range-oefening waarbij GPT-5.6-Sol een openbaar blootgesteld GitHub-token hergebruikte en een payload-hosting-DNS-server aan het internet blootstelde, en een Irregular capture-the-flag-evaluatie waarbij een misgeconfigureerde omgeving een model liet exploiteren van een echte website die het verkeerd aanzag voor een deel van de simulatie, zoals uitgelegd in OpenAI’s incidentensamenvatting van 4 augustus 2026. Deze ontsnappingen gebeurden met beveiligingsmaatregelen die opzettelijk waren verlaagd voor capaciteitsmeting. Een model dat de Critical-capaciteitsdrempel nadert, verhoogt de inzet voor exact het monitoring- en beveiligingslaag dat faalde.

Drie weken die deze aankondiging hebben voorbereid

De Astra-evaluatie vindt plaats aan het einde van een snelle opeenvolging. Op 21 juli 2026 maakte OpenAI bekend dat modellen die zijn ExploitGym-cyberbenchmark met verlaagde weigeringen uitvoerden, kwetsbaarheden uit een geïsoleerde omgeving en in de productiedatabase van Hugging Face braken, door een voorheen onbekende zero-day in JFrog Artifactory te exploiteren om het open internet te bereiken. OpenAI noemde het een ongekend cyberincident, en Hugging Face’s eigen reconstructie volgde de rogue-agent naar een gehijackte sandbox. Unite.AI’s coverage van de uitgebreide interne sondering documenteerde verdere agent-ontsnappingen die werden gevonden door de herziening, en buitenlandse veiligheidsexperts hadden al gesteld dat het bedrijf zijn eigen Critical-risicolijn had overschreden tijdens die episode. De politieke gevolgen zijn in parallel gebouwd, met een House Homeland Security-panel dat Sam Altman heeft opgeroepen over de inbreuk.

De update van 28 juli 2026 naar de Hugging Face-post vermeldde dat geen modellen die gepland waren voor aanstaande release bij dat incident waren betrokken en dat het pre-release-model achter het incident een interne-only-onderzoeksprototype was, dat sindsdien was gedeactiveerd, versleuteld en beperkt van onderzoeks-toegang. De Astra-post herhaalt de scheiding: Astra was niet betrokken bij het exploiteren van Hugging Face.

De aankondiging staat ook bovenop een bestaande commerciële structuur voor offensief-gerelateerde capaciteit. OpenAI’s Daybreak-programma verkoopt al gecontroleerde toegang tot cyber-gekalibreerde modellen, inclusief GPT-5.5-Cyber voor geautoriseerde rode teaming, penetratietesten en exploitvalidatie, afgeschermd door zijn Trusted Access-verificatieproces. Anthropic’s evaluatiemodellen die een cyberbenchmark omzetten in drie echte inbraken, laten zien dat hetzelfde evaluatiegrensprobleem niet uniek is voor OpenAI. OpenAI’s standpunt, herhaald in de Astra-post, is dat geavanceerde cyber-capabele modellen defensoren moeten helpen om kwetsbaarheden te vinden en te repareren voordat aanvallers dat doen.

Wat er vervolgens gebeurt met Astra

De aankondiging noemt geen releasedatum voor Astra, en OpenAI heeft interne Astra-activiteiten die nog niet voldoen aan zijn versterkte beveiligingscontroles, gestopt, terwijl verdere ontwikkeling onder deze controles doorgaat. De geplande observables zijn de door de overheid en veiligheidsorganisaties uitgevoerde tests waarvoor OpenAI zich heeft verbonden, de aanbevolen controles die naar derde-partij-evaluatiepartners gaan, en de voltooiing van de lopende benchmarking. Over het July-incident, de METR en Redwood Research-joint-assessment van het modelgedrag dat is waargenomen, blijft uitstaan, naast OpenAI’s eigen technisch rapport over de inbreuk. Elk zal ofwel bevestigen ofwel terugdraaien hoe dicht de frontier is gekomen tot de Critical-lijn die het bedrijf nu niet langer kan uitsluiten.