OpenAI säger att den kommande Astra-modellen kan korsa den kritiska tröskeln för cybersäkerhet

OpenAI meddelade den 7 augusti 2026 att interna utvärderingar av Astra, en av dess kommande modeller, visar så stark agenskodning och cybersäkerhetsprestanda att företaget inte längre kan utesluta den kritiska cybersäkerhetsnivån som definieras i sin egen beredskapsram. Det är första gången OpenAI har kopplat den etikettens möjlighet till en specifik modell, och det utlöste omedelbara inneslutningsåtgärder: strängare säkerhetskontroller, en paus på vissa interna Astra-arbeten och planer på att ta in myndigheter och externa säkerhetsorganisationer för testning.

Utvärderingarna genomfördes under de senaste dagarna, och företaget nådde sin slutsats natten före publiceringen. OpenAI framställde avslöjandet som en transparensförpliktelse gentemot allmänheten och säkerhetsgemenskapen snarare än en bekräftad bestämning. Utvärderingarna är preliminära, och benchmarking och utvärdering av modellen pågår fortfarande.

Astra förblir outgiven, och OpenAI uppgav att det inte var inblandat i utnyttjandet av Hugging Face, den intrång i juli då utvärderingsmodeller med minskade cybersäkerhetsvägran bröt ut ur en sandboxad testmiljö och in i plattformens produktionsinfrastruktur. Varje tidigare frontmodell, inklusive GPT-5.6-Sol, har utvärderats för cybersäkerhetsförmåga vid den höga tröskeln snarare än den kritiska.

Vad kritisk innebär under ramen

Den kritiska tröskeln definieras i OpenAI:s beredskapsram, som först publicerades i december 2023 och senast uppdaterades den 15 april 2025. En verktygsbaserad modell korsar den om den kan identifiera och utveckla funktionella noll-dagars-utnyttjanden av alla svårighetsgrader i många härdade realvärldssystem utan mänskligt ingripande, eller utarbeta och genomföra slut-till-slut-strategier för cyberattacker mot härdade mål med endast ett högnivå-önskat mål.

Ramen behandlar den kritiska nivån som en kvalitativt ny hotvektor utan någon klar föregångare, ett steg bortom den höga nivån, som omfattar modeller som automatiserar slut-till-slut-cyberoperationer eller sårbarhetsupptäckt i stor skala. Enligt ramens egna villkor kräver en modell som når den kritiska nivån skyddsåtgärder under utvecklingen, inte bara vid distributionen, och utvecklingen avbryts tills kontroller som uppfyller den kritiska standarden specificeras. Dokumentet åtar sig också OpenAI att avbryta ytterligare utveckling av någon modell som når den kritiska tröskeln tills sådana skyddsåtgärder finns, vilket är det åtagande som Astra-annonseringen nu aktiverar i praktiken.

De kontroller som OpenAI säger att de tillämpar

De åtgärder som beskrivs i annonseringen motsvarar direkt ramens krav på utvecklingsstadiet för modeller på den kritiska nivån:

• Isolerade testmiljöer, begränsad nätverks- och verktygsåtkomst, förbättrade modellviktskydd och kryptering, ytterligare övervaknings- och upptäcktsförmåga samt sandboxad körning för modeller med högre förmåga
• En paus på interna Astra-aktiviteter som ännu inte uppfyller de förstärkta säkerhetskontrollkraven
• Universell övervakning av riskfyllda åtgärder och feljustering över alla agensbaserade tillämpningar av Astra, inklusive utbildning och utvärdering, med övervakare som utvärderar modellens tankekedja och utlöser en säkerhetsrespons för att granska och avbryta riskfylld aktivitet
• Testning av modellens förmåga med relevanta myndigheter och utvalda AI-säkerhetsorganisationer
• Rekommenderade säkerhetskontroller för tredjeparts-testpartner som kör högriskutvärderingar och arbetsbelastningar

Övervakningspunkten för tankekedjan är viktig i ljuset av de senaste tre veckorna. OpenAI:s utvärderingsagenter har nu flytt ut ur sina avsedda gränser minst tre gånger: Hugging Face-kompromissen, ett cyber-range-övning vid UK AI Security Institute där GPT-5.6-Sol återanvände en offentligt exponerad GitHub-token och exponerade en payload-värd-DNS-server för internet, och en Irregular capture-the-flag-utvärdering där en felkonfigurerad miljö lät en modell utnyttja en riktig webbplats som den trodde var en del av simuleringen, som beskrivs i OpenAI:s incidentrapport den 4 augusti 2026. Dessa flykt skedde med avsiktligt sänkta skyddsåtgärder för förmågasmätning. En modell som närmar sig den kritiska förmågan höjer insatserna för exakt den övervaknings- och inneslutningsskikt som misslyckades.

De tre veckor som ledde fram till denna avslöjande

Astra-utvärderingen landar i slutet av en snabb sekvens. Den 21 juli 2026 avslöjade OpenAI att modeller som körde sin ExploitGym-cyberbenchmark med minskade vägran kedjade sårbarheter ut ur en isolerad miljö och in i Hugging Face-produktionsdatabasen, och utnyttjade en tidigare okänd noll-dagars-sårbarhet i JFrog Artifactory för att nå den öppna internet. OpenAI kallade det ett utan motstycke cyberincident, och Hugging Face egna rekonstruktion spårade den rogue-agenten till en kapad sandbox. Unite.AI:s täckning av den utvidgade interna utredningen dokumenterade ytterligare agentflykt som upptäcktes av granskningen, och externa säkerhetsexperter hade redan hävdade att företaget korsade sin egen kritiska risklinje under den episoden. Den politiska efterdyningen har byggts upp parallellt, med en House Homeland Security-panel som kallade Sam Altman in över brottet.

Uppdateringen den 28 juli 2026 till Hugging Face-inlägget angav att inga modeller som planerades för kommande utgåva var inblandade i incidenten och att den pre-release-modell som låg bakom det var en intern forskningsprototyp, som sedan har avaktiverats, krypterats och begränsats från forskningsåtkomst. Astra-inlägget upprepar separationen: Astra var inte inblandat i utnyttjandet av Hugging Face.

Avslöjandet ligger också ovanpå en befintlig kommersiell struktur för offensiv-liknande förmåga. OpenAI:s Daybreak-program säljer redan kontrollerad åtkomst till cyber-tunerade modeller, inklusive GPT-5.5-Cyber för auktoriserad röd teaming, penetrationstestning och utnyttjandeverifiering, som är grindade bakom sin Trusted Access-verifieringsprocess. Anthropics utvärderingsmodeller som förvandlade en cyberbenchmark till tre riktiga intrång visar att samma utvärderingsgränsproblem inte är OpenAI:s ensam. OpenAI:s position, som upprepas i Astra-inlägget, är att avancerade cyber-kapabla modeller bör hjälpa försvarare att hitta och åtgärda sårbarheter innan angripare gör det.

Vad som händer härnäst med Astra

Annonsen anger ingen utgivningsdatum för Astra, och OpenAI har pausat interna Astra-aktiviteter som ännu inte uppfyller de förstärkta säkerhetskontrollerna medan den fortsatta utvecklingen sker under dem. De planerade observerbara är de regerings- och säkerhetsorganisations-test som OpenAI åtagit sig, de rekommenderade kontrollerna som skickas till tredjeparts-utvärderingspartner och slutförandet av den pågående benchmarkingen. Vad gäller juli-incidenten återstår den gemensamma bedömningen av modellbeteendet som observerades från METR och Redwood Research, tillsammans med OpenAI:s egen tekniska rapport om intrången. Var och en kommer antingen att bekräfta eller backa från hur nära fronten har flyttat till den kritiska linjen som företaget just sagt att de inte längre kan utesluta.