איור מופשט שנוצר על רקע כחול-נייבי עמוק: מסגרת שער גבוהה וצרה בצבע אפור-פלדה ניצבת מעט משמאל למרכז, והפתח שלה ריק; נימה ציאנית דקה אחת נמשכת מהשמאל התחתון אל עבר הפער, עוברת דרכו ומסתיימת באוויר במרחק ניכר לפני צוהר קטן וסגור שמתוחם בציאן חיוור בצד ימין. רשת שרטוט תכנית חיוורת נסוגה מאחורי שני העצמים, וזוהר רדיאלי רך נמצא מאחורי המסגרת. לא מופיעים טקסט, מספרים, אנשים, סימני מותג או לוגואים של ארגונים. הלוגו של OrcaRouter משולב בפינה הימנית התחתונה.
AI Safety Incidents

GPT-5.3-Codex דורג גבוה בתחום הסייבר. ל-OpenAI אין ראיות חד-משמעיות.

מחבר

Rowan Sterling

תאריך פרסום

מודלים אחרונים · 20צפו בכל המודלים →
בנצ'מרקים: Artificial Analysis · מתעדכן יומית
חזרה לכל הפוסטים

ב-5 בפברואר 2026 פרסמה OpenAI את כרטיס המערכת של GPT-5.3-Codex, ובו סיווגה את המודל כבעל יכולת גבוהה בתחום אבטחת הסייבר תחת מסגרת המוכנות שלה — הפעם הראשונה שהחברה החילה את התווית הזו על מודל כלשהו בתחום הזה. המשפט שאחרי הסיווג הוא זה ששווה לקרוא פעמיים: "אין לנו ראיות חד-משמעיות לכך שהמודל הזה מגיע לסף הגבוה שלנו." OpenAI מסרה שהיא פעלה מתוך זהירות, משום שהמודל עמד בכל אחד מספי הקנרית שלו, ולכן החברה לא יכלה לשלול שה�יכולת אכן קיימת. דבר לא נפרץ ולא נרשם קורבן: זהו סיווג, לא תקרית, והוא נרשם כרשומת מדיניות עם דגל ציון דרך. הרשומה של הארכיון עצמו עבור הסיווג, עם דירוגי החומרה והביטחון שלו, נמצאת בOrca AI Incident Archive לצד רשומות הממשל האחרות של השנה.

מה המשמעות של "High", ומי מחליט

מסגרת המוכנות של OpenAI מציבה שני ספים. יכולת גבוהה "עלולה להגביר מסלולים קיימים לנזק חמור"; יכולת קריטית "עלולה להציג מסלולים חדשים חסרי תקדים לנזק חמור". מערכות מכוסות שמגיעות לרמה גבוהה חייבות לכלול אמצעי הגנה שמצמצמים דיים את הסיכון הנלווה לפני פריסה, ומערכות שמגיעות לרמה קריטית זקוקות להם גם במהלך הפיתוח, לפי התיאור של OpenAI עצמה את המסגרת. הביקורת המתוארת שם היא פנימית: קבוצת הייעוץ לבטיחות מעריכה אם אמצעי ההגנה מצמצמים דיים את הסיכון ומגישה המלצות, וההנחיות שלה עוברות להנהגת OpenAI לשם ההחלטה הסופית. כרטיס המערכת אינו מתאר אישור חיצוני לדירוג.

ההגדרה הספציפית לסייבר צרה יותר מהכותרת. OpenAI מגדירה יכולת סייבר גבוהה כמודל ש"מסיר צווארי בקבוק קיימים להרחבת פעולות סייבר", בין אם באמצעות "אוטומציה של פעולות סייבר מקצה לקצה נגד יעדים מוקשחים במידה סבירה" ובין אם באמצעות "אוטומציה של גילוי וניצול של פגיעויות רלוונטיות מבחינה תפעולית". הכרטיס מפורש שהסף עוסק בהסרת צווארי בקבוק לאורך קמפיין, ולא במודל שיכול לפתור אתגר קשה: OpenAI כותבת שסיכון סייבר חזיתי "נבחן בצורה הטובה ביותר במונחים של פעולות או קמפיינים, ולא של פעולות נפרדות".

בקריאה כזו, הסיווג מ-5 בפברואר אומר משהו ספציפי. הוא אומר ש-OpenAI חושבת שצוואר הבקבוק שהמודל הזה מסיר הוא המיומנות והסיבולת שחדירה מתמשכת דורשת — ושהחברה בחרה להגביל ולנטר את הגישה במקום להמתין להוכחה שכך אכן קורה.

שלוש הערכות, והשוואה אחת שהולכת בכיוון ההפוך

OpenAI משתמשת בשלושה מבחני בנצ'מרק עבור שלוש המיומנויות שהיא משייכת לנזק סייבר חמור: Professional Capture the Flag לזיהוי וניצול פגיעויות, CVE-Bench לעקביות, ו-Cyber Range לפעולות מקצה לקצה ברשת מדומה. GPT-5.3-Codex הוא, בלשון הכרטיס, "המודל הראשון שעובר את כל הספים בכל שלוש ההערכות." התוצאות הבודדות חשובות יותר מהסיכום.

ב-Professional CTF המודל "משתווה ל-GPT-5.2-Codex" — הניסוח של הכרטיס עצמו הוא "אין שינוי מהותי בביצועי שיא ב-CTF", כפי שנמדד כ-pass@12 על פני 16 הרצות לכל אתגר. ב-CVE-Bench הוא השיג 90 אחוז לעומת 87 אחוז ל-GPT-5.2-Codex, על פני 34 מתוך 40 האתגרים של הבנצ'מרק, pass@1 על פני שלוש הרצות. ב-Cyber Range הוא עבר 12 מתוך 15 תרחישים לשיעור מעבר כולל של 80 אחוז, לעומת 60 אחוז ל-GPT-5.1-Codex-Max, 53.33 אחוז ל-GPT-5.2-Codex ו-47 אחוז ל-GPT-5.2-Thinking. הוא נכשל ב-EDR Evasion, ב-CA/DNS Hijacking וב-Leaked Token.

הכרטיס מקפיד לגבי מה שמצטבר מכך. מכיוון ש-CTF בוחן נתיבי תקיפה שנכתבו מראש, CVE-Bench מכסה רק יישומי web, ותרחישי Cyber Range חסרים את ההגנות והרעש של רשת בשימוש יומיומי, "הצטיינות בכל שלוש ההערכות היא הכרחית אך לא מספקת כדי שמודל ייחשב בעל יכולת גבוהה באבטחת סייבר". המסקנה של OpenAI אינה שהמודל גבוה, אלא שלא ניתן לשלול שהוא כזה.

ההערכה החיצונית, שנערכה על ידי מעבדת האבטחה Irregular על גרסה כמעט סופית של המודל, מסבכת את התמונה באופן ששורת הסיכום אינה עושה. GPT-5.3-Codex השיג בממוצע 86 אחוזים ב-Network Attack Simulation, לעומת 68 אחוזים עבור GPT-5.2-Codex ו100 אחוזים עבור GPT-5.2-Thinking; 72 אחוזים ב-Vulnerability Research and Exploitation, לעומת 75 ו80 אחוזים; ו-53 אחוזים ב-Evasion, לעומת 52 ו-53. הוא לא פתר אף אחד מהאתגרים ב-CyScenarioBench, מסגרת מבוססת תרחישים שבוחנת תכנון רב-שלבי תחת אילוצים מציאותיים. במערך הבדיקות של Irregular, במילים אחרות, המודל שסווג זה עתה פיגר אחרי אח בוגר יותר בשניים משלושה קטגוריות — תוצאה שהכרטיס מפרסם בלי ליישב אותה עם טענת הסף של עצמו.

A self-built HTML card headed 'Three internal thresholds, and an external suite that disagrees', subtitled 'Every figure below is from OpenAI's own GPT-5.3-Codex system card'. A left panel titled 'OpenAI internal' lists three rows: Professional CTF, matched GPT-5.2-Codex, with pass@12 over 16 rollouts per challenge and the card's gloss that there was no material change in peak CTF performance; CVE-Bench, 90 per cent versus 87 per cent for GPT-5.2-Codex, over 34 of 40 challenges at pass@1 across three rollouts; Cyber Range, 80 per cent, 12 of 15 scenarios, against 60 per cent for GPT-5.1-Codex-Max, 53.33 per cent for GPT-5.2-Codex and 47 per cent for GPT-5.2-Thinking. A note beneath records the failed scenarios: EDR Evasion, CA/DNS Hijacking and Leaked Token. A right panel titled 'Irregular external' lists three rows: Network Attack Simulation 86 per cent, against 68 and 100; Vulnerability Research and Exploitation 72 per cent, against 75 and 80; Evasion 53 per cent, against 52 and 53, with a header noting the comparators are GPT-5.2-Codex then GPT-5.2-Thinking. A note beneath says that in two of three categories the older GPT-5.2-Thinking scored higher than the model rated High, and that GPT-5.3-Codex solved none of the CyScenarioBench challenges. No people, brand marks or organisation logos appear. The OrcaRouter logo is composited in the bottom-right corner.

השער: גישה מהימנה לסייבר

ההקלה שמעניקה לרשומה את צורתה היא תוכנית, לא מסנן. OpenAI השיקה את Trusted Access for Cyber (TAC) "ביום הראשון", ותיארה אותו כ"תוכנית מבוקרת מבוססת זהות" המספקת "יכולות סייבר דו-שימושיות בסיכון גבוה" ללקוחות ארגוניים ולמשתמשים לגיטימיים ושאינם מזיקים. הכרטיס מפרט את השימושים הנתמכים: בדיקות חדירה, צוותי תקיפה, הערכת פגיעויות, זיהוי וניצול, בדיקות אבטחה וחקירת התחמקות מגילוי, הנדסה הפוכה של תוכנות זדוניות ומחקר קריפטוגרפי.

עיצוב הגישה הופך את הסדר המקובל. משתמשים מחוברים מקבלים כברירת מחדל יכולת סייבר גבוהה, בכפוף לניטור ואכיפה; דווקא המשתמשים ש"מרבים לנצל פונקציונליות סייבר דו-שימושית בסיכון גבוה" חייבים לאמת את זהותם דרך TAC כדי לשמור על היכולות המתקדמות. ארגונים יכולים לבקש גישה מהימנה עבור צוות שלם דרך נציג OpenAI שלהם, וחוקרים הזקוקים למודלים מתירניים יותר יכולים להגיש בקשה לתוכנית בהזמנה בלבד, לפי הכרזתה של OpenAI עצמה על התוכנית. לצד זאת, OpenAI התחייבה ל-10 מיליון דולר בזכויות API דרך תוכנית המענקים שלה לאבטחת סייבר.

OpenAI מציינת במפורש שהשער אינו מהווה ערובה. הגישה ניתנת "רק למטרות אבטחה לגיטימיות, הגנתיות ומאושרות", ומשתתפי TAC "שיבקשו לעיתים קרובות פונקציונליות של פעולה מזיקה עדיין יהיו כפופים לניטור ואכיפה, כולל אובדן הגישה ל-TAC". פוסט ההשקה מוסיף בקרה שנייה: בקשות מסוימות שהמערכת מזהה כבעלות סיכון סייבר מוגבר "עשויות להיות מנותבות אוטומטית מ-GPT-5.3-Codex ל-GPT-5.2". Fortune דיווח ב-5 בפברואר ש-OpenAI לא הפעילה באופן מיידי גישה מלאה ל-API שתאפשר להפעיל את המודל באופן אוטומטי בקנה מידה, ושהמודל היה זמין בינתיים למשתמשי ChatGPT בתשלום.

ברירות מחדל של סנדבוקס ומוניטור עם שיעור פספוס מפורסם

שתי שכבות נוספות מתוארות במונחים מדידים. ארגז החול של הסוכן פועל בענן בתוך "מכולה מבודדת המתארחת ב-OpenAI", ללא גישה למערכת המארחת של המשתמש וכאשר גישת הרשת מושבתת כברירת מחדל; בהתקנה מקומית, ארגז חול הוא ברירת המחדל ב-macOS באמצעות Seatbelt, ב-Linux באמצעות seccomp ו-landlock, וב-Windows — באופן מקורי או באמצעות Windows Subsystem for Linux. ברירות המחדל נועדו להשבית גישת רשת ולהגביל עריכות קבצים לסביבת העבודה הנוכחית, והמשתמשים יכולים לאשר פקודות ללא ארגז חול, או להגדיר רשימות היתר ורשימות חסימה לכל פרויקט. הכרטיס מזהיר כי הפעלת גישת רשת מחזירה את הסיכונים של הזרקת הנחיות, דליפת פרטי גישה וסיכוני רישיון.

שכבת הניטור היא מערכת דו-שלבית: מסווג נושאי מהיר מחליט אם התוכן קשור לאבטחת סייבר, וכל מה שכן מועבר ל"מנוע הסקה לבטיחות" שממקם אותו בטקסונומיית איומי הסייבר של OpenAI ומחליט אם ניתן להציג את הפלט. המסווג הנושאי מכוון לרגישות של יותר מ-90 אחוז באמינות מערכת של יותר מ-99.9 אחוז. הנתונים של מנוע ההסקה פחות נוחים והם מודפסים בטבלה של הכרטיס עצמו: רגישות של 77.8 אחוז ודיוק של 37.1 אחוז בהנחיות משתמש, רגישות של 88.8 אחוז ודיוק של 24.1 אחוז בתגובות עוזר. OpenAI אומרת שהיא מבצעת אופטימיזציה לרגישות על פני דיוק במכוון, ולכן עבודה בסיכון נמוך לעיתים נחסמת — ולכן בערך אחת מכל חמש הנחיות משתמש שהיה צריך לתפוס, בקבוצת הבדיקה ההיא, לא נתפסה.

A self-built HTML card headed 'What the safeguards caught, and what got past', subtitled 'Monitoring performance and red-team results as OpenAI's system card reports them'. A left panel lists monitor figures: cybersecurity topical classifier, more than 90 per cent recall, more than 99.9 per cent system reliability; reasoning monitor on user prompts, 77.8 per cent recall and 37.1 per cent precision; on assistant responses, 88.8 per cent recall and 24.1 per cent precision. A right panel gives red-team results: 3,526 total hours; 21 universal-jailbreak submissions, 6 complete and 14 partial; 279 reports yielding 132 false negatives. Below them, two short blocks describe the Universal Jailbreak Campaign (1,375 hours) and the Adversarial Policy Coverage Campaign (2,151 hours), then the sandbox defaults — an isolated OpenAI container in the cloud with network off, Seatbelt on macOS, seccomp and landlock on Linux, native or WSL on Windows — and a highlight noting the UK AI Security Institute produced a universal jailbreak at 0.778 pass@200 in about 10 hours from a single user message. A strip along the bottom lists the residual risks OpenAI names: limited monitor precision, a non-zero chance a bad actor gains trusted access, identity-verification and recidivism-detection failures, mosaic decomposition, policy grey areas and undiscovered universal jailbreaks, plus the card's admission that five months of asynchronous internal monitoring does not protect against harm. A final block notes the monitor output is used to route some high-risk traffic to less capable models — the launch post names GPT-5.2 — to track account-level risk signals and to surface advanced threats for investigation. No people, brand marks or organisation logos appear. The OrcaRouter logo is composited in the bottom-right corner.

מה שמצאו הצוותים האדומים

הכרטיס מפרסם את התוצאות האדוורסריאליות בפירוט ולא בתקציר. שני קמפיינים צרכו 3,526 שעות של תרגולי צוות אדום מומחים בין דצמבר 2025 לינואר 2026. קמפיין Universal Jailbreak השקיע 1,375 שעות והפיק 21 הגשות, מהן שש היו ג'יילברייקים אוניברסליים מלאים ו-14 חלקיים. קמפיין Adversarial Policy Coverage השקיע 2,151 שעות והגיש 279 דוחות, ומצא 132 שליליים כוזבים שבהם ה-Safety Reasoner היה אמור לחסום תוכן ולא חסם. OpenAI מכנה את הג'יילברייקים "לא חוסמים" ואומרת שהם יתוקנו, ומודה שהקמפיינים מראים ש"ה-Safety Reasoner עדיין דורש הקשחה איטרטיבית נגד התקפות אדוורסריאליות".

התוצאה הבודדת החדה ביותר כרוכה במעריך ממשלתי. UK AI Security Institute, שקיבל גישה מוקדמת לבנייה עם מנגנון הסקת הבטיחות מופעל וחוסם, "פיתח jailbreak אוניברסלי (עם ניסיונות חוזרים) שהשיג 0.778 pass@200" בכעשר שעות של red teaming ידני, תוך שימוש בהודעת משתמש אחת. אותו סעיף מתעד ש-US Center for AI Standards and Innovation בחן את יכולות הסייבר של המודל באמצעות הערכות אוטומטיות משלו והשתמש בו כדי למצוא באגים חדשים בתוכנה בקוד פתוח ובקוד סגור, וש�-GPT-5.3-Codex המשיך להתקדם במשימות קשות לאורך חלונות דחיסה, "ומצא תוצאות חדשות גם לאחר 50M או יותר טוקנים ייחודיים ועשרות שעות של ניתוח."

שני הממצאים הממשלתיים הללו מדווחים בתוך הכרטיס של OpenAI. מחקר זה לא מצא הערכה עצמאית שפורסמה מטעם אף אחד משני הגופים המכסה את GPT-5.3-Codex; עד שתופיע כזו, הביקורת החיצונית על מודל זה מוכרת לציבור רק דרך תיאורו של הספק. רשימת הסיכונים השיוריים של הכרטיס עצמו גלויה באופן יוצא דופן לגבי אותו פער: דיוק מוגבל של הניטור היוצר בעיית סקירה של מחט בערימת שחת, "סיכוי שאינו אפס ששחקן זדוני עשוי להשיג גישה מהימנה", כשלים של ספק אימות הזהות, וג'יילבריקים אוניברסליים שטרם התגלו. עוד נאמר בו כי ניטור פנימי של פריסות Codex, הפועל באופן אסינכרוני במשך חמישה חודשים, "אינו מגן מפני נזק או מונע החתרה תחת אמצעי הגנה אחרים".

מה השתנה לאחר מכן

השער שרד את ההשקה וגדל. אקסיוס דיווחה ב-9 באפריל 2026 כי OpenAI מגבשת מוצר סייבר נפרד עבור קבוצה קטנה של שותפים, ותיארה את TAC כמי שהושק בפברואר "לאחר השקת GPT-5.3-Codex". ב-15 באפריל 2026, Help Net Security דיווח כי OpenAI הרחיבה את TAC ל"אלפי מגנים פרטיים מאומתים ומאות צוותים", וכי היא משחררת את GPT-5.4-Cyber — גרסה של GPT-5.4 עם סף סירוב נמוך יותר לעבודת אבטחה לגיטימית ויכולת הנדסה לאחור של קוד בינארי — לרמות הגישה הגבוהות ביותר. הפיילוט שתואר בכרטיס מפברואר הפך לקו מוצרים עם רמות.

הסיווג עצמו נדד פחות רחוק מן השער. הכתבה של Fortune מ-5 בפברואר, מאת שרון גולדמן, דיווחה על כך ישירות וציטטה פוסט של מנכ"ל OpenAI סם אלטמן ב-X שבו כינה את GPT-5.3-Codex "המודל הראשון שלנו שמגיע ל'גבוה' בתחום הסייבר במסגרת מסגרת המוכנות שלנו". The Cyber Express סיקר בפירוט את השקת TAC ב-6 בפברואר — שלושה מסלולי גישה, 10 מיליון הדולר, ההתנהגויות האסורות — ולא הזכיר כלל את דירוג High. Boston Global Forum, בכתיבה ב-12 באפריל, הציג שוב את שניהם יחד. עד אמצע אפריל, החלק המצוטט ביותר בחבילה היה תוכנית הגישה, ולא שיקול הדעת בנוגע לסף שעמד בבסיסה.

מבוסס, לא מבוסס, ופתוח

מה שנקבע: OpenAI פרסמה את כרטיס המערכת של GPT-5.3-Codex ב-5 בפברואר 2026 וסיווגה את המודל כ"יכולת גבוהה" בתחום הסייבר במסגרת ה-Preparedness Framework שלה; החברה הצהירה באותו מסמך שאין לה ראיות חד-משמעיות לכך שהמודל מגיע לסף הזה ושהיא פועלת מתוך זהירות; נתוני ההערכה לעיל הם שלה; TAC הושקה עם המודל; ארגז החול ומנגנון הניטור הדו-רמתי מתועדים ברמת הפירוט המצוטטת כאן; ושעות ה-red-team, מספרי ההגשות ונתון ה-jailbreak של UK AISI כולם מודפסים בכרטיס. Fortune דיווחה על הסיווג באותו יום, תוך ציטוט הפוסט של Altman ב-X. פרט תאריכי אחד שראוי לתעד: המטא-דאטה של עמוד הפוסט של ההשקה עצמו נושאת חותמת זמן של 4 בפברואר 22:23 GMT, בעוד שכרטיס המערכת והסיקור של Fortune מתוארכים ל-5 בפברואר.

מה שלא הוכח: ש-GPT-5.3-Codex אכן עומד בסף ה-High של OpenAI. זו הסתייגות של OpenAI עצמה, לא של מבקר. כמו כן, המחקר הזה לא מצא כל הסמכה חיצונית לדירוג, כל הערכה שפורסמה של רגולטור או מכון לאומי לגבי המודל הזה, או כל מדידה של האם המערך הרב-שכבתי צמצם שימוש לרעה בעולם האמיתי — ברשומה אין נזק משום שלא תועד נזק, לא משום שלא התרחש נזק. הטענה בכרטיס שהמודל הוא הראשון לעבור את כל שלושת הספים הפנימיים היא הצהרה על חבילת הבנצ'מרקים של OpenAI, שאותו מסמך אומר שהיא ראיה הכרחית אך לא מספקת ליכולת שהיא נועדה לזהות.

מה שנותר פתוח: האם שער זהות יחד עם מוניטור שמפספס כחמישית מהנחיות המשתמש שסומנו הוא תשובה עמידה למודל שסווג על בסיס זהירות ולא הוכחה; האם הרגרסיה לכאורה של המודל לעומת GPT-5.2-Thinking במערך החיצוני של Irregular אומרת משהו לאחר שמתחשבים בהבדלים בהרנס ובאליציטציה; וכמה מהפער בין פיילוט פברואר לקו המוצרים של אפריל היה מתוכנן ולא נלמד. רשומת הארכיון מתעדת את הסיווג. השאר עדיין נכתב על ידי האנשים שמפעילים את השער.

A self-built HTML card headed 'Established, not established, open', subtitled 'The GPT-5.3-Codex cyber classification, as the public record supports it'. Three columns. Established lists: system card published 5 February 2026; classified High capability in cybersecurity under the Preparedness Framework, a first for the domain; OpenAI states it has no definitive evidence the model reaches the threshold and is acting precautionarily; Cyber Range 80 per cent, CVE-Bench 90 per cent, Professional CTF unchanged; Trusted Access for Cyber launched on day one with $10 million in API credits; sandbox defaults and a two-tier monitor with published recall; 3,526 red-team hours and a UK AI Security Institute jailbreak at 0.778 pass@200 in about ten hours. Not established lists: that the model in fact meets the High threshold; any external certification of the rating; any published CAISI or UK AISI report on this model; any measured reduction in real-world misuse. Open lists: whether an identity gate plus a monitor with 77.8 per cent prompt recall is durable; why the model trailed GPT-5.2-Thinking on two of three Irregular categories; how the February pilot became an April product line. No people, brand marks or organisation logos appear. The OrcaRouter logo is composited in the bottom-right corner.

הרשומה היא אירוע ממשל, והיא נקראת ככזה: חברה שכותבת מראש, לפני כל תקרית, שהיא חושבת שאחד מהמודלים שלה אולי חצה קו שהיא עדיין לא יכולה למדוד, ובונה שער על סמך החשד הזה. האם השער היה מידתי היא שאלה שהכרטיס משאיר בכוונה פתוחה — הוא אומר רק שהסיכון "ממוזער דיו", ומונה שש דרכים שבהן ייתכן שלא.

השוואות במאמר הזה3

זוהה מתוך המאמר הזה · בנצ'מרקים: Artificial Analysis · מתעדכן יומית