OpenAI לא יכלה לשלול יכולת סייבר קריטית ב-Astra, והפסיקה רק חלק מעבודתה

ביום שישי 7 באוגוסט 2026, OpenAI פרסמה פוסט שבו נאמר כי הערכותיה הפנימיות האחרונות של Astra, אחד מהמודלים העתידיים שלה, הצביעו על "התקדמות משמעותית בקידוד סוכני ובאבטחת סייבר", וכי לא ניתן היה לשלול שהמודל יגיע לרמת קריטי — רמת הסייבר הגבוהה ביותר במסגרת המוכנות שלה. המסקנה התקבלה "אמש", כך נאמר בפוסט, לאחר מספר ימים של בדיקות. לא נגרם כל נזק: הפוסט מתאר הערכות, לא חדירה, ו-OpenAI הצהירה ש-Astra "לא הייתה מעורבת בניצול לרעה של Hugging Face". מה שהשתנה היה פנימי — פיתוח שלא עמד בבקרות האבטחה המוגברות הושהה, בעוד עבודה שכן עמדה בהן נמשכה. האנשים שנפגעו באופן הישיר ביותר הם המפתחים של OpenAI, לצד הבודקים והמגנים שאמורים היו לקבל גישה בסופו של דבר. תיעוד ההחלטה הוא רשומה אחת בארכיון תקריות ה-AI, הכולל את מקורות התקרית הזו, את הדירוג שלה ואת הרשומות הסמוכות.

עבור אירוע של ממשל, החלק המדהים הוא עד כמה מעט טוען הפוסט. הוא אינו מדווח על ציון, על תוצאת בדיקה, על תמלול או על מעריך חיצוני בשמו. הוא מדווח על שיפוט: שלפי הראיות הזמינות, OpenAI לא יכלה לשלול רמת יכולת שמעולם לא ייחסה לאף אחד מהמודלים שלה. זה הופך את התיעוד לראוי לקריאה בשני מובנים בעת ובעונה אחת — גילוי על מודל, ומבחן אם מסגרת הבטיחות של החברה עצמה משנה את מה שהחברה עושה.

מה המשמעות של "Critical" במסגרת של OpenAI?

ה-Preparedness Framework, שפורסם לראשונה בדצמבר 2023 ותוקן בגרסה 2 ב-15 באפריל 2025, עוקב אחרי שלוש קטגוריות: יכולות ביולוגיות וכימיות, אבטחת סייבר ושיפור עצמי של בינה מלאכותית. לכל אחת מהן שתי דרגות יכולת: High ו-Critical. סף הסייבר מופיע בניסוח כמעט זהה הן במסגרת והן בפוסט של OpenAI מאוגוסט: מודל מגיע ל-Critical אם הוא יכול "לזהות ולפתח ניצולי Zero-day פונקציונליים בכל דרגות החומרה במערכות קריטיות מוקשחות רבות בעולם האמיתי ללא התערבות אנושית", או אם הוא יכול "לתכנן ולבצע אסטרטגיות חדשניות מקצה לקצה להתקפות סייבר נגד יעדים מוקשחים בהינתן רק מטרת רצויה ברמה גבוהה".

High היא הדרגה שמתחתיה. הפוסט של OpenAI אומר שמודלים קודמים, "כולל GPT-5.6 Sol", הוערכו מבחינת יכולות סייבר בחזית הטכנולוגיה וסווגו כ-High ולא כ-Critical. ההבחנה חשובה מפני שהמסגרת מצמידה חובות שונות לכל אחת מהדרגות. עבור מודל שמגיע ל-Critical, המסגרת דורשת אמצעי הגנה ש"מצמצמים במידה מספקת את הסיכונים הנלווים במהלך הפיתוח, ללא תלות בתוכניות הפריסה". טבלת הסייבר שלה בוטה אף יותר: "עד שנגדיר תקנים של אמצעי הגנה ובקרות אבטחה שיעמדו בסטנדרט Critical, יש לעצור כל פיתוח נוסף".

הנוסח מ-7 באוגוסט אינו סיווג. הפרסום אומר ש"ההערכות הראשוניות שלו מצביעות על ביצועים חזקים מספיק עד שאיננו יכולים לשלול רמת יכולת קריטית בשלב זה". החברה עדיין ביצעה השוואת ביצועים, והיא אמרה זאת.

מה עשתה OpenAI, ומה כיסתה ההפסקה

הפוסט מפרט חמישה אמצעים פנימיים, שכולם מנוסחים כתנאים להמשך העבודה ולא כסיבות להפסיק אותה:

• בקרות אבטחה מחמירות יותר עבור מודלים בעלי יכולות גבוהות יותר ופעילות נלווית: "סביבות בדיקה מבודדות, גישה מוגבלת לרשת ולכלים, הגנות משופרות על משקולות המודל והצפנה, יכולות ניטור וזיהוי נוספות, והרצה בארגז חול."

• השהיה של "פעילויות פנימיות הכרוכות ב-Astra שאינן עומדות עדיין בדרישות בקרת האבטחה המחוזקות הללו". עבודה שעמדה בהן יכלה להימשך.

• "ניטור אוניברסלי של פעולות מסוכנות ואי-יישור בכל היישומים האייג'נטיים של Astra, כולל אימון והערכה", כאשר המוניטורים קוראים את שרשרת המחשבה של המודל ומפעילים תגובת אבטחה כדי לסקור ולהפסיק פעילות בסיכון גבוה.

• בדיקה עם "סוכנויות ממשלתיות רלוונטיות ומספר ארגוני בטיחות בינה מלאכותית נבחרים."

• בקרות אבטחה מומלצות לשותפי בדיקה של צד שלישי המפעילים הערכות ועומסי עבודה בעלי סיכון גבוה יותר.

OpenAI תיארה את התקדים עצמו. "ביוני 2025, כשהמודלים שלנו התקרבו לסף היכולת הגבוהה לביולוגיה במסגרת Preparedness Framework," נאמר בפוסט, החברה פירטה צעדים לחיזוק אמצעי ההגנה, להרחבת הבדיקות, לעבודה עם מומחים חיצוניים ולהוספת בקרות אבטחה, והיא "יישמה את אותו עיקרון כאן." הפרט שכדאי לזכור הוא הדרגה: התיאור של OpenAI עצמה ממקם את מקרה הביולוגיה הזה מיוני 2025 ב־High, דרגה אחת מתחת להערכת הסייבר שהיא חשפה כעת.

הפרשנות המיידית בעיתונות הייתה שמעבדה בלמה.The Next Web, שפרסם ב-17:36 UTC ב-7 באוגוסט, תיאר השהיה של "עבודה פנימית כלשהי" בזמן שהבדיקות נמשכו, ודיווח כי Axios כינה זאת "ייתכן שזו הפעם הראשונה שמעבדת חזית האטה אחד מהמודלים שלה בשל סיכון סייבר". זהו תיאור הוגן של ההכרזה. זה אינו זהה לעצירה, והפוסט אינו טוען לכך.

מה שהפוסט מ-7 באוגוסט אינו מוכיח

הפער בין "לא ניתן לשלול" לבין "הגיעה" הוא כל אי־הוודאות של התיעוד, והפוסט אינו מנסה לסגור אותו. הוא אינו נותן שם בנצ'מרק, לא שיעור הצלחה, לא מספר פרצות שנמצאו, לא תיאור של המערכות שנבדקו, לא תמלול, לא הערכה בלתי תלויה ולא תאריך פרסום. הוא אינו אומר לאיזה משני תנאי ה-Critical ‏Astra התקרבה, או באיזו מידה. נאמר בו רק שהראיות היו חזקות דיין מכדי שהחברה תוכל לשלול את הדרגה העליונה.

אז הרשומה, נכון לאותו תאריך, קובעת גילוי ותגובה — לא יכולת מדודה. הערכת היכולת היא של OpenAI עצמה, שנעשתה על בסיס הערכות פנימיות שהיא לא פרסמה; OpenAI לא ציינה מעריך חיצוני, ואף מעבדה חיצונית לא בחנה את Astra בפומבי לפי הגדרת Critical. הערך מדורג ברמת הביטחון הגבוהה ביותר, מסומן כלא שנוי במחלוקת ונרשם ללא נזק ממשי, מה שמתאים למה שהפרסום למעשה מכיל: הצהרת חברה, לא דוח תקרית.

מה קרה אחר כך

עד 1 בספטמבר 2026 הנוסח הזמני השתנה. במאמר המשך שכותרתו "הדרך ל-Astra: יכולות קריטיות ואמצעי הגנה בחזית", כתב OpenAI: "אנו מאמינים כעת ש-Astra עומדת בסף יכולת הסייבר הקריטית תחת מסגרת המוכנות שלנו... זהו המודל הראשון שאנו מסווגים ברמה זו."

אותו הפוסט סיפק את הפרטים המדויקים שגילוי אוגוסט השמיט. כדאי להפריד ביניהם לפי סוג:

• בנצ'מרקים.Astra קיבלה ציון 100% ב-ExploitBench, בנצ'מרק ציבורי להפיכת פגיעויות ידועות לאקספלויטים. בגלל חששות מזיהום, OpenAI גם בנתה העתק פנימי המכיל 20 פגיעויות V8 בחומרה גבוהה שנחשפו בין יוני לאוגוסט 2026; על אותה קבוצה, נאמר בפוסט, Astra גילתה והשתמשה ב"שתי פגיעויות יום אפס כחלק משרשרת אקספלויטים", ש-OpenAI מסרה שהיא בתהליך חשיפתן למתחזקים.

• הערכות בהובלת מומחים. מול דפדפן מחוסן, בנתה Astra שרשרת שהצליחה להימלט מארגז החול ולהריץ פקודות על המארח; כרטיס המערכת מתעד שההצלחה הראשונית ארכה 29 שעות מול בילד שמומחים קבעו שנעדרו ממנו כמה אמצעי מיתון המיועדים לסביבת ייצור, ושהתאמת ה-exploit למהדורה היציבה הרשמית ארכה 12 שעות נוספות. מול מערכת הפעלה מחוסנת, היא שילבה פרצות לכדי הסלמת הרשאות מקומית ממשתמש לא-מורשה ל-root בתוך 12 שעות.

• שיעורי סירוב. בהערכות ג'יילברייק סייבר של OpenAI, Astra סירבה ל-91.5% מהבקשות, לעומת 59% עבור GPT-5.6 Sol — נתון שכרטיס המערכת משחזר.

• בדיקה עצמאית, עם סייג. כרטיס המערכת, שפורסם ב3 בספטמבר 2026 עבור המודל ש-OpenAI שחררה באותו יום בשם GPT-6 Astra, כולל הערכה חיצונית של מעבדת האבטחה Irregular. Irregular מצאה כי Astra פתרה 86 מתוך 226 אתגרי FrontierCyber, לעומת 34 מתוך 226 עבור GPT-5.6 Sol, כולל פגיעות יום-אפס המשפיעות על דפדפנים, טלפונים ניידים ומסדי נתונים בענן. היא גם "לא הבחינה בהתקפות מוצלחות על יעדים מוקשחים לחלוטין", ואף אחד מהמודלים לא פתר אף אחד משבעת אתגרי Elite.

הפוסט מ-1 בספטמבר גם חשף את צורת ההשהיה. OpenAI הודיעה כי "עיכבה חלקים מפיתוח והשחרור של Astra" במהלך השבועות האחרונים, וכי היא "הפעילה מחדש את ריצת ה-RL החזיתית הגדולה שהושעתה קודם לכן" ב-28 באוגוסט 2026, לאחר שדרישות הבטיחות והאבטחה החדשות נכנסו לתוקף. הגישה הייתה מדורגת: עבודת הסייבר המתקדמת תופנה תחילה לקבוצה קטנה של בודקים, כאשר תוכנית Daybreak Blue תבוא בעקבותיה.

מבוסס, זמני, ולא מבוסס

• מבוסס. OpenAI פרסמה את הגילוי ב-7 באוגוסט 2026 ואמרה כי היא אינה יכולה לשלול יכולת סייבר קריטית ב-Astra; היא פירטה את הבקרות ואת ההשהיה החלקית שתוארו לעיל. The Next Web דיווח על הפוסט באותו יום, ו-Axios סיקר אותו כהאטה על רקע סיכון סייבר.

• נקבע מאוחר יותר. ב-1 בספטמבר 2026 הגדירה OpenAI את Astra כעומדת בסף ה-Critical — המודל הראשון שאותו הגדירה ברמה זו — ופרסמה תוצאות בנצ'מרק והערכות מומחים. כרטיס המערכת מיום 3 בספטמבר נושא את אותו נתון סירוב ואת ההערכה החיצונית של Irregular.

• זמני ובדיקה עצמית. קביעת היכולת היא של OpenAI, בהתבסס על ההערכות של OpenAI. נכון ל-7 באוגוסט, אף מעבדה חיצונית לא בחנה את המודל בפומבי מול הגדרת Critical, והפוסט לא ציין מעריך חיצוני. הבדיקה החיצונית המאוחרת יותר, של Irregular, צרה יותר מן הסימון ומצאה במפורש שלא היו התקפות מוצלחות על יעדים מוקשחים לחלוטין.

• לא הוכח. שאסטרה אכן הגיעה לסף הקריטי ב-7 באוגוסט; הפוסט אומר רק שהחברה לא יכלה לשלול זאת. ולא הוכח שכל מערכת אמיתית נפגעה: התיעוד אינו מתעד כל נזק, ו-OpenAI הצהירה שאסטרה לא הייתה מעורבת בתקרית Hugging Face. כמו כן לא הוכח שההשהיה החלקית עמדה בלשון המסגרת עצמה, "להפסיק פיתוח נוסף" — OpenAI המשיכה בעבודה שענתה לבקרות החדשות שלה, והחברה, ולא גוף חיצוני, היא ששפטה אם אותן בקרות מספיקות.

שאלת הממשל שהרשומה מותירה פתוחה

המסגרת היא מסמך מחייב עצמי. היא מחייבת את OpenAI לעמוד בספים ובאמצעי הגנה, ומותירה את ההערכה ואת הקביעה בדבר הספיקות ל-OpenAI, עם ביקורת פנימית של קבוצת הייעוץ לבטיחות שלו ופיקוח של הדירקטוריון. הפוסט מ-7 באוגוסט מתאר התייעצות — סוכנויות ממשלתיות ו"ארגוני בטיחות בינה מלאכותית נבחרים" יבחנו את המודל — אך הוא אינו נוקב בשם רגולטור, אינו מפרסם קריטריונים ואינו קובע תאריך. שום דבר בתיעוד אינו מראה שגורם חיצוני בדק את הקביעה.

מה שהתיעוד כן מראה הוא שהמנגנון זז. הערכת יכולות שינתה את הפרקטיקה הפנימית בתוך יום אחד: הבקרות הודקו, חלק מהעבודה נעצר, הניטור הורחב גם לאימון ולהערכה, והגישה לפונקציות היכולתיות ביותר הוגבלה מאוחר יותר לבודקים בלבד. זה יותר מהודעה לעיתונות, ופחות מאימות חיצוני.

החלק הבלתי-פתור הוא זה שהמסגרת אינה יכולה להכריע בו בעצמה. "לא ניתן לשלול" הוא אמירה על ראיות, לא על יכולת, והיא מותירה לחברה להחליט כמה ראיות מספיקות לפני שהיא מחדשת. OpenAI הפעילה מחדש את ריצת האימון הגדולה ב-28 באוגוסט, סימנה את המודל כ-Critical ב-1 בספטמבר ושחררה אותו כ-GPT-6 Astra ב-3 בספטמבר. כל שלב מתועד. השאלה אם כל שלב אמור היה להתרחש בעיתו היא שיפוט שהתיעוד רושם אך אינו משיב עליו.