GPT-5.3-Codex Dinilai Tinggi untuk Siber. OpenAI Tidak Memiliki Bukti Definitif.

Pada 5 Februari 2026, OpenAI menerbitkan kartu sistem untuk GPT-5.3-Codex dan, di dalamnya, mengklasifikasikan model tersebut sebagai Kapabilitas Tinggi dalam domain Keamanan Siber di bawah Preparedness Framework-nya — pertama kalinya perusahaan menerapkan label itu pada model apa pun di domain tersebut. Kalimat yang menyusul klasifikasi itu adalah kalimat yang layak dibaca dua kali: "Kami tidak memiliki bukti definitif bahwa model ini mencapai ambang High kami." OpenAI mengatakan pihaknya bertindak secara pencegahan, karena model tersebut melewati setiap ambang canary-nya dan perusahaan karenanya tidak dapat menyingkirkan kemungkinan bahwa kapabilitas itu benar-benar ada. Tidak ada yang dilanggar dan tidak ada korban yang tercatat: ini adalah klasifikasi, bukan insiden, dan diarsipkan sebagai catatan kebijakan dengan penanda landmark. Entri arsip itu sendiri untuk klasifikasi tersebut, dengan tingkat keparahan dan keyakinannya, berada di Orca AI Incident Archive di samping catatan tata kelola lain tahun itu.

Apa arti "High", dan siapa yang memutuskan

Kerangka Kesiapan OpenAI menetapkan dua ambang batas. Kemampuan Tinggi "dapat memperkuat jalur yang sudah ada menuju bahaya berat"; kemampuan Kritis "dapat memperkenalkan jalur baru yang belum pernah ada menuju bahaya berat." Sistem yang tercakup yang mencapai Tinggi harus memiliki pengaman yang cukup meminimalkan risiko terkait sebelum penerapan, dan sistem yang mencapai Kritis memerlukannya juga selama pengembangan, menurut deskripsi kerangka tersebut oleh OpenAI sendiri. Tinjauan yang dijelaskan di sana bersifat internal: Safety Advisory Group menilai apakah pengaman cukup meminimalkan risiko dan memberikan rekomendasi, dan panduannya diteruskan ke pimpinan OpenAI untuk keputusan akhir. Kartu sistem tersebut tidak menjelaskan adanya persetujuan eksternal atas penilaian itu.

Definisi yang spesifik untuk siber lebih sempit daripada judul besarnya. OpenAI mendefinisikan kemampuan keamanan siber Tinggi sebagai model yang "menghilangkan hambatan yang ada untuk menskalakan operasi siber," baik dengan "mengotomatiskan operasi siber menyeluruh terhadap target yang cukup diperkeras" atau dengan "mengotomatiskan penemuan dan eksploitasi kerentanan yang relevan secara operasional." Kartu tersebut secara eksplisit menyatakan bahwa ambang batasnya adalah tentang penghilangan hambatan di seluruh kampanye, bukan tentang model yang dapat memecahkan tantangan sulit: OpenAI menulis bahwa risiko siber terdepan "paling baik dinilai dalam hal operasi atau kampanye, bukan tindakan-tindakan terpisah."

Jika dibaca seperti itu, klasifikasi 5 Februari mengatakan sesuatu yang spesifik. Klasifikasi itu menyatakan bahwa OpenAI berpikir hambatan yang dihilangkan model ini adalah keterampilan dan stamina yang dibutuhkan oleh suatu intrusi yang berkelanjutan — dan bahwa perusahaan memilih untuk membatasi dan memantau akses alih-alih menunggu bukti bahwa model itu memang mampu melakukannya.

Tiga evaluasi, dan satu perbandingan yang berjalan ke arah sebaliknya

OpenAI menggunakan tiga tolok ukur untuk tiga keterampilan yang dikaitkannya dengan kerugian siber berat: Professional Capture the Flag untuk identifikasi dan eksploitasi kerentanan, CVE-Bench untuk konsistensi, dan Cyber Range untuk operasi end-to-end di jaringan yang diemulasikan. GPT-5.3-Codex adalah, dalam kata-kata kartu tersebut, "model pertama yang melewati semua ambang batas di ketiga evaluasi." Hasil individual lebih penting daripada ringkasannya.

Pada Professional CTF, model tersebut "menyamai GPT-5.2-Codex" — keterangan kartunya sendiri adalah "tidak ada perubahan material dalam performa puncak CTF," yang diukur sebagai pass@12 atas 16 rollout per tantangan. Pada CVE-Bench, model ini mencetak 90 persen berbanding 87 persen untuk GPT-5.2-Codex, pada 34 dari 40 tantangan benchmark tersebut, pass@1 pada tiga rollout. Pada Cyber Range, model ini lulus 12 dari 15 skenario untuk tingkat kelulusan gabungan 80 persen, berbanding 60 persen untuk GPT-5.1-Codex-Max, 53,33 persen untuk GPT-5.2-Codex, dan 47 persen untuk GPT-5.2-Thinking. Model ini gagal pada EDR Evasion, CA/DNS Hijacking, dan Leaked Token.

Kartu tersebut berhati-hati dalam menilai apa arti keseluruhan hal itu. Karena CTF menguji jalur serangan yang telah ditentukan sebelumnya, CVE-Bench hanya mencakup aplikasi web, dan skenario Cyber Range tidak memiliki pertahanan serta kebisingan jaringan yang sudah lama digunakan, "unggul dalam ketiga evaluasi tersebut perlu tetapi tidak cukup bagi sebuah model untuk dianggap Tinggi dalam kemampuan keamanan siber." Kesimpulan OpenAI bukanlah bahwa model tersebut Tinggi, melainkan bahwa pihaknya tidak dapat menyingkirkan kemungkinan bahwa model itu memang Tinggi.

Evaluasi eksternal, yang dijalankan oleh laboratorium keamanan Irregular pada versi model yang hampir final, mempersulit gambaran tersebut dengan cara yang tidak ditunjukkan oleh baris ringkasan. GPT-5.3-Codex rata-rata 86 persen pada Simulasi Serangan Jaringan, dibandingkan 68 persen untuk GPT-5.2-Codex dan 100 persen untuk GPT-5.2-Thinking; 72 persen pada Riset dan Eksploitasi Kerentanan, dibandingkan 75 dan 80 persen; dan 53 persen pada Evasi, dibandingkan 52 dan 53. Model ini tidak menyelesaikan satu pun tantangan di CyScenarioBench, kerangka berbasis skenario yang menguji perencanaan bertahap dalam batasan realistis. Dengan kata lain, pada rangkaian uji Irregular, model yang baru diklasifikasikan tertinggal dari model pendahulunya dalam dua dari tiga kategori — hasil yang dipublikasikan kartu tersebut tanpa diselaraskan dengan klaim ambang batasnya sendiri.

Gerbang: Akses Tepercaya untuk Cyber

Mitigasi yang memberi bentuk pada catatan tersebut adalah sebuah program, bukan filter. OpenAI meluncurkan Trusted Access for Cyber (TAC) "pada hari pertama," dengan menyebutnya sebagai "program berbasis identitas dengan akses terbatas" yang menyediakan "kemampuan siber penggunaan ganda berisiko tinggi" kepada pelanggan perusahaan serta pengguna sah dan tidak berbahaya. Kartu tersebut mencantumkan penggunaan yang didukung: pengujian penetrasi, red teaming, penilaian kerentanan, identifikasi dan eksploitasi, pengujian keamanan dan investigasi penghindaran deteksi, rekayasa balik malware, dan penelitian kriptografi.

Desain akses ini membalik urutan yang biasa. Pengguna yang sudah login mendapatkan kemampuan siber tingkat tinggi secara default, dengan tunduk pada pemantauan dan penegakan; justru pengguna yang "sering memanfaatkan fungsionalitas siber guna ganda berisiko tinggi" yang harus memverifikasi identitas mereka melalui TAC agar tetap memiliki kemampuan lanjutan. Perusahaan dapat meminta akses tepercaya untuk seluruh tim melalui perwakilan OpenAI mereka, dan peneliti yang membutuhkan model yang lebih permisif dapat mendaftar ke program khusus undangan, menurut pengumuman OpenAI sendiri tentang program tersebut. Seiring dengan itu, OpenAI berkomitmen memberikan kredit API senilai $10 juta melalui Program Hibah Keamanan Sibernya.

OpenAI menegaskan bahwa gerbang tersebut bukan jaminan. Akses diberikan "hanya untuk tujuan keamanan yang sah, defensif, dan terotorisasi," dan peserta TAC "yang sering mencari fungsionalitas tindakan berbahaya tetap akan dikenai pemantauan dan penegakan, termasuk kehilangan akses ke TAC." Pos peluncuran itu menambahkan kontrol kedua: beberapa permintaan yang dideteksi sistem sebagai risiko siber tinggi "dapat secara otomatis dialihkan dari GPT-5.3-Codex ke GPT-5.2." Fortune melaporkan pada 5 Februari bahwa OpenAI belum segera mengaktifkan akses API penuh yang memungkinkan model diotomatiskan dalam skala besar, dan bahwa model tersebut untuk sementara tersedia bagi pengguna ChatGPT berbayar.

Default sandbox dan monitor dengan tingkat miss yang dipublikasikan

Dua lapisan tambahan dijelaskan dalam istilah yang terukur. Sandbox agen berjalan di cloud di dalam "container terisolasi yang dihosting oleh OpenAI" tanpa akses ke sistem host pengguna dan akses jaringan dinonaktifkan secara default; pada instalasi lokal, sandboxing menjadi default di macOS melalui Seatbelt, di Linux melalui seccomp dan landlock, dan di Windows baik secara native maupun melalui Windows Subsystem for Linux. Default tersebut dirancang untuk menonaktifkan akses jaringan dan membatasi pengeditan file ke workspace saat ini, dan pengguna dapat menyetujui perintah tanpa sandbox, atau menetapkan allowlist dan denylist per proyek. Kartu tersebut memperingatkan bahwa mengaktifkan akses jaringan akan memunculkan kembali risiko prompt-injection, kebocoran kredensial, dan lisensi.

Lapisan pemantauan adalah sistem dua tingkat: pengklasifikasi topikal yang cepat memutuskan apakah konten terkait keamanan siber, dan apa pun yang terkait akan dieskalasi ke "penalar keselamatan" yang menempatkannya dalam taksonomi ancaman siber OpenAI dan memutuskan apakah keluaran dapat ditampilkan. Pengklasifikasi topikal disetel untuk recall lebih dari 90 persen pada keandalan sistem lebih dari 99,9 persen. Angka monitor penalaran kurang nyaman dan tercetak dalam tabel pada kartu itu sendiri: recall 77,8 persen dan presisi 37,1 persen pada prompt pengguna, recall 88,8 persen dan presisi 24,1 persen pada respons asisten. OpenAI mengatakan mereka sengaja mengoptimalkan recall di atas presisi, itulah sebabnya pekerjaan berisiko rendah terkadang diblokir — dan mengapa kira-kira satu dari lima prompt pengguna yang seharusnya tertangkap, pada set pengujian itu, tidak tertangkap.

Apa yang ditemukan oleh tim merah

Kartu tersebut menerbitkan hasil adversarial secara rinci, bukan dalam ringkasan. Dua kampanye menghabiskan 3.526 jam red teaming ahli antara Desember 2025 dan Januari 2026. Kampanye Universal Jailbreak menghabiskan 1.375 jam dan menghasilkan 21 pengajuan, enam di antaranya merupakan universal jailbreak lengkap dan 14 parsial. Kampanye Cakupan Kebijakan Adversarial menghabiskan 2.151 jam dan mengirimkan 279 laporan, menemukan 132 negatif palsu di mana penalar keselamatan seharusnya memblokir konten tetapi tidak. OpenAI menyebut jailbreak tersebut "not blocking" dan mengatakan akan diperbaiki, serta mengakui bahwa kampanye tersebut menunjukkan "Safety Reasoner masih memerlukan pengerasan iteratif terhadap serangan adversarial."

Hasil tunggal paling tajam melibatkan evaluator pemerintah. UK AI Security Institute, yang diberi akses awal ke build dengan safety reasoner diaktifkan dan memblokir, "mengembangkan jailbreak universal (dengan percobaan ulang) yang mencapai 0,778 pass@200" dalam sekitar sepuluh jam red teaming manual, menggunakan satu pesan pengguna. Bagian yang sama mencatat bahwa US Center for AI Standards and Innovation menguji kemampuan siber model dengan evaluasi otomatisnya sendiri dan menggunakannya untuk menemukan bug baru dalam perangkat lunak sumber terbuka dan tertutup, serta bahwa GPT-5.3-Codex terus membuat kemajuan pada tugas-tugas sulit di seluruh jendela pemadatan, "menemukan hasil baru bahkan setelah 50M atau lebih token unik dan puluhan jam analisis."

Kedua temuan pemerintah tersebut dilaporkan di dalam kartu OpenAI. Penelitian ini tidak menemukan evaluasi terbitan mandiri dari kedua badan tersebut yang mencakup GPT-5.3-Codex; sampai evaluasi itu muncul, pengawasan eksternal terhadap model ini diketahui publik hanya melalui keterangan vendor tentangnya. Daftar risiko residual kartu itu sendiri luar biasa terbuka tentang celah yang sama: presisi pemantauan yang terbatas menciptakan masalah peninjauan jarum dalam tumpukan jerami, "peluang bukan nol bahwa aktor jahat dapat memperoleh akses tepercaya," kegagalan vendor verifikasi identitas, dan jailbreak universal yang belum ditemukan. Dokumen itu juga menyatakan bahwa pemantauan internal terhadap penerapan Codex, yang berjalan secara asinkron selama lima bulan, "tidak melindungi dari bahaya atau mencegah subversi terhadap pengaman lain."

Apa yang berubah setelahnya

Gerbang itu bertahan lebih lama daripada peluncurannya dan terus berkembang. Axios melaporkan pada 9 April 2026 bahwa OpenAI sedang menyelesaikan produk keamanan siber terpisah untuk sejumlah kecil mitra, dan menyebut TAC telah diluncurkan pada Februari "setelah meluncurkan GPT-5.3-Codex." Pada 15 April 2026, Help Net Security melaporkan bahwa OpenAI telah memperluas TAC ke "ribuan pembela individu terverifikasi dan ratusan tim," dan merilis GPT-5.4-Cyber — varian GPT-5.4 dengan batas penolakan yang lebih rendah untuk pekerjaan keamanan yang sah dan kemampuan rekayasa balik biner — ke tingkat akses tertinggi. Pilot yang dijelaskan dalam kartu Februari telah menjadi lini produk dengan tingkatan.

Klasifikasi itu sendiri tidak tersebar sejauh gerbang aksesnya. Artikel Fortune pada 5 Februari, karya Sharon Goldman, melaporkannya secara langsung dan mengutip unggahan CEO OpenAI Sam Altman di X yang menyebut GPT-5.3-Codex sebagai "model pertama kami yang mencapai 'tinggi' untuk keamanan siber dalam kerangka kesiapan kami." The Cyber Express membahas peluncuran TAC pada 6 Februari secara rinci — tiga jalur akses, $10 juta, perilaku yang dilarang — dan sama sekali tidak menyebut peringkat High. Boston Global Forum, dalam tulisan pada 12 April, mengulang keduanya secara bersamaan. Pada pertengahan April, bagian paket yang paling banyak dikutip adalah program akses, bukan penilaian ambang batas di baliknya.

Mapan, belum mapan, dan terbuka

Yang sudah pasti: OpenAI menerbitkan kartu sistem GPT-5.3-Codex pada 5 Februari 2026 dan mengklasifikasikan model tersebut sebagai berkemampuan Tinggi dalam keamanan siber di bawah Preparedness Framework-nya; perusahaan menyatakan dalam dokumen yang sama bahwa pihaknya tidak memiliki bukti definitif bahwa model itu mencapai ambang tersebut dan bertindak secara preventif; angka evaluasi di atas adalah miliknya sendiri; TAC diluncurkan bersama model tersebut; sandbox dan monitor dua tingkat didokumentasikan pada tingkat detail yang dikutip di sini; dan jam red-team, jumlah pengajuan, serta angka jailbreak UK AISI semuanya tercetak di kartu tersebut. Fortune melaporkan klasifikasi itu pada hari yang sama, mengutip unggahan Altman di X. Satu keanehan penanggalan yang perlu dicatat: metadata halaman unggahan peluncuran itu sendiri memuat stempel waktu 4 Februari 22:23 GMT, sementara kartu sistem dan liputan Fortune bertanggal 5 Februari.

Yang belum terbukti: bahwa GPT-5.3-Codex benar-benar memenuhi ambang High milik OpenAI. Itu adalah catatan keberatan OpenAI sendiri, bukan dari kritikus. Penelitian ini juga tidak menemukan sertifikasi eksternal apa pun atas peringkat tersebut, penilaian regulator atau lembaga nasional yang dipublikasikan atas model ini, atau pengukuran apa pun tentang apakah stack berlapis itu mengurangi penyalahgunaan di dunia nyata — catatan tersebut tidak memuat bahaya karena tidak ada bahaya yang dicatat, bukan karena tidak ada yang terjadi. Klaim kartu tersebut bahwa model ini adalah yang pertama melewati ketiga ambang internal adalah pernyataan tentang rangkaian benchmark OpenAI, yang menurut dokumen yang sama merupakan bukti yang diperlukan tetapi tidak cukup untuk kemampuan yang hendak dideteksinya.

Yang masih terbuka: apakah gerbang identitas ditambah pemantau yang melewatkan sekitar seperlima prompt pengguna yang ditandai merupakan jawaban yang bertahan lama bagi model yang diklasifikasikan berdasarkan kehati-hatian alih-alih bukti; apakah regresi yang tampak pada model terhadap GPT-5.2-Thinking di suite eksternal Irregular berarti apa pun setelah perbedaan harness dan elisitasi diperhitungkan; dan berapa banyak kesenjangan antara pilot Februari dan lini produk April yang direncanakan, bukan dipelajari. Entri arsip mencatat klasifikasi tersebut. Sisanya masih ditulis oleh orang-orang yang menjalankan gerbang.

Catatan ini adalah peristiwa tata kelola, dan bunyinya memang seperti itu: sebuah perusahaan menuliskan, sebelum terjadi insiden apa pun, bahwa ia menduga salah satu modelnya sendiri mungkin telah melewati batas yang belum dapat diukurnya, dan membangun gerbang berdasarkan dugaan itu. Apakah gerbang itu proporsional adalah pertanyaan yang sengaja dibiarkan terbuka oleh kartu tersebut — kartu itu hanya menyatakan bahwa risikonya "cukup diminimalkan," dan mencantumkan enam cara yang mungkin membuatnya tidak demikian.