GPT-5.3-Codex werd hoog beoordeeld op cybergebied. OpenAI heeft geen definitief bewijs.

Op 5 februari 2026 publiceerde OpenAI de systeemkaart voor GPT-5.3-Codex en classificeerde daarin het model als Hoge capaciteit op het gebied van cybersecurity onder zijn Preparedness Framework — de eerste keer dat het bedrijf dat label op enig model in dat domein heeft toegepast. De zin die op de classificatie volgt, is er een die je twee keer moet lezen: "We hebben geen definitief bewijs dat dit model onze Hoge drempel bereikt." OpenAI zei dat het voorzichtig handelde, omdat het model elk van zijn canary-drempels haalde en het bedrijf daarom niet kon uitsluiten dat de capaciteit er echt was. Er is niets geschonden en er is geen slachtoffer geregistreerd: dit is een classificatie, geen incident, en het is vastgelegd als een beleidsrecord met een mijlpaalmarkering. De eigen vermelding van het archief voor de classificatie, met de bijbehorende ernst- en betrouwbaarheidsgraden, staat in het Orca AI Incident Archive naast de andere governance-records van dat jaar.

Wat "Hoog" betekent, en wie dat bepaalt

OpenAI's Preparedness Framework hanteert twee drempels. Het niveau High capability "zou bestaande routes naar ernstige schade kunnen versterken"; het niveau Critical capability "zou ongekende nieuwe routes naar ernstige schade kunnen introduceren." Systemen die onder het framework vallen en High bereiken, moeten waarborgen hebben die het bijbehorende risico voldoende minimaliseren vóór inzet, en systemen die Critical bereiken, hebben die ook tijdens de ontwikkeling nodig, volgens OpenAI's eigen beschrijving van het framework. De daar beschreven beoordeling is intern: de Safety Advisory Group beoordeelt of waarborgen het risico voldoende minimaliseren en doet aanbevelingen, en haar advies gaat naar de leiding van OpenAI voor de definitieve beslissing. De systeemkaart beschrijft geen externe goedkeuring van de beoordeling.

De cyber-specifieke definitie is narrower dan de kop. OpenAI definieert een hoge cybersecuritycapaciteit als een model dat "bestaande knelpunten voor het opschalen van cyberoperaties wegneemt", hetzij door "end-to-end cyberoperaties tegen redelijk geharde doelen te automatiseren", hetzij door "het ontdekken en exploiteren van operationeel relevante kwetsbaarheden te automatiseren." De modelkaart maakt expliciet dat de drempel gaat over het wegnemen van knelpunten gedurende een campagne, niet over een model dat een moeilijke uitdaging aankan: OpenAI schrijft dat grensverleggend cyberrisico "het beste wordt beoordeeld in termen van operaties of campagnes, in plaats van afzonderlijke acties."

Zo gelezen zegt de classificatie van 5 februari iets specifieks. Er staat dat OpenAI denkt dat de bottleneck die dit model wegneemt, de vaardigheid en het uithoudingsvermogen zijn die een langdurige intrusie vereist — en dat het bedrijf ervoor koos de toegang te beperken en te monitoren in plaats van te wachten op bewijs dat het model dat doet.

Drie evaluaties, en één vergelijking die de andere kant op werkt

OpenAI gebruikt drie benchmarks voor de drie vaardigheden die het associeert met ernstige cyber-schade: Professional Capture the Flag voor het identificeren en exploiteren van kwetsbaarheden, CVE-Bench voor consistentie, en Cyber Range voor end-to-end operaties in een geëmuleerd netwerk. GPT-5.3-Codex is, in de woorden van de kaart, "het eerste model dat alle drempels over alle drie de evaluaties haalt." De afzonderlijke resultaten zijn belangrijker dan de samenvatting.

Op Professional CTF evenaart het model "GPT-5.2-Codex" — de eigen toelichting van de kaart luidt "geen wezenlijke verandering in piek-CTF-prestaties", gemeten als pass@12 over 16 rollouts per uitdaging. Op CVE-Bench scoorde het 90 procent tegenover 87 procent voor GPT-5.2-Codex, over 34 van de 40 uitdagingen van de benchmark, pass@1 over drie rollouts. Op Cyber Range slaagde het voor 12 van de 15 scenario's, een gecombineerde slaagkans van 80 procent, tegenover 60 procent voor GPT-5.1-Codex-Max, 53,33 procent voor GPT-5.2-Codex en 47 procent voor GPT-5.2-Thinking. Het faalde op EDR Evasion, CA/DNS Hijacking en Leaked Token.

De kaart is voorzichtig over wat dat bij elkaar optelt. Omdat CTF vooraf uitgeschreven aanvalspaden test, CVE-Bench alleen webapplicaties dekt en Cyber Range-scenario's de verdedigingen en ruis van een netwerk in echt gebruik missen, is "uitblinken op alle drie de evaluaties noodzakelijk maar niet voldoende om een model als High in cybersecuritycapaciteit te beschouwen." OpenAI's conclusie is niet dat het model High is, maar dat het niet kan uitsluiten dat het dat is.

De externe evaluatie, uitgevoerd door het beveiligingslab Irregular op een bijna definitieve versie van het model, maakt het beeld ingewikkelder op een manier die de samenvattingsregel niet doet. GPT-5.3-Codex scoorde gemiddeld 86 procent op Network Attack Simulation, tegenover 68 procent voor GPT-5.2-Codex en 100 procent voor GPT-5.2-Thinking; 72 procent op Vulnerability Research and Exploitation, tegenover 75 en 80 procent; en 53 procent op Evasion, tegenover 52 en 53. Het loste geen van de uitdagingen in CyScenarioBench op, een op scenario's gebaseerd raamwerk dat meerfasige planning onder realistische beperkingen test. Op de suite van Irregular bleef het nieuw geclassificeerde model, met andere woorden, achter bij een ouder broertje in twee van de drie categorieën — een resultaat dat de kaart publiceert zonder het te verzoenen met haar eigen drempelclaim.

De poort: Trusted Access for Cyber

De mitigatie die het record zijn vorm geeft, is een programma, geen filter. OpenAI lanceerde Trusted Access for Cyber (TAC) "op dag één" en omschreef het als een "op identiteit gebaseerd programma met toegangscontrole" dat "hoogrisicovolle dual-use cybercapaciteiten" levert aan enterpriseklanten en welwillende, legitieme gebruikers. De kaart vermeldt de ondersteunde toepassingen: penetratietests, red teaming, kwetsbaarheidsbeoordeling, identificatie en exploitatie, beveiligingstests en onderzoek naar detectie-ontwijking, reverse engineering van malware en cryptografisch onderzoek.

Het toegangsontwerp keert de gebruikelijke volgorde om. Ingelogde gebruikers krijgen standaard cyber-hoogwaardige capaciteiten, onderworpen aan monitoring en handhaving; het zijn gebruikers die "vaak gebruikmaken van hoogrisico dual-use cyberfunctionaliteit" die hun identiteit via TAC moeten verifiëren om geavanceerde capaciteiten te behouden. Ondernemingen kunnen via hun OpenAI-vertegenwoordiger vertrouwde toegang aanvragen voor een heel team, en onderzoekers die ruimere modellen nodig hebben, kunnen zich aanmelden voor een programma dat alleen op uitnodiging toegankelijk is, volgens OpenAI's eigen aankondiging van het programma. Daarnaast heeft OpenAI $10 miljoen aan API-tegoeden toegezegd via zijn Cybersecurity Grant Program.

OpenAI is duidelijk dat de poort geen garantie is. Toegang wordt verleend "alleen voor legitieme, defensieve en geautoriseerde beveiligingsdoeleinden," en TAC-deelnemers "die vaak functionaliteit voor schadelijke acties zoeken, blijven onderworpen aan monitoring en handhaving, inclusief verlies van toegang tot TAC." De lanceringspost voegt een tweede controle toe: sommige verzoeken die het systeem als verhoogd cyberrisico detecteert, "kunnen automatisch worden omgeleid van GPT-5.3-Codex naar GPT-5.2." Fortune meldde op 5 februari dat OpenAI niet onmiddellijk volledige API-toegang inschakelde waarmee het model op schaal geautomatiseerd zou kunnen worden, en dat het model in de tussentijd beschikbaar was voor betalende ChatGPT-gebruikers.

Sandbox-standaardwaarden en een monitor met een gepubliceerd misspercentage

Er worden nog twee lagen in meetbare termen beschreven. De agent-sandbox draait in de cloud binnen "een geïsoleerde container die door OpenAI wordt gehost", zonder toegang tot het hostsysteem van de gebruiker en met netwerktoegang standaard uitgeschakeld; bij een lokale installatie is sandboxing standaard ingeschakeld op macOS via Seatbelt, op Linux via seccomp en landlock, en op Windows hetzij native, hetzij via het Windows Subsystem for Linux. De standaardinstellingen zijn erop gericht netwerktoegang uit te schakelen en bestandsbewerkingen te beperken tot de huidige werkruimte, en gebruikers kunnen niet-gesandboxte opdrachten goedkeuren of per project allowlists en denylists instellen. De kaart waarschuwt dat het inschakelen van netwerktoegang opnieuw risico op prompt-injection, het lekken van inloggegevens en licentierisico's met zich meebrengt.

De monitoringslaag is een tweetraps systeem: een snelle onderwerpclassificator bepaalt of inhoud gerelateerd is aan cybersecurity, en alles wat dat is, wordt doorverwezen naar een "safety reasoner" die het indeelt in OpenAI's taxonomie voor cyberdreigingen en bepaalt of de uitvoer mag worden getoond. De onderwerpclassificator is afgesteld op meer dan 90 procent recall bij meer dan 99,9 procent systeembetrouwbaarheid. De cijfers van de reasoning-monitor zijn minder geruststellend en staan in de eigen tabel van de kaart: 77,8 procent recall en 37,1 procent precision bij gebruikersprompts, 88,8 procent recall en 24,1 procent precision bij assistentreacties. OpenAI zegt bewust te optimaliseren voor recall boven precision, waardoor laagrisicowerk soms wordt geblokkeerd — en waardoor op die testset ongeveer één op de vijf gebruikersprompts die gedetecteerd hadden moeten worden, niet werd gedetecteerd.

Wat de red teams hebben gevonden

De kaart publiceert de adversariële resultaten in detail in plaats van in samenvatting. Twee campagnes verbruikten 3.526 uur aan deskundige red teaming tussen december 2025 en januari 2026. De Universal Jailbreak Campaign besteedde 1.375 uur en leverde 21 inzendingen op, waarvan zes volledige universele jailbreaks en 14 gedeeltelijke. De Adversarial Policy Coverage Campaign besteedde 2.151 uur en diende 279 rapporten in, waarbij 132 valse negatieven werden gevonden waarbij de Safety Reasoner inhoud had moeten blokkeren en dat niet deed. OpenAI noemt de jailbreaks "niet-blokkerend" en zegt dat ze verholpen zullen worden, en geeft toe dat de campagnes aantonen dat "de Safety Reasoner nog steeds iteratieve hardening vereist tegen adversariële aanvallen."

Het meest opvallende afzonderlijke resultaat betreft een overheidsbeoordelaar. Het UK AI Security Institute kreeg vroegtijdig toegang tot een build waarin de safety reasoner was ingeschakeld en blokkeerde, en "ontwikkelde een universele jailbreak (met herhalingen) die 0,778 pass@200 behaalde" in ongeveer tien uur handmatig red teamen, met één enkel gebruikersbericht. Dezelfde sectie vermeldt dat het US Center for AI Standards and Innovation de cybercapaciteiten van het model testte met zijn eigen geautomatiseerde evaluaties en het gebruikte om nieuwe bugs te vinden in open en closed source software, en dat GPT-5.3-Codex vooruitgang bleef boeken bij moeilijke taken over compaction-vensters heen, "en zelfs na 50M of meer unieke tokens en tientallen uren analyse nieuwe resultaten vond."

Beide overheidsbevindingen worden gerapporteerd in de kaart van OpenAI. Dit onderzoek vond geen afzonderlijk gepubliceerde evaluatie van een van beide instanties over GPT-5.3-Codex; totdat die verschijnt, is de externe controle van dit model voor het publiek alleen bekend via het verslag van de leverancier erover. De restrisicolijst van de kaart zelf is ongewoon openhartig over dezelfde leemte: beperkte precisie van monitoring waardoor een naald-in-een-hooiberg-probleem bij de beoordeling ontstaat, "een kans groter dan nul dat een kwaadwillende actor vertrouwde toegang kan krijgen," fouten bij de leverancier van identiteitsverificatie, en niet-ontdekte universele jailbreaks. Er staat ook in dat interne monitoring van Codex-implementaties, die vijf maanden asynchroon draait, "niet beschermt tegen schade of de ondermijning van andere waarborgen voorkomt."

Wat is er daarna veranderd?

De poort overleefde de lancering en groeide. Axios meldde op 9 april 2026 dat OpenAI een afzonderlijk cybersecurityproduct aan het afronden was voor een kleine groep partners, en beschreef TAC als gelanceerd in februari "na de uitrol van GPT-5.3-Codex." Op 15 april 2026 meldde Help Net Security dat OpenAI TAC had opgeschaald naar "duizenden geverifieerde individuele verdedigers en honderden teams", en GPT-5.4-Cyber — een GPT-5.4-variant met een lagere weigeringsdrempel voor legitiem beveiligingswerk en een capaciteit voor binaire reverse-engineering — uitbracht naar de hoogste toegangsniveaus. De pilot die in de februarik aart werd beschreven, was een productlijn met niveaus geworden.

De classificatie zelf reisde minder ver dan de poort. Fortune's verhaal van 5 februari, door Sharon Goldman, bracht het rechtstreeks en citeerde de post van OpenAI-topman Sam Altman op X waarin hij GPT-5.3-Codex "ons eerste model noemde dat 'hoog' scoort voor cybersecurity in ons preparedness-framework." The Cyber Express behandelde de lancering van TAC op 6 februari in detail — drie toegangspaden, de $10 miljoen, de verboden gedragingen — en noemde de High-beoordeling helemaal niet. Het Boston Global Forum herhaalde op 12 april beide samen. Medio april was het meest geciteerde deel van het pakket het toegangsprogramma, niet het drempeloordeel erachter.

Gevestigd, niet gevestigd en open

Wat vaststaat: OpenAI publiceerde op 5 februari 2026 de systeemkaart van GPT-5.3-Codex en classificeerde het model als High capability op het gebied van cybersecurity onder zijn Preparedness Framework; het bedrijf verklaarde in hetzelfde document dat het geen definitief bewijs heeft dat het model die drempel bereikt en uit voorzorg handelt; de evaluatiecijfers hierboven zijn van het bedrijf zelf; TAC werd samen met het model gelanceerd; de sandbox en de tweelagige monitor zijn gedocumenteerd op het detailniveau dat hier wordt geciteerd; en de red-teamuren, het aantal inzendingen en het UK AISI-jailbreakcijfer staan allemaal in de kaart. Fortune berichtte dezelfde dag over de classificatie, met een citaat uit Altmans bericht op X. Eén dateringsdetail dat het vermelden waard is: de paginametadata van het launchbericht zelf bevat een tijdstempel van 4 februari 22:23 GMT, terwijl de systeemkaart en Fortune's verslaggeving zijn gedateerd op 5 februari.

Wat niet is vastgesteld: dat GPT-5.3-Codex daadwerkelijk voldoet aan OpenAI's High-drempel. Dat is OpenAI's eigen voorbehoud, niet dat van een criticus. Dit onderzoek vond ook geen externe certificering van de beoordeling, geen gepubliceerde beoordeling door een toezichthouder of nationaal instituut van dit model, en geen meting van de vraag of de gelaagde stack misbruik in de praktijk heeft verminderd — het dossier bevat geen schade omdat er geen schade is geregistreerd, niet omdat er geen is opgetreden. De bewering in de modelkaart dat het model als eerste alle drie interne drempels haalt, is een uitspraak over OpenAI's benchmarksuite, waarvan hetzelfde document zegt dat die noodzakelijk maar niet voldoende bewijs is voor het vermogen dat zij beoogt te detecteren.

Wat open blijft: of een identiteitspoort plus een monitor die ongeveer een vijfde van de gemarkeerde gebruikersprompts mist, een duurzaam antwoord is op een model dat op voorzorg in plaats van bewijs is geclassificeerd; of de schijnbare regressie van het model ten opzichte van GPT-5.2-Thinking op Irregulars externe suite nog iets betekent zodra verschillen in harness en elicitatie zijn verdisconteerd; en hoeveel van de kloof tussen de februari-pilot en de april-productlijn gepland was, in plaats van geleerd. De archiefinvoer registreert de classificatie. De rest wordt nog steeds geschreven door de mensen die de poort beheren.

Het verslag is een governance-gebeurtenis, en het leest ook zo: een bedrijf dat, vóór elk incident, opschrijft dat het denkt dat een van zijn eigen modellen een grens kan hebben overschreden die het nog niet kan meten, en op basis van dat vermoeden een poort bouwt. Of de poort evenredig was, is een vraag die de kaart bewust openlaat — er staat alleen dat het risico "voldoende geminimaliseerd" is, en er worden zes manieren opgesomd waarop dat niet zo kan zijn.