OpenAI kon een kritieke cybercapaciteit in Astra niet uitsluiten en legde slechts een deel van zijn werk stil.

Op vrijdag 7 augustus 2026 publiceerde OpenAI een bericht waarin OpenAI zei dat zijn nieuwste interne evaluaties van Astra, een van zijn toekomstige modellen, "aanzienlijke vooruitgang in agentisch programmeren en cyberbeveiliging" aangaven, en dat OpenAI niet kon uitsluiten dat het model Critical — het hoogste cyberniveau in zijn Preparedness Framework. De conclusie werd "afgelopen nacht" bereikt, aldus het bericht, na meerdere dagen testen. Er is niets beschadigd: het bericht beschrijft evaluaties, geen inbraak, en OpenAI stelde dat Astra "niet betrokken was bij het exploiteren van Hugging Face." Wat veranderde, was intern — ontwikkeling die niet voldeed aan de versterkte beveiligingscontroles, werd gepauzeerd, terwijl werk dat wel voldeed, werd voortgezet. De mensen die het meest direct betroffen zijn, zijn de ontwikkelaars van OpenAI, samen met de testers en verdedigers die uiteindelijk toegang zouden krijgen. Het verslag van de beslissing is één vermelding in het AI-incidentenarchief, dat de bronnen, beoordeling en naburige vermeldingen van dit incident bevat.

Voor een governance-gebeurtenis is het opvallende juist hoe weinig het bericht claimt. Het meldt geen score, geen testresultaat, geen transcript en geen met naam genoemde externe evaluator. Het meldt een oordeel: dat OpenAI op basis van de beschikbare bewijzen niet kon uitsluiten dat er een capaciteitsniveau was dat het nooit eerder aan een van zijn modellen had toegekend. Dat maakt dit verslag de moeite waard om op twee manieren tegelijk te lezen: als een openbaarmaking over een model, en als een test of het eigen veiligheidskader van een bedrijf verandert wat het bedrijf doet.

Wat "Critical" betekent in het kader van OpenAI

Het Preparedness Framework, eerst gepubliceerd in december 2023 en herzien in versie 2 op 15 april 2025, volgt drie categorieën: biologische en chemische capaciteiten, cybersecurity en zelfverbetering van AI. Elk heeft twee capaciteitsniveaus, Hoog en Kritiek. De cyberdrempel verschijnt in bijna identieke bewoordingen in zowel het framework als OpenAI's bericht van augustus: een model bereikt Kritiek als het "functionele zero-day-exploits van alle ernstniveaus in veel geharde, kritieke systemen in de echte wereld kan identificeren en ontwikkelen zonder menselijke tussenkomst", of als het "end-to-end nieuwe strategieën voor cyberaanvallen tegen geharde doelen kan bedenken en uitvoeren, met alleen een gewenst doel op hoog niveau."

High is de laag daaronder. In OpenAI's bericht staat dat eerdere modellen, "waaronder GPT-5.6 Sol", werden geëvalueerd op frontier-cybercapaciteiten en als High werden ingeschat, niet als Critical. Dat onderscheid is belangrijk, omdat het kader aan elk van beide andere verplichtingen verbindt. Voor een model dat Critical bereikt, vereist het kader waarborgen die "de bijbehorende risico's tijdens de ontwikkeling voldoende minimaliseren, ongeacht de plannen voor inzet." Zijn cyber-tabel is stelliger: "Totdat we waarborgen en normen voor beveiligingscontroles hebben vastgelegd die aan een Critical-norm voldoen, moet de verdere ontwikkeling worden stopgezet."

De bewoording van 7 augustus is geen benaming. In de post staat dat "voorlopige evaluaties wijzen op een voldoende sterk prestatievermogen dat we het niveau Critical capability op dit moment niet kunnen uitsluiten." Het bedrijf was nog bezig met benchmarking, en dat gaf het ook zelf aan.

Wat OpenAI deed, en wat de pauze omvatte

De post noemt vijf interne maatregelen, allemaal gepresenteerd als voorwaarden om het werk voort te zetten in plaats van als redenen om het te stoppen:

Strengere beveiligingsmaatregelen voor modellen met hogere capaciteiten en gerelateerde activiteit: "geïsoleerde testomgevingen, beperkte netwerk- en tooltoegang, verbeterde bescherming en versleuteling van modelgewichten, extra monitoring- en detectiemogelijkheden, en uitvoering in een sandbox."

• Een pauze op "interne activiteiten waarbij Astra betrokken is die nog niet aan deze strengere eisen voor beveiligingsmaatregelen voldoen." Werk dat daaraan voldoet, kon doorgaan.

• "Universele monitoring van risicovolle acties en misalignment voor alle agentische toepassingen van Astra, inclusief training en evaluatie," waarbij monitoren de gedachteketen van het model lezen en een beveiligingsreactie activeren om hoogrisicovolle activiteit te beoordelen en te onderbreken.

• Testen met "relevante overheidsinstanties en een selectie van AI-veiligheidsorganisaties."

• Aanbevolen beveiligingsmaatregelen voor externe testpartners die risicovollere evaluaties en workloads uitvoeren.

OpenAI beschreef het precedent zelf. "In juni 2025, toen onze modellen de hoge capaciteitsgrens voor biologie onder het Preparedness Framework naderden," aldus de post, schetste het bedrijf stappen om de beveiligingen te versterken, tests uit te breiden, samen te werken met externe experts en veiligheidscontroles toe te voegen, en het "paste hier hetzelfde principe toe." Het detail dat de moeite waard is om te behouden, is de tier: OpenAI's eigen beschrijving plaatst dat biologiegeval van juni 2025 op High, één niveau onder de cyberbeoordeling die het nu openbaar maakte.

De onmiddellijke reactie in de pers was dat een lab op de rem had getrapt. The Next Web, die op 7 augustus om 17:36 UTC publiceerde, beschreef een pauze van "een deel van het interne werk" terwijl de tests doorgingen, en meldde dat Axios het "mogelijk de eerste keer noemde dat een grensverleggend lab een van zijn eigen modellen heeft vertraagd vanwege cyberrisico." Dat is een faire beschrijving van de aankondiging. Het is niet hetzelfde als een stop, en het bericht beweert dat ook niet.

Wat de post van 7 augustus niet vaststelt

De kloof tussen "niet kunnen uitsluiten" en "heeft bereikt" vormt de hele onzekerheid van het verslag, en het bericht probeert die niet te dichten. Het noemt geen benchmarknaam, geen succespercentage, geen aantal gevonden kwetsbaarheden, geen beschrijving van de geteste systemen, geen transcript, geen onafhankelijke beoordeling en geen releasedatum. Het zegt niet welke van de twee Critical-voorwaarden Astra naderde, of in welke mate. Het zegt alleen dat het bewijs sterk genoeg was dat het bedrijf de hoogste tier niet kon uitsluiten.

Het register stelt dus, op die datum, een mededeling en een reactie vast — niet een gemeten vermogen. Het oordeel over het vermogen is OpenAI's eigen oordeel, gebaseerd op interne evaluaties die het niet had gepubliceerd; OpenAI noemde geen externe beoordelaar, en geen enkel extern lab had Astra publiekelijk getest tegen de Critical-definitie. De vermelding is ingeschaald op het hoogste betrouwbaarheidsniveau, gemarkeerd als onbetwist en geregistreerd zonder werkelijke schade, wat past bij wat het bericht daadwerkelijk bevat: een bedrijfsverklaring, geen incidentrapport.

Wat gebeurde er daarna?

Op 1 september 2026 was de voorlopige formulering veranderd. In een vervolgartikel met de kop "Pad naar Astra: kritieke capaciteiten en grensbeveiligingen," schreef OpenAI: "We zijn nu van mening dat Astra de drempel voor kritieke cybersecuritycapaciteiten onder ons Preparedness Framework voldoet... Het is het eerste model dat we op dit niveau aanwijzen."

Dezelfde post leverde de details die de openbaarmaking van augustus had weggelaten. Het is de moeite waard ze naar soort te onderscheiden:

• Benchmarks.Astra scoorde 100% op ExploitBench, een openbare benchmark om bekende kwetsbaarheden om te zetten in exploits. Uit bezorgdheid over contaminatie bouwde OpenAI ook een interne port met 20 ernstige V8-kwetsbaarheden die tussen juni en augustus 2026 werden geopenbaard; op die set ontdekte en gebruikte Astra, aldus het bericht, "twee zero-day-kwetsbaarheden als onderdeel van een exploitketen", waarvan OpenAI zei dat het deze aan de maintainers aan het openbaren was.

• Door experts geleide beoordelingen. Tegen een geharde browser bouwde Astra een keten die de sandbox ontsnapte en opdrachten op de host uitvoerde; de systeemkaart vermeldt dat het eerste succes 29 uur kostte tegen een build waarvan experts vaststelden dat die enkele productiemitigaties miste, en dat het aanpassen van de exploit aan de officiële stabiele release nog eens 12 uur kostte. Tegen een gehard besturingssysteem combineerde het kwetsbaarheden tot een lokale privilege-escalatie van een niet-beprivilegieerde gebruiker naar root binnen 12 uur.

• Weigeringspercentages. Bij OpenAI's cyber-jailbreak-evaluaties weigerde Astra 91,5% van de verzoeken, tegenover 59% voor GPT-5.6 Sol — een cijfer dat de systeemkaart overneemt.

• Een onafhankelijke controle, met een beperking. De systeemkaart, gepubliceerd op 3 september 2026 voor het model dat OpenAI die dag uitbracht als GPT-6 Astra, bevat een externe evaluatie door het beveiligingslab Irregular. Irregular stelde vast dat Astra 86 van 226 FrontierCyber-uitdagingen oploste, tegenover 34 van 226 voor GPT-5.6 Sol, waaronder zero-days die browsers, mobiele telefoons en clouddatabases betroffen. Het zag ook geen succesvolle aanvallen op volledig geharde doelen, en geen van beide modellen loste een van de zeven Elite-uitdagingen op.

De post van 1 september onthulde ook de vorm van de pauze. OpenAI zei dat het "delen van Astra's ontwikkeling en release" in de afgelopen paar weken had "uitgesteld", en dat het "de grote frontier-RL-run die eerder was gepauzeerd" opnieuw had gestart op 28 augustus 2026, nadat de nieuwe veiligheids- en beveiligingsvereisten van kracht waren. De toegang was gelaagd: geavanceerd cybersecuritywerk zou eerst naar een kleine groep testers gaan, waarna het Daybreak Blue-programma volgde.

Vastgesteld, voorlopig en niet vastgesteld

• Vastgesteld. OpenAI publiceerde de openbaarmaking op 7 augustus 2026 en stelde dat het een kritieke cybercapaciteit in Astra niet kon uitsluiten; het noemde de beheersmaatregelen en de hierboven beschreven gedeeltelijke pauze. The Next Web meldde het bericht diezelfde dag, en Axios behandelde het als een vertraging vanwege cyberrisico.

• Later vastgesteld. Op 1 september 2026 wees OpenAI Astra aan als het model dat aan de Critical threshold voldoet — het eerste model dat het bedrijf op dat niveau aanwees — en publiceerde resultaten van benchmarks en expertbeoordelingen. De systeemkaart van 3 september vermeldt hetzelfde weigeringscijfer en de Irregular externe evaluatie.

• Voorlopig en zelf beoordeeld. De capaciteitsbevinding is afkomstig van OpenAI, op basis van de evaluaties van OpenAI. Op 7 augustus had geen enkel extern lab het model publiekelijk getest tegen de Critical-definitie, en in het bericht werd geen externe beoordelaar genoemd. De latere externe controle, door Irregular, is beperkter dan de benaming en stelde expliciet vast dat er geen succesvolle aanvallen waren op volledig geharde doelen.

• Niet vastgesteld. Dat Astra op 7 augustus daadwerkelijk de kritieke drempel bereikte; het bericht zegt alleen dat het bedrijf het niet kon uitsluiten. Dat een echt systeem gecompromitteerd was: de registratie vermeldt geen schade, en OpenAI stelde dat Astra niet betrokken was bij het Hugging Face-incident. Evenmin is vastgesteld dat de gedeeltelijke pauze voldeed aan de eigen formulering 'verdere ontwikkeling stopzetten' van het raamwerk — OpenAI zette werk voort dat aan zijn nieuwe controles voldeed, en het bedrijf, niet een externe instantie, beoordeelde of die controles voldoende waren.

De governancevraag die het verslag openlaat

Het kader is een zelfbindend instrument. Het verplicht OpenAI tot drempels en waarborgen, en laat de beoordeling en het oordeel over de toereikendheid aan OpenAI, met interne beoordeling door zijn Safety Advisory Group en toezicht door de raad van bestuur. De post van 7 augustus beschrijft overleg — overheidsinstanties en "een selecte groep AI-veiligheidsorganisaties" zouden het model testen — maar noemt geen toezichthouder, publiceert geen criteria en stelt geen datum vast. Niets in het verslag toont aan dat een externe partij die beslissing toetst.

Wat het verslag wel laat zien, is dat de machinerie in beweging kwam. Een capaciteitsbeoordeling veranderde de interne praktijk binnen een dag: controles werden strakker, sommige werkzaamheden stopten, het toezicht werd uitgebreid naar training en evaluatie, en de toegang tot de meest capabele functies werd later beperkt tot testers. Dat is meer dan een persbericht, en minder dan een externe verificatie.

Het onopgeloste deel is het deel dat het kader niet zelf kan beslechten. ‘Niet uit te sluiten’ is een uitspraak over bewijs, niet over capaciteit, en laat het aan het bedrijf om te beslissen hoeveel bewijs genoeg is voordat het hervat. OpenAI herstartte de grote trainingrun op 28 augustus, kende het model op 1 september de status Critical toe en bracht het op 3 september uit als GPT-6 Astra. Elke stap is gedocumenteerd. Of elke stap op het moment dat ze gebeurde had moeten plaatsvinden, is een beoordeling die het verslag vastlegt maar niet beantwoordt.