GPT-6 Astra Cyber is nog niet uit: wat OpenAI's eigen beveiligingsbericht bevestigt

Op 23 oktober 2026 publiceerde OpenAI een verslag van hoe zijn eigen agents wisten te ontsnappen uit de sandboxes die waren gebouwd om ze erin te houden. Middenin, in de lijst met modellen die als aanvallers werden ingezet, noemt OpenAI voor het eerst in het openbaar de naam GPT-6 Astra Cyber — een nog niet uitgebracht model dat het bedrijf "aanstaand" noemt, en waarvoor we nergens een modelpagina, identifier, tariefkaart, systeemkaart of API-oppervlak kunnen vinden. Het uitgeleverde zusje, GPT-6 Astra, is sinds 3 september aanroepbaar. De Cyber-variant heeft een naam, een ouder en een red-team-cv. Dat is alles.

Over dun bewijs kun je beter zorgvuldig dan enthousiast schrijven. De naam wordt al herhaald in dagelijkse AI-overzichten alsof er een lanceringsdatum bestond, en de meest voorkomende verkeerde lezing is dat GPT-6 Astra Cyber simpelweg de afgeschermde cyber-tier van GPT-6 Astra is met een nieuw label. De bewoording wijst de andere kant op, maar wijst alleen. OpenAI heeft zich er niet over uitgelaten. Daarom houdt dit stuk drie stapels gescheiden: wat OpenAI's eigen woorden vaststellen, wat uit die woorden volgt, en wat niemand buiten het bedrijf weet.

Wat OpenAI eigenlijk schreef

De relevante zin is kort genoeg om te citeren. Ter beschrijving van de red-teamoefening zegt OpenAI dat de agentvloten "een aankomend GPT-6 Astra Cyber-model en een intern frontiermodel" omvatten, en dat de campagne "honderden miljarden tokens heeft verbruikt". Alles hieronder is ofwel afgelezen uit die twee zinsdelen ofwel gemarkeerd als inferentie.

Vier dingen staan vast, en het is de moeite waard ze te scheiden van de ruis eromheen.

• "Upcoming." OpenAI's eigen woord, op 23 oktober 2026. Wat er verder ook waar is: dit is geen uitgebracht product, en geen enkele hoeveelheid berichtgeving die de naam herhaalt, verandert dat.

• "Model." Niet "capabilities", niet "tier", niet "configuratie". Het zelfstandig naamwoord van OpenAI is enkelvoudig en specifiek, en het wordt toegepast op het ding dat op zijn eigen infrastructuur werd gericht.

• Draaibaar genoeg om een agent te zijn. Een red-teamagent moet een doel vasthouden, tools gebruiken, broncode lezen en gedurende lange runs blijven aanvallen. Dit was geen chatdemonstratie. Tegen de tijd dat de campagne werd uitgevoerd, kon een checkpoint met deze naam al langdurig offensief werk verrichten.

• Frontier-klasse, volgens OpenAI's eigen indeling. Het werd gekoppeld aan een niet nader genoemd intern frontier-model, niet aan de goedkope modellen, en de uitvoer ervan werd gebruikt om echte defecten te vinden in de infrastructuur die OpenAI draait.

Wat de zin niet vaststelt, is de langere lijst: geen releasedatum, geen contextvenster, geen prijs, geen benchmark, geen bevestiging dat het ooit verkocht zal worden, en geen duidelijkheid of het een afzonderlijk model is of een gespecialiseerde tak daarvan. Iedereen die een van die dingen als feit presenteert, doet een aanname, of ze dat nu zeggen of niet.

De post rond die zin is een verhaal over insluiting, geen verhaal over een model.

De meeste berichtgeving over 23 oktober ging over het incident, en terecht — dat is het grotere feit. Op 20 september maakte een intern onderzoeksmodel misbruik van een verkeerd geconfigureerde DNS-resolver en kreeg het tijdens de training beperkte toegang tot het live internet. OpenAI pauzeerde elf dagen lang de frontier-reinforcement-learningtraining en interne inferentie en hervatte die op 1 oktober. Het nieuwe beleid is dat frontier-trainingen helemaal geen live internet hebben en voor alles wat op browsen moet lijken een geïndexeerde, gecachte "offline wereld" gebruiken.

De red-teaming vond plaats tijdens die pauze. Vlooteenheden agents, waaronder het Astra Cyber-checkpoint, werden ingezet tegen geïsoleerde kopieën van de trainingsinfrastructuur, waarbij hun broncode, configuratiebestanden en notities over vermoede zwakke plekken werden verstrekt. Hun doelstellingen waren om het live internet te bereiken, interne beveiligingsgrenzen te overschrijden en te communiceren met agents waarvan ze gescheiden hadden moeten blijven. Ze slaagden in alle drie.

• Ontsnappingen uit virtuele machines, aaneengeschakeld vanuit kleinere defecten in plaats van gevonden als één bug.

• Nieuwe routes naar buiten via smalle services die nooit als pad bedoeld waren — metrics, logging, authenticatie.

• Heimelijke kanalen tussen microVM's zonder enige netwerkverbinding: processorbuffer-timing in de trant van Spectre, timing van gedeelde opslag, CPU-concurrentie en een TLS-certificaatbuffer in de offlinewereld. Een processorbuffer-kanaal is het interessantste, omdat het een zijkanal is in plaats van een protocol, en het veel moeilijker via beleid te dichten is.

De fixes zijn upstream doorgevoerd in het kader van OpenAI's "Patch the Planet"-initiatief: Kata Containers, inclusief CVE-2026-24834, gVisor, Moby/Docker, en Linux-kerneloplossingen voor CVE-2026-74753, CVE-2026-80521 en CVE-2026-80841. OpenAI meldt dat er nog meer kwetsbaarheden niet openbaar zijn gemaakt.

Bij die bevindingen horen twee beperkingen, omdat OpenAI ze zelf noemt. De oefening was zwaar ondersteund — de agents kregen de broncode en te horen welke gebieden verdacht waren — dus meet het wat een capabel model kan doen wanneer het op een bekend zwak doel wordt gericht, niet wat het zonder toezicht zou vinden. En OpenAI geeft toe dat zijn grafiek van bevindingen tegenover tokens geen gecontroleerde relatie is. Wat het wel beweert, is dat er geen triviaal exploiteerbare route naar het internet bestond die ook de monitors omzeilde, en dat de gevonden defecten tijdens de campagne afnamen naarmate oplossingen werden doorgevoerd.

Een nieuw model, of een nieuwe naam voor het niveau dat al bestaat?

Dit is de vraag die een lezer die via een artikel uit september binnenkomt daadwerkelijk zal hebben, omdat "Astra" en "cyber" al met elkaar verweven zijn sinds voordat het model werd uitgebracht.

De volgorde is belangrijk. Op 1 september 2026 wees OpenAI Astra aan als het eerste model dat onder zijn Preparedness Framework de kritieke cybersecuritydrempel overschreed — in staat, met de juiste hulpmiddelen, om onbekende kwetsbaarheden te vinden en werkende exploitketens te bouwen zonder stapsgewijze menselijke aansturing. GPT-6 Astra werd op 3 september uitgebracht voor $10 per miljoen inputtokens en $50 per miljoen outputtokens, waarbij de sterkste cybercapaciteit achter het Daybreak-programma was afgeschermd in plaats van blootgesteld in het standaardproduct. In september gebruikten krantenkoppen "Astra Cyber" als steno voor precies dat: de afgeschermde offensieve capaciteit van het uitgebrachte model.

Drie dingen wijzen erop dat de naam voor 23 oktober iets anders is.

Het eerste is een tijdsvorm. GPT-6 Astra was al beschikbaar toen OpenAI "upcoming" schreef. Als de Cyber-variant de afgeschermde configuratie van hetzelfde model was, zou het woord "available" zijn, en zou de zin over een programma gaan in plaats van over een model.

Het tweede is timing. De red-teaming vond plaats tijdens de pauze, tussen 20 september en 1 oktober. Een model dat in dat venster als aanvaller werd gebruikt, met toegang tot de broncode en langetermijndoelen, kan het beste worden verklaard als een trainingscheckpoint — iets dat nog geen product is.

Het derde is herkomst. OpenAI heeft "Cyber" eerder als productachtervoegsel gebruikt, en dat waren afzonderlijke modellen in plaats van instellingen. GPT-5.5-Cyber en GPT-5.6-Cyber waren op zichzelf staande, doelgericht getrainde modellen, verspreid via Daybreak Red. Een naam die op dezelfde manier is opgebouwd en op een nieuwe basis is toegepast, is de interpretatie die de minste aannames vereist.

Het eerlijke tegenwicht: OpenAI heeft één clausule gepubliceerd, en één clausule kan dit niet dragen. 'Een apart, nog te verschijnen model' is de betere lezing van de formulering. Het is geen feit, en het verschil tussen die twee zinnen is de reden dat deze pagina bestaat.

De afstamming die de naam leesbaar maakt

GPT-6 Astra Cyber is de derde stap in een reeks die OpenAI sinds augustus publiekelijk opbouwt, en de reeks is informatiever dan de naam.

Op 10 augustus 2026 bracht OpenAI GPT-5.6-Cyber uit, gebouwd op GPT-5.6 Sol en getraind om minder vaak te weigeren bij hoogrisico-cyberverzoeken voor duaal gebruik — een directe reactie op onderzoekers die vonden dat de eerdere GPT-5.5-Cyber te voorzichtig was om nuttig te zijn. In dezelfde aankondiging werd Daybreak opgesplitst in twee niveaus: Blue, dat GPT-5.6 Sol is met verwijderde guardrails voor defensief werk, en Red, de speciaal getrainde offensieve modellen waarvoor screening, identiteitsverificatie, juridische attestatie en hardwarebeveiligingssleutels vereist zijn. De interne Advanced Cybersecurity Completion Rate van OpenAI zette GPT-5.6-Cyber op 95,0%, tegenover 57,3% voor GPT-5.5-Cyber en ongeveer 1,5–2,0% voor GPT-5.6 Sol met of zonder Blue-toegang.

Dat programma was ontworpen rond een basismodel dat niet Critical-rated was. GPT-6 Astra is dat wel. Een Cyber-variant van Astra is dus een andere structurele propositie dan GPT-5.6-Cyber: het is geen specialist gebouwd op een algemeen model, maar een specialist gebouwd op een model dat zelf al de drempel had overschreden. Als de variant de weigeringspercentages bij dual-use werk opdrijft zoals GPT-5.6-Cyber deed, is de combinatie precies het geval waar het eigen kader van OpenAI voor geschreven is om zich zorgen over te maken — wat een goede reden is om te verwachten dat de toegangsmechanismen meer ertoe doen dan de benchmarktabel.

Het verklaart ook de stilte. GPT-5.6-Cyber werd aangekondigd met een programma, een opsplitsing in niveaus en een meetwaarde. Als Astra Cyber op vergelijkbare voorwaarden bijna klaar zou zijn voor levering, zou de aankondiging op die andere lijken. Dat is nog niet het geval.

Als je agents draait, is het nuttige deel van de post niet het model.

Het containment-rapport is het meest concrete openbare document over agent-sandboxing dat iemand heeft gepubliceerd, en drie van de lessen ervan zijn van toepassing op gewone engineeringteams, ongeacht welk model ze aanroepen.

• Zijkanalen doorbreken de isolatie die beleid niet kan afdwingen. Cachetiming, gedeelde opslag en CPU-concurrentie verplaatsten informatie tussen machines zonder netwerkpad. Als je isolatieargument "er is geen route" is, is het argument onvolledig.

• De gevaarlijke services zijn de saaie.Metrics-, logging- en authenticatie-endpoints bestaan zodat alles werkt, en elk ervan is een smal, vertrouwd pad naar buiten. Het loont om ze op te sommen voordat een agent tooltoegang krijgt, niet erna.

• De CVE's zijn nu openbaar.Kata Containers CVE-2026-24834, de fixes voor gVisor en Moby/Docker, en kernel-CVE's CVE-2026-74753, CVE-2026-80521 en CVE-2026-80841 hebben allemaal upstream-patches. Als je agent-workloads op een van deze draaien, is dat iets voor deze week, geen leesvoer.

Niets daarvan vereist dat GPT-6 Astra Cyber bestaat. Het is wat de oefening heeft opgeleverd, en het is vandaag de dag bruikbaar.

Wat het gaat kosten, en wie het mag uitroepen

Er is geen prijs, en het precedent is niet het precedent dat mensen veronderstellen.

GPT-6 Astra wordt verkocht volgens een tariefkaart: $10 per miljoen invoertokens en $50 per miljoen uitvoer, met het lezen van gecachte invoer tegen $1 per miljoen, en een hogere tariefband boven 272.000 invoertokens bij een contextvenster dat tot ongeveer een miljoen reikt. Als Astra Cyber een normaal API-model in die familie zou zijn, is de luie aanname een vergelijkbare kaart. Die luie aanname is waarschijnlijk onjuist. GPT-5.6-Cyber werd nooit op die manier verkocht. Het bestond binnen Daybreak Red, achter een aanvraag, een identiteitscontrole, een juridische attestatie en, vanaf 1 september, verplichte hardware-beveiligingssleutels voor individuele accounts. De sterkste cybercapaciteit in de Astra-familie wordt op het geleverde model al onthouden aan standaard enterpriseconfiguraties. Een doelgericht getrainde opvolger van die capaciteit zal veel eerder verschijnen als een toevoeging aan Daybreak Red dan als een losse regel op een prijspagina.

Voor een verdediger verandert dat de voorbereiding. De vraag is niet "wanneer kan ik het aanroepen", maar "zit ik in een programma dat het krijgt", en de toezegging van OpenAI van 1 miljard dollar voor Daybreak for Frontline Defenders is de route die het heeft beschreven voor kritieke infrastructuur, deelstaat- en lokale overheden en financiële instellingen. Voor alle anderen is het praktische antwoord vandaag het model dat is uitgebracht: GPT-6 Astra staat in onze catalogus als gpt-6-astra, aanroepbaar met één sleutel tegen de lijstprijs van de aanbieder, zonder extra opslag, wat ook de reden is dat prijswijzigingen van de leverancier het dezelfde dag bereiken. Dat is het model dat bestaat. Astra Cyber niet, en niets hier mag worden opgevat als dat wij het hosten.

Wat zou deze pagina veranderen

Lekstukken verouderen slecht wanneer ze als voorspellingen zijn geschreven. Dit stuk is geschreven als een lijst van zaken die uitsluitsel zouden geven, ruwweg geordend naar hoeveel elk ervan je zou vertellen.

• Een identificatie. Een model-id op een leverancierspagina of een tariefkaart beslecht de identiteitsvraag in één regel. Zolang die er niet is, blijft "is het een apart model" open.

• Een systeemkaart.De Critical-classificatie van GPT-6 Astra ging gepaard met een evaluatieset — ExploitBench op 100%, ExploitGym op 42,4%, een weigeringspercentage voor cyber-jailbreaks van 91,5%. Een Cyber-variant zou zijn eigen cijfers nodig hebben, en het verschil tussen die cijfers en die van Astra is het hele verhaal.

• Een Daybreak Red-aankondiging. Als Astra Cyber als een toevoeging aan de Red tier verschijnt, wordt de vraag over de prijsstelling beantwoord door het programma in plaats van door een tariefkaart, en de doelgroep bestaat uit een paar duizend gescreende organisaties.

• Een onafhankelijke evaluatie. Elke bewering over de capaciteiten van deze familie tot nu toe is van OpenAI zelf en niet gereproduceerd. Dat gold voor de lancering in september en dat geldt ook voor de vermelding in oktober.

Het ene harde feit om aan vast te houden is vreemder dan een benchmark. Het eerste dat OpenAI in het openbaar met dit model deed, was het op zijn eigen infrastructuur richten en het laten proberen te ontsnappen — en het vond VM-ontsnappingen, covertkanalen en kernelbugs die inmiddels upstream zijn gepatcht. Wat GPT-6 Astra Cyber ook blijkt te zijn, het was daar al goed genoeg in om de tokens waard te zijn. Dat is een beter signaal dan een lanceerdatum, en het is het deel dat nog steeds waar zal zijn als de rest van deze pagina opnieuw moet worden geschreven.