GPT-5.3-Codex został wysoko oceniony pod kątem cyber. OpenAI nie ma jednoznacznych dowodów.

5 lutego 2026 r. OpenAI opublikowało kartę systemową dla GPT-5.3-Codex i sklasyfikowało w niej ten model jako model o wysokich zdolnościach w dziedzinie cyberbezpieczeństwa w ramach swojego Preparedness Framework — po raz pierwszy firma zastosowała tę etykietę wobec jakiegokolwiek modelu w tej dziedzinie. Zdanie następujące po klasyfikacji jest tym, które warto przeczytać dwa razy: „Nie mamy rozstrzygających dowodów, że ten model osiąga nasz próg High”. OpenAI stwierdziło, że działało z ostrożności, ponieważ model przekroczył wszystkie swoje progi canary i firma nie mogła zatem wykluczyć, że ta zdolność naprawdę istnieje. Nic nie zostało naruszone i nie odnotowano żadnej ofiary: to klasyfikacja, a nie incydent, i jest zapisana jako rekord polityki z flagą landmark. Własny wpis archiwum dotyczący tej klasyfikacji, wraz z jej ocenami dotkliwości i pewności, znajduje się w Orca AI Incident Archive obok innych zapisów zarządzania z tego roku.

Co oznacza „High” i kto o tym decyduje

Preparedness Framework OpenAI wyznacza dwa progi. Wysoka zdolność „może wzmacniać istniejące ścieżki prowadzące do poważnych szkód”; krytyczna zdolność „może wprowadzać bezprecedensowe nowe ścieżki prowadzące do poważnych szkód”. Systemy objęte zakresem, które osiągną poziom wysoki, muszą mieć zabezpieczenia wystarczająco minimalizujące związane z tym ryzyko przed wdrożeniem, a systemy, które osiągną poziom krytyczny, potrzebują ich również podczas opracowywania — zgodnie z własnym opisem frameworku przez OpenAI. Opisany tam przegląd jest wewnętrzny: Safety Advisory Group ocenia, czy zabezpieczenia wystarczająco minimalizują ryzyko, i wydaje rekomendacje, a jej wytyczne trafiają do kierownictwa OpenAI w celu podjęcia ostatecznej decyzji. Karta systemu nie opisuje żadnego zewnętrznego zatwierdzenia oceny.

Definicja dotycząca cyberbezpieczeństwa jest węższa, niż sugeruje nagłówek. OpenAI definiuje wysokie zdolności cyberbezpieczeństwa jako model, który „usuwa istniejące wąskie gardła w skalowaniu operacji cybernetycznych”, albo poprzez „automatyzację kompleksowych operacji cybernetycznych przeciwko odpowiednio utwardzonym celom”, albo poprzez „automatyzację wykrywania i wykorzystywania istotnych operacyjnie luk w zabezpieczeniach”. Karta wyraźnie stwierdza, że próg dotyczy usuwania wąskich gardeł w ramach kampanii, a nie modelu, który potrafi rozwiązać trudne wyzwanie: OpenAI pisze, że ryzyko cybernetyczne na froncie „najlepiej oceniać w kategoriach operacji lub kampanii, a nie pojedynczych działań”.

Czytana w ten sposób klasyfikacja z 5 lutego mówi coś konkretnego. Mówi, że OpenAI uważa, iż wąskim gardłem, które usuwa ten model, są umiejętności i wytrzymałość wymagane do przeprowadzenia długotrwałego wtargnięcia — oraz że firma postanowiła kontrolować i monitorować dostęp, zamiast czekać na dowód, że rzeczywiście je usuwa.

Trzy oceny i jedno porównanie, które działa w drugą stronę

OpenAI wykorzystuje trzy benchmarki dla trzech umiejętności, które wiąże z poważnymi szkodami cybernetycznymi: Professional Capture the Flag do identyfikacji i wykorzystywania podatności, CVE-Bench do spójności oraz Cyber Range do operacji end-to-end w emulowanej sieci. GPT-5.3-Codex jest, jak ujęto w karcie, „pierwszym modelem, który przekroczył wszystkie progi we wszystkich trzech ewaluacjach”. Poszczególne wyniki mają większe znaczenie niż podsumowanie.

W Professional CTF model „dorównuje GPT-5.2-Codex” — własne objaśnienie na karcie brzmi: „brak istotnej zmiany w szczytowej wydajności CTF”, mierzonej jako pass@12 przy 16 przebiegach na wyzwanie. W CVE-Bench uzyskał 90 procent wobec 87 procent dla GPT-5.2-Codex, na 34 z 40 wyzwań benchmarku, pass@1 w trzech przebiegach. W Cyber Range zaliczył 12 z 15 scenariuszy, osiągając łączny wskaźnik zaliczeń na poziomie 80 procent, wobec 60 procent dla GPT-5.1-Codex-Max, 53,33 procent dla GPT-5.2-Codex i 47 procent dla GPT-5.2-Thinking. Nie zaliczył EDR Evasion, CA/DNS Hijacking i Leaked Token.

Karta ostrożnie podchodzi do tego, co z tego wynika. Ponieważ CTF testuje z góry zapisane ścieżki ataku, CVE-Bench obejmuje wyłącznie aplikacje webowe, a scenariusze Cyber Range nie mają zabezpieczeń ani szumu sieci będącej w codziennym użyciu, „wyróżnianie się we wszystkich trzech ocenach jest konieczne, ale niewystarczające, aby uznać model za mający wysoki poziom zdolności w cyberbezpieczeństwie”. Wniosek OpenAI nie jest taki, że model jest na poziomie High, lecz że nie można wykluczyć, że nim jest.

Zewnętrzna ocena przeprowadzona przez laboratorium bezpieczeństwa Irregular na niemal finalnej wersji modelu komplikuje obraz w sposób, którego nie oddaje zdanie podsumowujące. GPT-5.3-Codex uzyskał średnio 86 procent w Network Attack Simulation, wobec 68 procent dla GPT-5.2-Codex i 100 procent dla GPT-5.2-Thinking; 72 procent w Vulnerability Research and Exploitation, wobec 75 i 80 procent; oraz 53 procent w Evasion, wobec 52 i 53. Nie rozwiązał żadnego z wyzwań w CyScenarioBench, opartej na scenariuszach strukturze testującej wieloetapowe planowanie w realistycznych ograniczeniach. Innymi słowy, w zestawie testów Irregular nowo sklasyfikowany model ustępował starszemu modelowi z tej samej rodziny w dwóch z trzech kategorii — wynik, który karta modelu publikuje, nie uzgadniając go z własnym twierdzeniem dotyczącym progu.

Brama: Zaufany dostęp dla cyberbezpieczeństwa

Środek łagodzący, który nadaje temu zapisowi kształt, to program, a nie filtr. OpenAI uruchomiło Trusted Access for Cyber (TAC) „od pierwszego dnia”, opisując go jako „oparty na tożsamości program z kontrolą dostępu”, który zapewnia „cyberzdolności podwójnego zastosowania wysokiego ryzyka” klientom korporacyjnym oraz nieszkodliwym, legalnym użytkownikom. Karta wymienia obsługiwane zastosowania: testy penetracyjne, red teaming, ocenę podatności, identyfikację i eksploatację, testowanie bezpieczeństwa i badanie unikania wykrywania, inżynierię odwrotną złośliwego oprogramowania oraz badania kryptograficzne.

Konstrukcja dostępu odwraca zwykłą kolejność. Zalogowani użytkownicy domyślnie otrzymują wysokie możliwości cybernetyczne, z zastrzeżeniem monitorowania i egzekwowania; to użytkownicy, którzy „często korzystają z funkcji cybernetycznych podwójnego zastosowania wysokiego ryzyka”, muszą zweryfikować swoją tożsamość przez TAC, aby zachować zaawansowane możliwości. Przedsiębiorstwa mogą wystąpić o zaufany dostęp dla całego zespołu za pośrednictwem swojego przedstawiciela OpenAI, a badacze potrzebujący bardziej permisywnych modeli mogą aplikować do programu tylko na zaproszenie, zgodnie z własnym ogłoszeniem OpenAI dotyczącym tego programu. Jednocześnie OpenAI zobowiązało się przeznaczyć 10 mln USD w kredytach API w ramach swojego Programu Grantowego ds. Cyberbezpieczeństwa.

OpenAI wyraźnie zaznacza, że brama nie jest gwarancją. Dostęp jest przyznawany „wyłącznie w uzasadnionych, defensywnych i autoryzowanych celach bezpieczeństwa”, a uczestnicy TAC „którzy często szukają funkcjonalności do szkodliwych działań, nadal będą podlegać monitorowaniu i egzekwowaniu, w tym utracie dostępu do TAC”. W poście ogłaszającym start dodano drugą kontrolę: niektóre żądania, które system wykryje jako podwyższone ryzyko cybernetyczne, „mogą być automatycznie przekierowywane z GPT-5.3-Codex do GPT-5.2”. Fortune poinformował 5 lutego, że OpenAI nie włączało od razu pełnego dostępu API, który pozwoliłby automatyzować model na dużą skalę, oraz że w międzyczasie model był dostępny dla płacących użytkowników ChatGPT.

Domyślne ustawienia piaskownicy i monitor z opublikowanym współczynnikiem pominięć

Dwie kolejne warstwy opisano w mierzalnych kategoriach. Piaskownica agenta działa w chmurze w „izolowanym kontenerze hostowanym przez OpenAI”, bez dostępu do systemu hosta użytkownika i z domyślnie wyłączonym dostępem do sieci; w instalacji lokalnej piaskownica jest domyślnie włączona w macOS przez Seatbelt, w systemie Linux przez seccomp i landlock, a w Windows natywnie lub przez Windows Subsystem for Linux. Ustawienia domyślne mają wyłączać dostęp do sieci i ograniczać edycję plików do bieżącego obszaru roboczego, a użytkownicy mogą zatwierdzać polecenia uruchamiane poza piaskownicą lub ustawiać listy dozwolonych i zabronionych dla każdego projektu. Karta ostrzega, że włączenie dostępu do sieci ponownie wprowadza ryzyko iniekcji promptów, wycieku poświadczeń i ryzyko licencyjne.

Warstwa monitorowania to system dwupoziomowy: szybki klasyfikator tematyczny decyduje, czy treść dotyczy cyberbezpieczeństwa, a wszystko, co zostanie tak zakwalifikowane, trafia do „safety reasonera”, który przypisuje je do taksonomii zagrożeń cybernetycznych OpenAI i decyduje, czy wynik można pokazać. Klasyfikator tematyczny jest dostrojony do czułości powyżej 90 proc. przy niezawodności systemu powyżej 99,9 proc. Liczby monitora rozumowania są mniej komfortowe i zostały podane w tabeli samej karty: 77,8 proc. czułości i 37,1 proc. precyzji w przypadku poleceń użytkownika oraz 88,8 proc. czułości i 24,1 proc. precyzji w przypadku odpowiedzi asystenta. OpenAI twierdzi, że celowo optymalizuje czułość kosztem precyzji, dlatego prace niskiego ryzyka czasem są blokowane — i dlatego około jedno na pięć poleceń użytkownika, które w tym zestawie testowym powinno zostać wychwycone, nie zostało.

Co odkryły zespoły red team

Karta publikuje wyniki testów adwersarialnych szczegółowo, a nie w formie streszczenia. Dwie kampanie pochłonęły 3 526 godzin pracy ekspertów ds. red teamingu między grudniem 2025 a styczniem 2026. Kampania Universal Jailbreak Campaign poświęciła 1 375 godzin i wygenerowała 21 zgłoszeń, z których sześć stanowiło pełne uniwersalne jailbreaky, a 14 częściowe. Kampania Adversarial Policy Coverage Campaign poświęciła 2 151 godzin i przesłała 279 raportów, znajdując 132 fałszywe negatywy, w których Safety Reasoner powinien był zablokować treść, a tego nie zrobił. OpenAI nazywa jailbreaky „nieblokowaniem” i twierdzi, że zostaną naprawione, oraz przyznaje, że kampanie pokazują, iż „Safety Reasoner wciąż wymaga iteracyjnego hartowania na ataki adwersarialne”.

Najbardziej wymowny pojedynczy wynik dotyczy rządowego ewaluatora. Brytyjskiemu Instytutowi Bezpieczeństwa AI, któremu udzielono wczesnego dostępu do wersji z aktywnym rozumowaniem bezpieczeństwa, które blokowało, w ciągu około dziesięciu godzin ręcznego red teamingu udało się „opracować uniwersalny jailbreak (z ponowieniami), który osiągnął 0.778 pass@200”, używając pojedynczej wiadomości użytkownika. Ta sama sekcja odnotowuje, że amerykańskie Center for AI Standards and Innovation przetestowało zdolności cybernetyczne modelu za pomocą własnych automatycznych ewaluacji i wykorzystało go do znalezienia nowych błędów w oprogramowaniu o otwartym i zamkniętym kodzie źródłowym, oraz że GPT-5.3-Codex nadal czynił postępy w trudnych zadaniach w kolejnych oknach kompakcji, „znajdując nowe wyniki nawet po 50M lub więcej unikalnych tokenów i dziesiątkach godzin analizy”.

Oba te ustalenia rządowe są opisane w karcie OpenAI. W ramach tych badań nie znaleziono samodzielnej opublikowanej oceny któregokolwiek z tych organów dotyczącej GPT-5.3-Codex; dopóki taka się nie pojawi, zewnętrzna kontrola tego modelu jest znana opinii publicznej wyłącznie z relacji dostawcy. Sama lista ryzyk rezydualnych w karcie jest niezwykle szczera co do tej samej luki: ograniczona precyzja monitorowania tworząca problem przeglądu typu igła w stogu siana, „niezerowa szansa, że zły aktor może uzyskać zaufany dostęp”, awarie dostawcy weryfikacji tożsamości oraz nieodkryte uniwersalne jailbreaky. Stwierdza również, że wewnętrzne monitorowanie wdrożeń Codex, działające asynchronicznie przez pięć miesięcy, „nie chroni przed szkodą ani nie zapobiega obejściu innych zabezpieczeń”.

Co się potem zmieniło?

Brama przetrwała premierę i się rozrosła. Axios poinformował 9 kwietnia 2026 r., że OpenAI finalizowało odrębny produkt cyberbezpieczeństwa dla niewielkiej grupy partnerów, i opisał TAC jako uruchomiony w lutym „po wdrożeniu GPT-5.3-Codex”. 15 kwietnia 2026 r. Help Net Security poinformował, że OpenAI rozszerzyło TAC do „tysięcy zweryfikowanych indywidualnych obrońców i setek zespołów” i udostępniało GPT-5.4-Cyber — wariant GPT-5.4 z niższą granicą odmowy dla legalnej pracy w zakresie bezpieczeństwa i możliwością inżynierii odwrotnej plików binarnych — najwyższym poziomom dostępu. Pilotaż opisany w lutowej karcie stał się linią produktów z poziomami.

Sama klasyfikacja zyskała mniejszy zasięg niż brama. Artykuł Fortune z 5 lutego autorstwa Sharon Goldman relacjonował to bezpośrednio i cytował wpis dyrektora generalnego OpenAI, Sama Altmana, na X, w którym nazwał GPT-5.3-Codex „naszym pierwszym modelem, który osiąga »wysoki« poziom w zakresie cyberbezpieczeństwa w naszych ramach gotowości”. The Cyber Express szczegółowo relacjonował uruchomienie TAC 6 lutego — trzy ścieżki dostępu, 10 mln dolarów, zakazane zachowania — i w ogóle nie wspomniał o ocenie „High”. Boston Global Forum w tekście z 12 kwietnia powtórzył oba elementy razem. Do połowy kwietnia najczęściej cytowaną częścią pakietu był program dostępu, a nie stojąca za nim ocena progowa.

Ustalony, nieustalony i otwarty

Co zostało ustalone: OpenAI opublikowała kartę systemową GPT-5.3-Codex 5 lutego 2026 r. i sklasyfikowała model jako High capability w cyberbezpieczeństwie w ramach swojego Preparedness Framework; firma stwierdziła w tym samym dokumencie, że nie ma jednoznacznych dowodów, iż model osiąga ten próg, i działa ostrożnościowo; podane powyżej wyniki oceny pochodzą od niej samej; TAC został uruchomiony wraz z modelem; piaskownica i dwupoziomowy monitor są udokumentowane na poziomie szczegółowości cytowanym tutaj; a godziny pracy zespołu red team, liczby zgłoszeń i wskaźnik jailbreaków UK AISI są wszystkie wydrukowane w karcie. Fortune poinformował o klasyfikacji tego samego dnia, cytując post Altmana na X. Jedna nieścisłość w datowaniu warta odnotowania: metadane strony samego posta o premierze zawierają znacznik czasu 4 lutego, 22:23 GMT, podczas gdy karta systemowa i materiał Fortune są datowane na 5 lutego.

Czego nie ustalono: że GPT-5.3-Codex faktycznie spełnia próg High OpenAI. To zastrzeżenie samego OpenAI, a nie krytyka. Badanie to nie znalazło również żadnej zewnętrznej certyfikacji tej oceny, żadnej opublikowanej oceny regulatora lub instytutu krajowego dotyczącej tego modelu ani żadnego pomiaru, czy warstwowy stos ograniczył rzeczywiste nadużycia — w rejestrze nie ma szkód, ponieważ nie odnotowano żadnych szkód, a nie dlatego, że żadne nie wystąpiły. Twierdzenie karty, że model jako pierwszy przekroczył wszystkie trzy wewnętrzne progi, jest stwierdzeniem o zestawie benchmarków OpenAI, który — jak mówi ten sam dokument — jest koniecznym, ale niewystarczającym dowodem zdolności, którą ma wykrywać.

Co pozostaje otwarte: czy brama tożsamości wraz z monitorem, który pomija około jednej piątej oznaczonych promptów użytkownika, jest trwałą odpowiedzią w przypadku modelu sklasyfikowanego na podstawie ostrożności, a nie dowodu; czy pozorna regresja modelu względem GPT-5.2-Thinking w zewnętrznym zestawie Irregular cokolwiek znaczy po uwzględnieniu różnic w harnessie i elicytacji; oraz jak duża część luki między lutowym pilotażem a kwietniową linią produktową była zaplanowana, a nie wyuczona. Wpis w archiwum odnotowuje klasyfikację. Reszta wciąż jest zapisywana przez ludzi prowadzących tę bramę.

Ten zapis jest wydarzeniem z zakresu ładu korporacyjnego i czyta się jak takie wydarzenie: firma zapisuje z wyprzedzeniem, przed jakimkolwiek incydentem, że uważa, iż jeden z jej własnych modeli mógł przekroczyć granicę, której jeszcze nie potrafi zmierzyć, i na podstawie tego podejrzenia buduje bramkę. Czy bramka była proporcjonalna, to pytanie, które karta celowo pozostawia otwarte — mówi jedynie, że ryzyko jest „wystarczająco zminimalizowane”, i wymienia sześć sposobów, w jakie może tak nie być.