OpenAI nie mogło wykluczyć krytycznej zdolności cybernetycznej w Astra i wstrzymało jedynie część swoich prac

W piątek 7 sierpnia 2026 r., OpenAI opublikowało post, w którym poinformowało, że najnowsze wewnętrzne oceny Astra, jednego z nadchodzących modeli, wskazywały na „znaczące postępy w kodowaniu agentowym i cyberbezpieczeństwie” oraz że nie można wykluczyć, iż model osiągnie Critical — najwyższy poziom cybernetyczny w Preparedness Framework. Wniosek wyciągnięto „zeszłej nocy” — czytamy w poście — po kilku dniach testów. Nic nie ucierpiało: post opisuje oceny, a nie wtargnięcie, i OpenAI stwierdziło, że Astra „nie brała udziału w wykorzystywaniu Hugging Face”. Zmiana miała charakter wewnętrzny — wstrzymano prace rozwojowe, które nie spełniały wzmocnionych kontroli bezpieczeństwa, a prace, które je spełniały, były kontynuowane. Osoby najbardziej bezpośrednio dotknięte to deweloperzy OpenAI, a także testerzy i obrońcy, którzy ostatecznie uzyskaliby dostęp. Zapis tej decyzji to jeden wpis w archiwum incydentów AI, które zawiera źródła tego incydentu, jego ocenę i sąsiednie wpisy.

Jeśli chodzi o wydarzenie z zakresu ładu, rzucające się w oczy jest to, jak niewiele twierdzi ten wpis. Nie podaje żadnego wyniku punktowego, żadnego wyniku testu, żadnej transkrypcji ani żadnego nazwanego zewnętrznego oceniającego. Przekazuje osąd: że na podstawie dostępnych dowodów OpenAI nie mogło wykluczyć poziomu zdolności, którego nigdy wcześniej nie przypisało żadnemu ze swoich modeli. To sprawia, że zapis warto czytać jednocześnie jako dwie rzeczy — ujawnienie dotyczące modelu oraz sprawdzian, czy własne ramy bezpieczeństwa firmy zmieniają to, co firma robi.

Co oznacza „Critical” w ramach OpenAI?

Preparedness Framework, po raz pierwszy opublikowany w grudniu 2023 r. i zaktualizowany do wersji 2 w dniu 15 kwietnia 2025 r., obejmuje trzy kategorie: zdolności biologiczne i chemiczne, cyberbezpieczeństwo oraz samodoskonalenie się AI. Każda z nich ma dwa poziomy zdolności: Wysoki i Krytyczny. Próg cybernetyczny występuje w niemal identycznym brzmieniu zarówno w tym dokumencie, jak i w sierpniowym wpisie OpenAI: model osiąga poziom Krytyczny, jeśli potrafi „identyfikować i opracowywać działające exploity zero-day o wszystkich poziomach istotności w wielu utwardzonych rzeczywistych systemach krytycznych bez interwencji człowieka” lub jeśli potrafi „opracowywać i wdrażać nowatorskie strategie end-to-end dotyczące ataków cybernetycznych na utwardzone cele, mając jedynie ogólnie określony pożądany cel”.

High to niższy poziom. We wpisie OpenAI podano, że poprzednie modele, „w tym GPT-5.6 Sol”, oceniano pod kątem frontierowych zdolności cybernetycznych i przypisano im poziom High, a nie Critical. To rozróżnienie ma znaczenie, ponieważ ramy wiążą z każdym poziomem inne obowiązki. W przypadku modelu, który osiąga poziom Critical, ramy wymagają zabezpieczeń, które „w wystarczającym stopniu minimalizują związane z nim ryzyko podczas rozwoju, niezależnie od planów wdrożenia”. Jej tabela dotycząca cyberbezpieczeństwa jest bardziej dosadna: „Dopóki nie określimy standardów zabezpieczeń i kontroli bezpieczeństwa, które spełniałyby standard Critical, należy wstrzymać dalszy rozwój”.

Sformułowanie z 7 sierpnia nie jest oznaczeniem klasyfikacji. W poście stwierdzono, że „wstępne oceny wskazują na wystarczająco wysoką wydajność, że nie możemy obecnie wykluczyć krytycznego poziomu zdolności”. Firma nadal prowadziła benchmarking i sama to zaznaczyła.

Co zrobił OpenAI, a co objęła przerwa

We wpisie wymieniono pięć wewnętrznych środków, wszystkie ujęte jako warunki kontynuowania pracy, a nie jako powody, by ją przerwać:

• Bardziej rygorystyczne mechanizmy kontroli bezpieczeństwa dla modeli o wyższych zdolnościach i powiązanej aktywności: „odizolowane środowiska testowe, ograniczony dostęp do sieci i narzędzi, wzmocnione zabezpieczenia i szyfrowanie wag modeli, dodatkowe możliwości monitorowania i wykrywania oraz wykonywanie w środowisku piaskownicy”.

• Wstrzymanie „wewnętrznych działań związanych z Astra, które nie spełniają jeszcze tych zaostrzonych wymogów w zakresie kontroli bezpieczeństwa”. Prace, które je spełniały, mogły być kontynuowane.

• „Uniwersalny monitoring ryzykownych działań i niezgodności we wszystkich aplikacjach agentowych Astra, w tym w treningu i ewaluacji”, przy czym monitory odczytują tok rozumowania modelu i wyzwalają reakcję bezpieczeństwa mającą na celu przegląd i przerwanie działań wysokiego ryzyka.

• Testowanie z „właściwymi agencjami rządowymi i wybranymi organizacjami ds. bezpieczeństwa AI".

• Zalecane mechanizmy kontroli bezpieczeństwa dla zewnętrznych partnerów testowych realizujących oceny i obciążenia o podwyższonym ryzyku.

OpenAI samo opisało ten precedens. „W czerwcu 2025 r., gdy nasze modele zbliżały się do wysokiego progu zdolności w dziedzinie biologii w ramach Preparedness Framework” – czytamy we wpisie – firma nakreśliła kroki mające wzmocnić zabezpieczenia, rozszerzyć testowanie, współpracować z zewnętrznymi ekspertami i dodać mechanizmy kontroli bezpieczeństwa, a także że „stosuje tę samą zasadę tutaj”. Szczegół, który warto zachować, to poziom: własny opis OpenAI umieszcza ten przypadek biologiczny z czerwca 2025 r. na poziomie High, jeden poziom poniżej oceny cyber, którą teraz ujawniano.

Bezpośredni odbiór w prasie był taki, że laboratorium nacisnęło hamulce. The Next Web, w artykule opublikowanym 7 sierpnia o 17:36 UTC, opisał wstrzymanie „części prac wewnętrznych”, podczas gdy testy były kontynuowane, i poinformował, że Axios nazwał to „być może pierwszym przypadkiem, gdy laboratorium z czołówki spowolniło jeden ze swoich modeli z powodu ryzyka cybernetycznego”. To uczciwy opis ogłoszenia. Nie jest to równoznaczne z całkowitym zatrzymaniem, a wpis nie twierdzi, że do niego doszło.

Czego nie stwierdza post z 7 sierpnia

Różnica między „nie można wykluczyć” a „osiągnął” stanowi całość niepewności tego zapisu, a wpis nie próbuje jej domknąć. Nie podaje nazwy benchmarku, wskaźnika skuteczności, liczby wykrytych luk, opisu testowanych systemów, transkrypcji, niezależnej oceny ani daty publikacji. Nie mówi, do którego z dwóch krytycznych warunków zbliżała się Astra ani jak bardzo. Mówi jedynie, że dowody były wystarczająco mocne, by firma nie mogła wykluczyć najwyższego poziomu.

Zatem zapis na ten dzień dokumentuje ujawnienie i reakcję — a nie zmierzoną zdolność. Ocena zdolności należy wyłącznie do OpenAI i została dokonana na podstawie wewnętrznych ewaluacji, których nie opublikowano; OpenAI nie wskazała żadnego zewnętrznego oceniającego, a żadne zewnętrzne laboratorium nie testowało publicznie Astra pod kątem definicji Critical. Wpis otrzymał najwyższy poziom pewności, został oznaczony jako niekwestionowany i odnotowany bez rzeczywistej szkody, co odpowiada temu, co faktycznie zawiera post: oświadczenie firmy, a nie raport o incydencie.

Co wydarzyło się później

Do 1 września 2026 r. tymczasowe sformułowanie uległo zmianie. W artykule uzupełniającym zatytułowanym „Ścieżka do Astra: kluczowe zdolności i zabezpieczenia frontier”, OpenAI napisało: „Uważamy teraz, że Astra spełnia krytyczny próg zdolności w zakresie cyberbezpieczeństwa w ramach naszego Preparedness Framework... To pierwszy model, który klasyfikujemy na tym poziomie”.

Ten sam wpis dostarczył szczegóły, które pominęło sierpniowe ujawnienie. Warto je rozdzielić według rodzaju:

• Benchmarki.Astra uzyskała 100% w ExploitBench, publicznym benchmarku służącym do przekształcania znanych podatności w exploity. Z powodu obaw o zanieczyszczenie danych OpenAI zbudowało także wewnętrzny port zawierający 20 podatności V8 o wysokim stopniu ważności ujawnionych między czerwcem a sierpniem 2026 r.; w tym zestawie, jak podano we wpisie, Astra odkryła i wykorzystała „dwie podatności zero-day w ramach łańcucha exploita”, które – według OpenAI – były w trakcie ujawniania opiekunom.

• Oceny prowadzone przez ekspertów. W starciu ze wzmocnioną przeglądarką Astra zbudowała łańcuch, który pozwolił wydostać się z piaskownicy i wykonać polecenia na hoście; karta systemowa odnotowuje, że pierwszy sukces zajął 29 godzin w przypadku kompilacji, co do której eksperci ustalili, że brakowało jej niektórych produkcyjnych środków łagodzących, a dostosowanie exploita do oficjalnego stabilnego wydania zajęło kolejne 12 godzin. W starciu ze wzmocnionym systemem operacyjnym połączyła podatności w lokalną eskalację uprawnień z użytkownika bez uprawnień do roota w ciągu 12 godzin.

• Wskaźniki odmów. W ocenach OpenAI dotyczących cyber jailbreaków Astra odmówiła 91,5% żądań, w porównaniu z 59% w przypadku GPT-5.6 Sol — liczba, którą karta systemowa przytacza.

• Niezależna weryfikacja, z ograniczeniem.Karta systemowa, opublikowana 3 września 2026 dla modelu wydanego przez OpenAI tego dnia jako GPT-6 Astra, zawiera zewnętrzną ocenę laboratorium bezpieczeństwa Irregular. Irregular ustaliło, że Astra rozwiązała 86 z 226 wyzwań FrontierCyber, w porównaniu z 34 z 226 w przypadku GPT-5.6 Sol, w tym luki zero-day dotyczące przeglądarek, telefonów komórkowych i baz danych w chmurze. Zaobserwowało również „brak udanych ataków na w pełni utwardzone cele”, a żaden z modeli nie rozwiązał żadnego z siedmiu wyzwań Elite.

Wpis z 1 września ujawnił także charakter tej przerwy. OpenAI poinformowało, że w ciągu ostatnich kilku tygodni „opóźniło niektóre etapy rozwoju i premiery Astra” oraz że „wznowiło duży frontierowy trening RL, który wcześniej wstrzymano” w dniu28 sierpnia 2026, po wprowadzeniu nowych wymogów bezpieczeństwa i ochrony. Dostęp był stopniowany: zaawansowane prace w zakresie cyberbezpieczeństwa trafiłyby najpierw do niewielkiej grupy testerów, a w następnej kolejności ruszyłby program Daybreak Blue.

Ustanowiony, tymczasowy i nieustanowiony

• Ustalono. OpenAI opublikowało ujawnienie 7 sierpnia 2026 r. i stwierdziło, że nie mogło wykluczyć krytycznej zdolności cybernetycznej w Astra; wymieniło środki kontroli i częściowe wstrzymanie opisane powyżej. The Next Web poinformował o wpisie tego samego dnia, a Axios opisał to jako spowolnienie z powodu ryzyka cybernetycznego.

• Ustalono później. 1 września 2026 r. OpenAI uznało model Astra za spełniający krytyczny próg — pierwszy model, który został przez nie zakwalifikowany na tym poziomie — i opublikowało wyniki benchmarków oraz oceny ekspertów. Karta systemu z 3 września zawiera ten sam wskaźnik odmów i zewnętrzną ocenę Irregular.

• Wstępne i oparte na samoocenie. Ustalenie dotyczące zdolności pochodzi od OpenAI i opiera się na ewaluacjach OpenAI. Według stanu na 7 sierpnia żadne zewnętrzne laboratorium nie testowało publicznie tego modelu pod kątem definicji krytycznej, a we wpisie nie wskazano żadnego zewnętrznego oceniającego. Późniejsza zewnętrzna weryfikacja przeprowadzona przez Irregular jest węższa niż to oznaczenie i wprost wykazała brak udanych ataków na w pełni zabezpieczone cele.

• Nie ustalono. Że Astra faktycznie osiągnęła krytyczny próg 7 sierpnia; wpis mówi jedynie, że firma nie mogła tego wykluczyć. Że jakikolwiek rzeczywisty system został naruszony: w rejestrze nie odnotowano żadnych szkód, a OpenAI stwierdziło, że Astra nie brała udziału w incydencie z Hugging Face. Nie ustalono również, że częściowe wstrzymanie spełniało sformułowanie samego frameworku „halt further development” — OpenAI kontynuowało prace, które spełniały jego nowe kontrole, a firma, a nie zewnętrzny organ, oceniła wystarczalność tych kontroli.

Kwestia ładu, którą zapis pozostawia otwartą

The framework is a self-binding instrument. It commits OpenAI to thresholds and safeguards, and it leaves the assessment and the sufficiency call to OpenAI, with internal review by its Safety Advisory Group and board oversight. The 7 August post describes consultation — government agencies and "select AI safety organizations" would test the model — but it names no regulator, publishes no criteria and sets no date. Nothing in the record shows an outside party checking the call.

To, co jednak pokazuje dokumentacja, to fakt, że mechanizm się poruszył. Ocena możliwości zmieniła wewnętrzną praktykę w ciągu jednego dnia: kontrole zaostrzono, część prac wstrzymano, monitoring rozszerzono na szkolenia i ewaluację, a dostęp do najbardziej zaawansowanych funkcji został później ograniczony do testerów. To więcej niż komunikat prasowy, a mniej niż zewnętrzna weryfikacja.

Nierozstrzygniętą częścią jest ta, której ramy nie potrafią rozstrzygnąć samodzielnie. „Nie można wykluczyć” to stwierdzenie dotyczące dowodów, a nie możliwości, i pozostawia firmie decyzję, ile dowodów wystarczy, zanim wznowi działania. OpenAI wznowiła duży przebieg treningowy 28 sierpnia, 1 września oznaczyła model jako krytyczny, a 3 września udostępniła go jako GPT-6 Astra. Każdy krok jest udokumentowany. To, czy każdy krok powinien był nastąpić wtedy, gdy nastąpił, jest oceną, którą zapis odnotowuje, ale nie udziela na nią odpowiedzi.