GPT-5.3-Codex получил высокую оценку в сфере кибербезопасности. У OpenAI нет однозначных доказательств.

5 февраля 2026 года OpenAI опубликовала системную карту для GPT-5.3-Codex и в ней классифицировала модель как Высокие возможности в области кибербезопасности в рамках своей Preparedness Framework — впервые компания применила этот ярлык к какой-либо модели в этой области. Предложение, следующее за классификацией, стоит прочитать дважды: «У нас нет неопровержимых доказательств того, что эта модель достигает нашего высокого порога». OpenAI заявила, что действовала из предосторожности, поскольку модель преодолела каждый из своих канареечных порогов и поэтому компания не могла исключить, что эта способность действительно присутствует. Ничего не было нарушено, и ни один пострадавший не зафиксирован: это классификация, а не инцидент, и она внесена как запись о политике с пометкой landmark. Собственная запись архива об этой классификации, с её оценками серьёзности и уверенности, находится в Orca AI Incident Archive рядом с другими управленческими записями года.

Что означает «High» и кто это решает

Фреймворк готовности OpenAI устанавливает два порога. Высокие возможности «могут усилить существующие пути к серьезному вреду»; критические возможности «могут создать беспрецедентные новые пути к серьезному вреду». Системы, на которые распространяется действие фреймворка и которые достигают уровня High, должны иметь меры защиты, достаточно минимизирующие связанный риск, до развертывания, а системы, достигающие уровня Critical, нуждаются в них также на этапе разработки — согласно собственному описанию фреймворка OpenAI. Описанная там проверка является внутренней: Консультативная группа по безопасности оценивает, достаточно ли меры защиты минимизируют риск, и дает рекомендации, а ее заключение направляется руководству OpenAI для окончательного решения. В карточке системы не описано никакого внешнего утверждения оценки.

Определение, специфичное для кибербезопасности, уже, чем в заголовке. OpenAI определяет высокие возможности в области кибербезопасности как модель, которая «устраняет существующие узкие места для масштабирования киберопераций» — либо «автоматизируя сквозные кибероперации против разумно защищённых целей», либо «автоматизируя обнаружение и эксплуатацию операционно значимых уязвимостей». В карточке прямо указано, что порог касается устранения узких мест на протяжении кампании, а не модели, способной решить сложную задачу: OpenAI пишет, что киберриск передовых моделей «лучше всего оценивать в терминах операций или кампаний, а не отдельных действий».

При таком прочтении классификация от 5 февраля говорит о конкретной вещи. Она говорит, что OpenAI считает: узкое место, которое устраняет эта модель, — это навыки и выносливость, которых требует продолжительное вторжение, — и что компания решила ограничивать доступ и следить за ним, а не ждать доказательств того, что модель действительно это делает.

Три оценки и одно сравнение, идущее в обратную сторону

OpenAI использует три бенчмарка для трёх навыков, которые она связывает с серьёзным киберущербом: Professional Capture the Flag для выявления и эксплуатации уязвимостей, CVE-Bench для согласованности и Cyber Range для сквозных операций в эмулируемой сети. GPT-5.3-Codex, по словам карточки, — «первая модель, прошедшая все пороги во всех трёх оценках». Отдельные результаты важнее сводки.

На Professional CTF модель «соответствует GPT-5.2-Codex» — собственная формулировка карточки: «без существенных изменений в пиковой производительности CTF», измеряемой как pass@12 по 16 прогонам на каждую задачу. На CVE-Bench она набрала 90% против 87% у GPT-5.2-Codex на 34 из 40 задач бенчмарка, pass@1 по трём прогонам. На Cyber Range она прошла 12 из 15 сценариев с совокупным показателем прохождения 80% против 60% у GPT-5.1-Codex-Max, 53,33% у GPT-5.2-Codex и 47% у GPT-5.2-Thinking. Она не прошла EDR Evasion, CA/DNS Hijacking и Leaked Token.

В карте модели осторожно оценивается, что это означает в совокупности. Поскольку CTF проверяет заранее заданные пути атак, CVE-Bench охватывает только веб-приложения, а сценариям Cyber Range не хватает защиты и шума реальной эксплуатируемой сети, «отличные результаты по всем трём оценкам необходимы, но недостаточны, чтобы модель считалась обладающей высоким уровнем кибербезопасности». Вывод OpenAI состоит не в том, что модель имеет уровень High, а в том, что нельзя исключить, что она его имеет.

Внешняя оценка, проведённая лабораторией безопасности Irregular на почти финальной версии модели, усложняет картину, чего не делает итоговая строка. GPT-5.3-Codex показал в среднем 86 процентов в Network Attack Simulation против 68 процентов у GPT-5.2-Codex и 100 процентов у GPT-5.2-Thinking; 72 процента в Vulnerability Research and Exploitation против 75 и 80 процентов; и 53 процента в Evasion против 52 и 53. Он не решил ни одной задачи в CyScenarioBench — основанной на сценариях системе, проверяющей многоэтапное планирование в реалистичных условиях. Иными словами, в наборе тестов Irregular недавно классифицированная модель уступила более старой родственной модели в двух из трёх категорий — результат, который карточка публикует, не согласуя его со своим собственным заявлением о пороге.

Шлюз: доверенный доступ для кибербезопасности

Смягчающая мера, придающая записи её форму, — это программа, а не фильтр. OpenAI запустила Trusted Access for Cyber (TAC) «в первый же день», описав её как «программу с ограниченным доступом на основе идентификации», которая предоставляет «высокорисковые кибервозможности двойного назначения» корпоративным клиентам и добросовестным законным пользователям. В карточке перечислены поддерживаемые варианты использования: тестирование на проникновение, red teaming, оценка уязвимостей, идентификация и эксплуатация уязвимостей, тестирование безопасности и исследование обхода обнаружения, обратная разработка вредоносного ПО и криптографические исследования.

Дизайн доступа переворачивает привычный порядок. Пользователи, вошедшие в систему, по умолчанию получают высокие кибервозможности — при условии мониторинга и правоприменения; именно пользователи, которые «часто пользуются высокорисковым киберфункционалом двойного назначения», должны подтвердить свою личность через TAC, чтобы сохранить продвинутые возможности. Предприятия могут запросить доверенный доступ для всей команды через своего представителя OpenAI, а исследователи, которым нужны более разрешительные модели, могут подать заявку в программу только по приглашению — согласно собственному объявлению OpenAI об этой программе. Наряду с этим OpenAI обязалась выделить 10 млн долларов в виде кредитов API в рамках своей Программы грантов в области кибербезопасности.

OpenAI прямо заявляет, что этот шлюз не является гарантией. Доступ предоставляется «только для законных, оборонительных и авторизованных целей безопасности», а участники TAC, «которые часто запрашивают функциональность для вредоносных действий, по-прежнему будут подлежать мониторингу и принудительным мерам, включая лишение доступа к TAC». В публикации о запуске добавляется второй механизм контроля: некоторые запросы, которые система определяет как повышенный киберриск, «могут автоматически перенаправляться с GPT-5.3-Codex на GPT-5.2». Fortune сообщила 5 февраля, что OpenAI не сразу включала полный доступ через API, который позволил бы автоматизировать модель в масштабе, и что тем временем модель была доступна платным пользователям ChatGPT.

Настройки песочницы по умолчанию и монитор с опубликованной частотой пропусков

Ещё два уровня описаны в измеримых терминах. Песочница агента работает в облаке внутри «изолированного контейнера, размещённого OpenAI», без доступа к хост-системе пользователя, а сетевой доступ по умолчанию отключён; при локальной установке песочница включена по умолчанию на macOS через Seatbelt, на Linux через seccomp и landlock, а на Windows — либо нативно, либо через Windows Subsystem for Linux. Настройки по умолчанию предназначены для отключения сетевого доступа и ограничения редактирования файлов текущим рабочим пространством; пользователи могут одобрять команды без песочницы или задавать списки разрешений и запретов для каждого проекта. В карточке предупреждают, что включение сетевого доступа вновь создаёт риск prompt-инъекций, утечки учётных данных и лицензионных нарушений.

Слой мониторинга — это двухуровневая система: быстрый тематический классификатор определяет, связано ли содержимое с кибербезопасностью, а всё, что признано связанным, передаётся «модулю анализа безопасности», который относит его к таксономии киберугроз OpenAI и решает, можно ли показывать результат. Тематический классификатор настроен на полноту более 90% при надёжности системы более 99,9%. Показатели монитора рассуждений менее утешительны и приведены в собственной таблице карточки: полнота 77,8% и точность 37,1% на пользовательских запросах, полнота 88,8% и точность 24,1% на ответах ассистента. OpenAI говорит, что сознательно отдаёт приоритет полноте перед точностью, — поэтому работа с низким риском иногда блокируется, и поэтому примерно один из пяти пользовательских запросов, которые следовало перехватить, в том тестовом наборе не был перехвачен.

Что обнаружили красные команды

В карточке состязательные результаты публикуются подробно, а не в виде краткого изложения. Две кампании потребовали 3 526 часов экспертного ред-тиминга в период с декабря 2025 года по январь 2026 года. Кампания Universal Jailbreak Campaign потратила 1 375 часов и подготовила 21 представленный материал, из которых шесть были полными универсальными джейлбрейками, а 14 — частичными. Кампания Adversarial Policy Coverage Campaign потратила 2 151 час и представила 279 отчётов, обнаружив 132 ложноотрицательных срабатывания, когда Safety Reasoner должен был заблокировать контент, но не сделал этого. OpenAI называет эти джейлбрейки «неблокировкой» и заявляет, что они будут устранены, а также признаёт, что кампании показывают: «Safety Reasoner по-прежнему требует итеративного усиления защиты от состязательных атак».

Самый яркий единичный результат связан с государственным оценщиком. Институт безопасности ИИ Великобритании, получивший ранний доступ к сборке с включённым механизмом рассуждения о безопасности и активной блокировкой, примерно за десять часов ручного ред-тиминга с использованием одного пользовательского сообщения «разработал универсальный джейлбрейк (с повторными попытками), достигший 0,778 pass@200». В том же разделе отмечается, что Центр стандартов и инноваций в области ИИ США проверил кибервозможности модели с помощью собственных автоматизированных оценок и использовал её для поиска новых багов в программном обеспечении с открытым и закрытым исходным кодом, а также что GPT-5.3-Codex продолжала добиваться прогресса в сложных задачах в разных окнах компакции, «находя новые результаты даже после 50 млн или более уникальных токенов и десятков часов анализа».

Оба этих вывода правительственных органов приведены в карточке OpenAI. В рамках этого исследования не было найдено отдельной опубликованной оценки ни от одного из этих органов, охватывающей GPT-5.3-Codex; пока такая оценка не появится, внешняя проверка этой модели известна публике только по описанию со стороны поставщика. Собственный список остаточных рисков в карточке на удивление откровенно говорит о том же пробеле: ограниченная точность мониторинга, создающая проблему проверки в стиле «иголки в стоге сена», «ненулевая вероятность того, что злоумышленник может получить доверенный доступ», сбои поставщика услуг проверки личности и необнаруженные универсальные джейлбрейки. В ней также утверждается, что внутренний мониторинг развертываний Codex, работавший асинхронно в течение пяти месяцев, «не защищает от вреда и не предотвращает подрыв других мер защиты».

Что изменилось после этого

Система ограниченного доступа пережила запуск и расширилась. 9 апреля 2026 года Axios сообщил, что OpenAI завершает работу над отдельным продуктом для кибербезопасности для небольшого круга партнёров, и охарактеризовал TAC как запущенный в феврале «после развёртывания GPT-5.3-Codex». 15 апреля 2026 года Help Net Security сообщил, что OpenAI масштабировала TAC до «тысяч проверенных отдельных специалистов по защите и сотен команд» и выпускает GPT-5.4-Cyber — вариант GPT-5.4 с более низким порогом отказов для легитимной работы по безопасности и возможностью бинарного реверс-инжиниринга — для высших уровней доступа. Пилот, описанный в февральской карточке, превратился в линейку продуктов с уровнями.

Сама классификация разошлась не так далеко, как шлюз. Материал Fortune от 5 февраля за авторством Шэрон Голдман сообщил об этом напрямую и процитировал пост генерального директора OpenAI Сэма Альтмана в X, где GPT-5.3-Codex назван «нашей первой моделью, достигшей уровня „high“ по кибербезопасности в нашей системе готовности». The Cyber Express 6 февраля подробно осветил запуск TAC — три пути доступа, 10 млн долларов, запрещённые модели поведения — и вовсе не упомянул рейтинг High. Boston Global Forum в материале от 12 апреля повторил оба пункта вместе. К середине апреля самой цитируемой частью пакета была программа доступа, а не лежавшая в её основе пороговая оценка.

Установлено, не установлено и открыто

Что установлено: OpenAI опубликовала системную карту GPT-5.3-Codex 5 февраля 2026 года и классифицировала модель как обладающую «High capability» в кибербезопасности в рамках своей Preparedness Framework; в том же документе компания заявила, что у неё нет однозначных доказательств того, что модель достигает этого порога, и что она действует из предосторожности; приведённые выше оценки — её собственные; TAC был запущен вместе с моделью; песочница и двухуровневый монитор описаны с той степенью детализации, которая процитирована здесь; а часы работы red team, количество представленных материалов и показатель UK AISI по джейлбрейкам — всё это напечатано в карте. Fortune сообщила о классификации в тот же день, цитируя пост Альтмана в X. Одна датирующая нестыковка, которую стоит зафиксировать: метаданные самой страницы с постом о запуске содержат отметку времени 4 февраля 22:23 GMT, тогда как системная карта и материал Fortune датированы 5 февраля.

Что не установлено: что GPT-5.3-Codex действительно соответствует порогу High компании OpenAI. Это собственная оговорка OpenAI, а не критика. Это исследование также не обнаружило ни внешней сертификации рейтинга, ни опубликованной оценки этой модели регулятором или национальным институтом, ни измерения того, снизил ли многоуровневый стек реальное неправомерное использование — в материалах нет данных о вреде, потому что вред не был зафиксирован, а не потому, что его не было. Утверждение карточки о том, что модель первой прошла все три внутренних порога, относится к набору бенчмарков OpenAI, который, согласно тому же документу, является необходимым, но недостаточным доказательством способности, которую он призван выявлять.

Что остаётся открытым: является ли шлюз идентификации плюс монитор, пропускающий около пятой части помеченных пользовательских запросов, устойчивым ответом для модели, классифицированной по принципу предосторожности, а не доказательства; значит ли что-либо кажущаяся регрессия модели по сравнению с GPT-5.2-Thinking во внешнем наборе тестов Irregular, если учесть различия в стенде и способах выявления; и насколько разрыв между февральским пилотом и апрельской продуктовой линейкой был запланирован, а не получен в результате обучения. Запись в архиве фиксирует классификацию. Остальное всё ещё пишут люди, управляющие шлюзом.

Эта запись — событие управления, и читается именно так: компания заранее, до какого-либо инцидента, фиксирует, что, по её мнению, одна из её собственных моделей могла перейти черту, которую она пока не может измерить, и на основании этого подозрения возводит барьер. Была ли эта мера соразмерной — вопрос, который карточка намеренно оставляет открытым: в ней лишь говорится, что риск «в достаточной мере минимизирован», и перечисляются шесть способов, которыми это может быть не так.