OpenAI не смогла исключить наличие критически важной киберспособности в Astra и приостановила лишь часть своей работы

В пятницу, 7 августа 2026 года, OpenAI опубликовала пост, в котором говорилось, что её последние внутренние оценки Astra, одной из её предстоящих моделей, указывали на «значительный прогресс в агентном кодировании и кибербезопасности» и что она не могла исключить, что модель достигнет уровня Critical — высшего киберуровня в её Preparedness Framework. Вывод был сделан «прошлой ночью», говорится в посте, после нескольких дней тестирования. Ничему не был нанесён ущерб: в посте описаны оценки, а не вторжение, и OpenAI заявила, что Astra «не участвовала в эксплуатации Hugging Face». Изменилось внутреннее — разработка, не соответствовавшая усиленным мерам безопасности, была приостановлена, а работа, которая соответствовала, продолжалась. Наиболее непосредственно затронуты разработчики OpenAI, а также тестировщики и защитники, которые в конечном итоге получат доступ. Запись об этом решении представляет собой одну запись в архиве инцидентов ИИ, где собраны источники этого инцидента, его оценка и соседние записи.

Для события в сфере управления поразительно, как мало утверждается в этом посте. В нём не приводится ни оценка, ни результат тестирования, ни стенограмма, ни имя внешнего оценщика. В нём сообщается о суждении: на основании имеющихся данных OpenAI не могла исключить уровень возможностей, который она никогда прежде не присваивала ни одной из своих моделей. Это делает документ стоящим прочтения сразу в двух качествах — как раскрытие информации о модели и как проверка того, меняет ли собственная система безопасности компании то, что компания делает.

Что означает «Critical» в фреймворке OpenAI

Система Preparedness Framework, впервые опубликованная в декабре 2023 года и пересмотренная в версии 2 15 апреля 2025 года, отслеживает три категории: биологические и химические возможности, кибербезопасность и самоулучшение ИИ. В каждой из них предусмотрено два уровня возможностей — Высокий и Критический. Киберпорог почти дословно совпадает в этой системе и в августовской публикации OpenAI: модель достигает Критического уровня, если способна «выявлять и разрабатывать функциональные эксплойты нулевого дня всех уровней серьёзности во многих защищённых реальных критических системах без вмешательства человека» или если способна «разрабатывать и реализовывать новые сквозные стратегии кибератак против защищённых целей, имея лишь высокоуровневую желаемую цель».

High — это уровень ниже. В публикации OpenAI говорится, что предыдущие модели, «включая GPT-5.6 Sol», оценивались на предмет передовых кибервозможностей и получили оценку High, а не Critical. Это различие важно, поскольку фреймворк предусматривает разные обязательства для каждого уровня. Для модели, достигшей уровня Critical, фреймворк требует мер защиты, которые «в достаточной степени минимизируют связанные риски в ходе разработки, независимо от планов развертывания». В его таблице по кибербезопасности сказано ещё прямее: «Пока мы не определим стандарты мер защиты и средств контроля безопасности, соответствующие стандарту Critical, дальнейшую разработку приостановить».

Формулировка от 7 августа не является обозначением. В публикации говорится, что её «предварительные оценки указывают на достаточно высокую производительность, чтобы на данный момент нельзя было исключить уровень Critical capability level». Компания всё ещё проводила бенчмаркинг и сообщала об этом.

Что сделала OpenAI и что охватывала пауза

В посте перечислены пять внутренних мер, и все они изложены как условия для продолжения работы, а не как причины её прекратить:

Более строгие меры безопасности для моделей с более высокими возможностями и связанной с ними деятельности: «изолированные среды тестирования, ограниченный доступ к сетям и инструментам, усиленная защита и шифрование весов моделей, дополнительные возможности мониторинга и обнаружения, а также выполнение в песочнице».

• Приостановка «внутренних видов деятельности с участием Astra, которые пока не соответствуют этим усиленным требованиям к средствам контроля безопасности». Работа, соответствовавшая им, могла продолжаться.

• «Универсальный мониторинг рискованных действий и отклонений от целей во всех агентных приложениях Astra, включая обучение и оценку», при этом мониторы считывают цепочку рассуждений модели и запускают ответную реакцию службы безопасности для проверки и прерывания высокорисковой активности.

• Тестирование с «соответствующими государственными органами и отдельными организациями по безопасности ИИ».

• Рекомендуемые меры безопасности для сторонних партнёров по тестированию, выполняющих оценки и рабочие нагрузки с повышенным уровнем риска.

OpenAI сама описала этот прецедент. «В июне 2025 года, когда наши модели приблизились к порогу высоких возможностей в области биологии в рамках Preparedness Framework, — говорится в сообщении, — компания обозначила шаги по усилению защитных мер, расширению тестирования, взаимодействию с внешними экспертами и добавлению механизмов контроля безопасности, и что она «применяет тот же принцип здесь». Подробность, которую стоит сохранить, — это уровень: собственное описание OpenAI относит тот биологический случай июня 2025 года к категории «Высокий», на один уровень ниже кибероценки, которую она теперь раскрывала.

Сразу же в прессе это прочли так, будто лаборатория нажала на тормоза. The Next Web, опубликовавшее материал 7 августа в 17:36 UTC, описало паузу в «некоторой внутренней работе» при продолжении тестирования и сообщило, что Axios назвал это «возможно, первым случаем, когда передовая лаборатория замедлила одну из собственных моделей из-за киберриска». Это корректное описание объявления. Это не равнозначно остановке, и в посте об этом не утверждается.

Что не устанавливает публикация от 7 августа

Вся неопределённость этой записи заключается в разрыве между «не может исключить» и «достигла», и публикация не пытается его устранить. В ней не приводится ни названия бенчмарка, ни доли успешных попыток, ни числа найденных уязвимостей, ни описания тестировавшихся систем, ни стенограммы, ни независимой оценки, ни даты выпуска. В ней не говорится, к какому из двух критических условий приближалась Astra и насколько. В ней сказано лишь, что доказательства были достаточно весомыми, чтобы компания не могла исключить высший уровень.

Таким образом, запись по состоянию на ту дату фиксирует раскрытие информации и ответную реакцию — а не измеренную способность. Суждение о способности принадлежит самой OpenAI и основано на внутренних оценках, которые она не публиковала; OpenAI не назвала внешнего оценщика, и ни одна сторонняя лаборатория публично не проверяла Astra на соответствие определению Critical. Запись имеет высший уровень уверенности, помечена как неоспоримая и зафиксирована без реального ущерба, что соответствует тому, что на самом деле содержит публикация: заявление компании, а не отчёт об инциденте.

Что случилось дальше

К 1 сентября 2026 года предварительная формулировка изменилась. В последующей публикации под заголовком «Путь к Astra: критические возможности и передовые гарантии безопасности», OpenAI писала: «Теперь мы считаем, что Astra соответствует порогу критических возможностей в области кибербезопасности в рамках нашей Preparedness Framework... Это первая модель, которую мы обозначаем на этом уровне».

Тот же пост содержал конкретные детали, которых не хватало в августовском раскрытии. Их стоит разделить по категориям:

• Бенчмарки.Astra набрала 100% в ExploitBench — публичном бенчмарке по превращению известных уязвимостей в эксплойты. Из-за опасений по поводу загрязнения данных OpenAI также создала внутренний вариант, содержащий 20 уязвимостей V8 высокой критичности, раскрытых с июня по август 2026 года; в этом наборе, как говорится в публикации, Astra обнаружила и использовала «две уязвимости нулевого дня как часть цепочки эксплойтов», и OpenAI заявила, что находится в процессе раскрытия их мейнтейнерам.

• Оценки под руководством экспертов.В условиях защищённого браузера Astra построила цепочку, которая позволила выйти из песочницы и выполнить команды на хосте; в системной карте указано, что первоначальный успех потребовал 29 часов при работе со сборкой, которая, как установили эксперты, не имела некоторых мер защиты, применяемых в производственной среде, а на адаптацию эксплойта к официальному стабильному релизу потребовалось ещё 12 часов. В условиях защищённой операционной системы Astra объединила уязвимости в локальное повышение привилегий от непривилегированного пользователя до root за 12 часов.

• Доля отказов. В ходе оценок кибер-джейлбрейков OpenAI Astra отклонила 91,5% запросов, тогда как GPT-5.6 Sol — 59%; эта цифра воспроизводится в системной карте.

• Независимая проверка, с ограничением. Системная карточка, опубликованная 3 сентября 2026 года для модели, которую OpenAI выпустила в тот день под названием GPT-6 Astra, включает внешнюю оценку, проведённую лабораторией безопасности Irregular. Irregular обнаружила, что Astra справилась с 86 из 226 задач FrontierCyber против 34 из 226 у GPT-5.6 Sol, включая уязвимости нулевого дня, затрагивающие браузеры, мобильные телефоны и облачные базы данных. Она также «не обнаружила ни одной успешной атаки на полностью защищённые цели», и ни одна из моделей не решила ни одной из семи задач Elite.

В публикации от 1 сентября также раскрывались очертания паузы. OpenAI сообщила, что за последние несколько недель она «задержала отдельные этапы разработки и выпуска Astra» и что она «перезапустила масштабный фронтирный RL-прогон, который ранее был приостановлен» 28 августа 2026 года, после того как новые требования в области безопасности и защиты вступили в силу. Доступ был организован по уровням: передовая работа в области кибербезопасности сначала должна была перейти к небольшой группе тестировщиков, а вслед за ней — программа Daybreak Blue.

Установлено, предварительно и не установлено

• Установлено. OpenAI опубликовала раскрытие информации 7 августа 2026 года и заявила, что не может исключить критическую киберспособность в Astra; она перечислила меры контроля и частичную приостановку, описанные выше. The Next Web сообщило об этом посте в тот же день, а Axios осветил это как замедление из-за киберриска.

• Установлено позднее. 1 сентября 2026 года OpenAI определила Astra как соответствующую критическому порогу — первую модель, которую она определила на этом уровне, — и опубликовала результаты бенчмарков и экспертных оценок. Системная карта от 3 сентября содержит тот же показатель отказов и внешнюю оценку Irregular.

• Предварительно и по самооценке. Вывод о возможностях принадлежит OpenAI и основан на оценках OpenAI. По состоянию на 7 августа ни одна внешняя лаборатория публично не тестировала модель на соответствие определению Critical, и в публикации не был указан внешний оценщик. Более поздняя внешняя проверка, проведённая Irregular, уже, чем указанный статус, и явно не выявила успешных атак на полностью защищённые цели.

• Не установлено. Что Astra действительно достигла критического порога 7 августа; в сообщении говорится лишь, что компания не могла это исключить. Что какая-либо реальная система была скомпрометирована: в записи не фиксируется ущерб, и OpenAI заявила, что Astra не была замешана в инциденте с Hugging Face. Равным образом не установлено, что частичная пауза соответствовала собственной формулировке фреймворка «прекратить дальнейшую разработку» — OpenAI продолжила работу, отвечавшую её новым механизмам контроля, и достаточность этих механизмов оценивала сама компания, а не внешний орган.

Вопрос управления, который остаётся открытым в записи

Эта структура — самообязывающий инструмент. Она обязывает OpenAI соблюдать пороговые значения и меры защиты, но оценку и решение о достаточности оставляет самой OpenAI — при внутренней проверке со стороны её Консультативного совета по безопасности и надзоре совета директоров. В публикации от 7 августа описывается консультация — государственные органы и «отдельные организации по безопасности ИИ» протестируют модель, — однако в ней не назван регулятор, не опубликованы критерии и не указана дата. Ничто в материалах не свидетельствует о том, что это решение проверяла какая-либо внешняя сторона.

Что действительно показывают записи, так это то, что механизм сдвинулся. Оценка возможностей изменила внутреннюю практику в течение дня: контроль усилили, часть работ остановили, мониторинг расширили на обучение и оценку, а доступ к самым мощным функциям позже ограничили для тестировщиков. Это больше, чем пресс-релиз, и меньше, чем внешняя проверка.

Неразрешённая часть — это та, которую структура не может урегулировать сама по себе. «Нельзя исключить» — это утверждение о доказательствах, а не о возможностях, и оно оставляет компании решать, сколько доказательств достаточно, прежде чем она возобновит работу. OpenAI возобновила масштабный прогон обучения 28 августа, 1 сентября присвоила модели категорию Critical и 3 сентября выпустила её как GPT-6 Astra. Каждый шаг документирован. Должен ли был каждый шаг произойти именно тогда, когда произошёл, — это суждение, которое запись фиксирует, но не даёт на него ответа.