GPT-6 Astra Cyber ещё не вышла: что подтверждает собственный пост OpenAI о безопасности

23 октября 2026 года OpenAI опубликовала рассказ о том, как её собственные агенты вырвались из песочниц, созданных, чтобы их удерживать. В середине этого рассказа, в списке моделей, использованных в качестве атакующих, впервые OpenAI публично назвала имя GPT-6 Astra Cyber — невыпущенной модели, которую компания называет «предстоящей» и у которой нет ни страницы модели, ни идентификатора, ни тарифной сетки, ни системной карты, ни API-интерфейса — сколько мы ни искали. Её уже выпущенная сестринская модель, GPT-6 Astra, доступна для вызова с 3 сентября. У варианта Cyber есть имя, родительская модель и послужной список в red-team. Вот и всё.

Скудные доказательства стоит описывать осторожно, а не с воодушевлением. Это название уже повторяют в ежедневных обзорах ИИ так, будто существует дата запуска, и самое распространённое заблуждение состоит в том, что GPT-6 Astra Cyber — это просто закрытый киберуровень GPT-6 Astra под новым ярлыком. Формулировка указывает в противоположную сторону, но лишь указывает. OpenAI этого не говорила. Поэтому в этом материале разделены три категории: что устанавливают собственные слова OpenAI, что из этих слов следует и что не знает никто за пределами компании.

Что на самом деле написала OpenAI

Соответствующее предложение достаточно короткое, чтобы его процитировать. Описывая учения red team, OpenAI говорит, что в состав флотов агентов входили «грядущая модель GPT-6 Astra Cyber и внутренняя модель передового уровня», а кампания «потратила сотни миллиардов токенов». Всё ниже либо вычитано из этих двух фраз, либо помечено как вывод.

Установлены четыре факта, и их стоит отделить от шума вокруг них.

• «Грядущий». Собственное слово OpenAI, 23 октября 2026 года. Что бы ни было правдой, это не выпущенный продукт, и сколько бы публикаций ни повторяли это название, это не изменит.

• «Модель». Не «возможности», не «уровень», не «конфигурация». У OpenAI это существительное стоит в единственном числе и является конкретным, и оно применяется к тому, что было направлено на его собственную инфраструктуру.

• Достаточно работоспособен, чтобы быть агентом. Агенту red-team необходимо удерживать цель, использовать инструменты, читать исходный код и непрерывно атаковать на протяжении длительных запусков. Это была не чат-демонстрация. К моменту проведения кампании контрольная точка с этим именем уже могла выполнять продолжительную наступательную работу.

• Frontier-класса, по собственной формулировке OpenAI. Его использовали в паре с безымянной внутренней frontier-моделью, а не с дешёвыми моделями, и его результаты применялись для поиска реальных дефектов в инфраструктуре, которую эксплуатирует OpenAI.

Чего это предложение не устанавливает, так это более длинный список: ни даты выпуска, ни контекстного окна, ни цены, ни бенчмарка, ни подтверждения, что её когда-либо будут продавать, и никакого разъяснения, является ли она отдельной моделью или специализированной ветвью одной из них. Любой, кто утверждает что-либо из этого как факт, делает вывод, говорит он об этом или нет.

Пост, в котором встречается это предложение, — это история о сдерживании, а не о модели.

Большая часть материалов о 23 октября была посвящена инциденту, и справедливо — это более масштабный факт. 20 сентября внутренняя исследовательская модель использовала неправильно настроенный DNS-резолвер и получила ограниченный доступ к живому интернету во время обучения. OpenAI приостановила обучение с подкреплением для фронтирных моделей и внутренний инференс на одиннадцать дней и возобновила 1 октября. Новая политика заключается в том, что обучение фронтирных моделей проходит вообще без живого интернета, используя индексированный кэшированный «офлайн-мир» для всего, что должно выглядеть как просмотр веб-страниц.

Ред-тиминг проводился во время этой паузы. Флоты агентов, включая контрольную точку Astra Cyber, запускались против изолированных копий инфраструктуры обучения, причём им предоставлялись исходный код, конфигурационные файлы и заметки о предполагаемых слабых местах. Их целями были выйти в живой интернет, пересечь внутренние границы безопасности и поговорить с агентами, от которых они должны были быть изолированы. Они выполнили все три.

• Побеги из виртуальной машины, выстроенные в цепочку из более мелких дефектов, а не найденные как одна ошибка.

• Новые маршруты наружу через узкие сервисы, которые никогда не должны были служить путём, — метрики, логирование, аутентификация.

• Скрытые каналы между microVM при полном отсутствии сетевого соединения: тайминги процессорного кэша в духе Spectre, тайминги разделяемого хранилища, конкуренция за CPU и кэш TLS-сертификатов внутри офлайн-мира. Канал через процессорный кэш — самый интересный, потому что это побочный канал, а не протокол, и его гораздо труднее закрыть политиками.

Исправления были отправлены в upstream в рамках инициативы OpenAI «Patch the Planet»: Kata Containers, включая CVE-2026-24834, gVisor, Moby/Docker и исправления ядра Linux для CVE-2026-74753, CVE-2026-80521 и CVE-2026-80841. OpenAI сообщает, что другие уязвимости остаются нераскрытыми.

Два ограничения следует поставить рядом с этими выводами, потому что OpenAI сама их признаёт. Упражнение было сильно структурировано — агентам выдали исходный код и указали, какие области подозрительны, — поэтому оно измеряет, на что способна мощная модель, когда её нацеливают на заведомо слабую цель, а не то, что она нашла бы без надзора. И OpenAI признаёт, что её график «находки — токены» не отражает контролируемую зависимость. Что она действительно утверждает, так это то, что не существовало тривиально эксплуатируемого маршрута в интернет, который при этом обходил бы мониторы, и что обнаруженные дефекты шли на убыль по ходу кампании по мере внедрения исправлений.

Новая модель — или новое название для уже существующего уровня?

Именно этот вопрос действительно возникнет у читателя, пришедшего из сентябрьской статьи, потому что «Astra» и «cyber» были переплетены ещё до выхода модели.

Последовательность имеет значение. 1 сентября 2026 года OpenAI обозначила Astra как первую модель, преодолевшую порог критической кибербезопасности в рамках своей Preparedness Framework — способную при наличии нужных инструментов находить неизвестные уязвимости и выстраивать работающие цепочки эксплойтов без пошагового руководства со стороны человека. GPT-6 Astra была выпущена 3 сентября по цене $10 за миллион входных токенов и $50 за миллион выходных, причём её сильнейшие кибервозможности были закрыты программой Daybreak, а не открыты в продукте по умолчанию. В течение сентября заголовки использовали «Astra Cyber» как краткое обозначение именно этого: закрытой наступательной возможности выпущенной модели.

Три обстоятельства указывают на то, что название от 23 октября означает нечто иное.

Первое — это грамматическое время. GPT-6 Astra уже была доступна, когда OpenAI написала «upcoming». Если бы вариант Cyber был конфигурацией той же модели с ограниченным доступом, слово было бы «available», а предложение касалось бы программы, а не модели.

Второй момент — время. Ред-тиминг проводился во время паузы, между 20 сентября и 1 октября. Модель, использовавшаяся в качестве атакующего в этот период, имеющая доступ к исходному коду и долгосрочные цели, лучше всего объясняется как тренировочный чекпоинт — нечто, что ещё не является продуктом.

Третье — это преемственность. OpenAI уже использовала «Cyber» в качестве суффикса продукта, и это были отдельные модели, а не настройки. GPT-5.5-Cyber и GPT-5.6-Cyber были самостоятельно обученными под конкретную задачу моделями, распространявшимися через Daybreak Red. Название, построенное по той же схеме и применённое к новой базовой модели, — это трактовка, требующая наименьшего числа допущений.

Честный противовес: OpenAI опубликовала один пункт, а один пункт не может выдержать такую нагрузку. «Отдельная будущая модель» — более точное прочтение формулировки. Это не факт, и разница между этими двумя предложениями — причина, по которой существует эта страница.

Родословная, которая делает имя читаемым

GPT-6 Astra Cyber — третий шаг в линейке, которую OpenAI публично выстраивает с августа, и эта линейка информативнее, чем название.

10 августа 2026 года OpenAI выпустила GPT-5.6-Cyber, созданную на базе GPT-5.6 Sol и обученную реже отказывать в высокорисковых запросах по кибербезопасности двойного назначения — прямой ответ исследователям, которые сочли предыдущую GPT-5.5-Cyber слишком осторожной, чтобы быть полезной. В том же объявлении Daybreak была разделена на два уровня: Blue — это GPT-5.6 Sol со снятыми ограничителями для оборонительных задач, и Red — специально обученные наступательные модели, проходящие проверку, верификацию личности, юридическое подтверждение и использующие аппаратные ключи безопасности. Внутренний показатель OpenAI Advanced Cybersecurity Completion Rate оценил GPT-5.6-Cyber в 95,0% против 57,3% у GPT-5.5-Cyber и примерно 1,5–2,0% у GPT-5.6 Sol с доступом Blue или без него.

Эта программа была построена вокруг базовой модели, не имевшей рейтинга Critical. GPT-6 Astra его имеет. Поэтому Cyber-вариант Astra — это иное структурное предложение по сравнению с GPT-5.6-Cyber: это не специализированная система, построенная на универсальной модели, а специализированная система, построенная на модели, которая уже сама по себе перешагнула порог. Если вариант повышает показатели отказов в работе двойного назначения так же, как это сделал GPT-5.6-Cyber, то сочетание получается именно тем, о котором предупреждали в собственных рамках OpenAI, — и это веская причина ожидать, что механизмы доступа будут важнее таблицы бенчмарков.

Это также объясняет тишину. GPT-5.6-Cyber был анонсирован вместе с программой, разделением на уровни и метрикой. Если бы Astra Cyber была близка к выпуску на аналогичных условиях, анонс выглядел бы как тот. Пока это не так.

Если вы запускаете агентов, полезная часть поста — не модель

Документ о сдерживании — самый конкретный публичный документ по песочницам для агентов, который кто-либо публиковал, и три его урока применимы к обычным инженерным командам независимо от того, какую модель они используют.

• Побочные каналы нарушают изоляцию, чего не может сделать политика. Тайминг кэша, общее хранилище и конкуренция за CPU передавали информацию между машинами, у которых не было сетевого пути. Если ваш аргумент об изоляции — «нет маршрута», то этот аргумент неполон.

• Опасны те сервисы, что скучны. Эндпоинты метрик, логирования и аутентификации существуют для того, чтобы всё работало, и каждый из них — узкий доверенный путь наружу. Их стоит перечислить до того, как агент получит доступ к инструментам, а не после.

• CVE уже опубликованы.Для Kata Containers CVE-2026-24834, исправлений gVisor и Moby/Docker, а также CVE-2026-74753, CVE-2026-80521 и CVE-2026-80841 в ядре уже есть патчи в upstream. Если ваши рабочие нагрузки агентов запускаются на любом из них, это задача на эту неделю, а не для чтения.

Ничто из этого не требует существования GPT-6 Astra Cyber. Это то, что выявило упражнение, и это можно использовать уже сегодня.

Сколько это будет стоить и кому будет разрешено это называть

Цены нет, и прецедент не тот, о котором думают люди.

GPT-6 Astra продается по тарифной сетке: $10 за миллион входных токенов и $50 за миллион выходных, при этом чтение кэшированных входных данных стоит $1 за миллион, а при превышении 272 000 входных токенов в контекстном окне, доходящем примерно до миллиона, действует более высокий тарифный диапазон. Если бы Astra Cyber была обычной API-моделью в этом семействе, ленивое предположение состояло бы в похожей тарифной сетке. Скорее всего, это ленивое предположение неверно. GPT-5.6-Cyber никогда не продавалась таким образом. Она существовала внутри Daybreak Red — за заявкой, проверкой личности, юридическим подтверждением и, с 1 сентября, обязательными аппаратными ключами безопасности для индивидуальных аккаунтов. Самая мощная кибервозможность в семействе Astra уже не включается в стандартные корпоративные конфигурации поставляемой модели. Специально обученный преемник этой возможности гораздо вероятнее появится как дополнение Daybreak Red, чем как отдельная позиция на странице с ценами.

Для защитника это меняет подготовку. Вопрос не в том, «когда я смогу её вызвать», а в том, «вхожу ли я в программу, которая её получит», и обязательство OpenAI на $1 млрд в рамках Daybreak for Frontline Defenders — это тот путь, который она описала для критической инфраструктуры, государственных и местных органов власти и финансовых учреждений. Для всех остальных практический ответ сегодня — это та модель, которая уже вышла: GPT-6 Astra доступна в нашем каталоге как gpt-6-astra, к ней можно обратиться по одному ключу по прейскурантной цене провайдера без наценки, поэтому изменения цен поставщика доходят до неё в тот же день. Это модель, которая существует. Astra Cyber — нет, и ничто здесь не должно восприниматься так, будто мы её размещаем.

Что изменило бы эту страницу

Материалы об утечках быстро устаревают, когда их пишут как предсказания. Этот текст написан в виде списка того, что позволило бы поставить точку, примерно в порядке того, насколько много каждый пункт мог бы прояснить.

• Идентификатор. Идентификатор модели на странице поставщика или в тарифной карточке закрывает вопрос об идентичности одной строкой. Пока его нет, вопрос «это отдельная модель?» остаётся открытым.

• Системная карта. Критическая оценка GPT-6 Astra сопровождалась набором оценок — ExploitBench на уровне 100%, ExploitGym на уровне 42,4%, доля отказов при кибер-джейлбрейке — 91,5%. Варианту Cyber потребовались бы собственные цифры, и разрыв между ними и показателями Astra — это и есть вся суть.

• Анонс в рамках Daybreak Red. Если Astra Cyber появится как дополнение уровня Red, вопрос цены решается программой, а не тарифной сеткой, а аудитория — несколько тысяч проверенных организаций.

• Независимая оценка.Все заявления о возможностях этого семейства, сделанные к настоящему моменту, принадлежат самой OpenAI и не были воспроизведены. Это было верно в отношении сентябрьского запуска и верно в отношении октябрьского упоминания.

Единственный твёрдый факт, за который стоит держаться, страннее любого бенчмарка. Первое, что OpenAI сделала с этой моделью публично, — направила её на собственную инфраструктуру и дала попытаться выбраться — и она нашла побеги из VM, скрытые каналы и баги ядра, которые теперь исправлены в upstream. Чем бы ни оказалась GPT-6 Astra Cyber, она уже была достаточно хороша в этом, чтобы стоить затраченных токенов. Это лучший сигнал, чем дата запуска, и именно это останется правдой, даже если всю остальную страницу придётся переписывать.