GPT-5.3-Codex bedömdes som hög för cyber. OpenAI har inga definitiva bevis.

Den 5 februari 2026 publicerade OpenAI systemkortet för GPT-5.3-Codex och klassificerade i det modellen som hög kapacitet inom cybersäkerhetsdomänen enligt sitt Preparedness Framework – första gången företaget har tillämpat den beteckningen på någon modell inom den domänen. Meningen som följer på klassificeringen är värd att läsa två gånger: "Vi har inga definitiva bevis för att den här modellen når vårt höga tröskelvärde." OpenAI uppgav att man agerade av försiktighetsskäl, eftersom modellen klarade alla sina canary-trösklar och företaget därför inte kunde utesluta att kapaciteten verkligen fanns. Inget intrång skedde och inget offer finns registrerat: detta är en klassificering, inte en incident, och den arkiveras som en policy-post med en landmärkesflagga. Arkivets egen post för klassificeringen, med dess allvarlighets- och konfidensgrader, finns i Orca AI Incident Archive bredvid årets övriga styrningsposter.

Vad "Hög" betyder, och vem som bestämmer

OpenAI:s Preparedness Framework drar två trösklar. Hög kapacitet "skulle kunna förstärka befintliga vägar till allvarlig skada"; kritisk kapacitet "skulle kunna introducera aldrig tidigare skådade nya vägar till allvarlig skada." System som omfattas och når Hög måste ha skyddsåtgärder som i tillräcklig utsträckning minimerar den associerade risken före driftsättning, och system som når Kritisk behöver dem även under utveckling, enligt OpenAI:s egen beskrivning av ramverket. Granskningen som beskrivs där är intern: Safety Advisory Group bedömer om skyddsåtgärderna i tillräcklig utsträckning minimerar risken och kommer med rekommendationer, och dess vägledning går till OpenAI:s ledning för det slutliga beslutet. Systemkortet beskriver inget externt godkännande av bedömningen.

Den cyberspecifika definitionen är snävare än rubriken. OpenAI definierar High cybersecurity capability som en modell som ”undanröjer befintliga flaskhalsar för att skala cyberoperationer”, antingen genom att ”automatisera cyberoperationer från början till slut mot rimligt härdade mål” eller genom att ”automatisera upptäckten och utnyttjandet av operativt relevanta sårbarheter”. Kortet är tydligt med att tröskeln handlar om att undanröja flaskhalsar i en kampanj, inte om en modell som kan lösa en svår utmaning: OpenAI skriver att frontier-cyberrisk ”bedöms bäst i termer av operationer eller kampanjer, snarare än enskilda åtgärder”.

Om man läser det så säger klassificeringen den 5 februari något specifikt. Den säger att OpenAI anser att den flaskhals som den här modellen tar bort är den skicklighet och uthållighet som ett långvarigt intrång kräver — och att företaget valde att begränsa och övervaka åtkomsten i stället för att vänta på bevis för att den gör det.

Tre utvärderingar, och en jämförelse som går åt andra hållet

OpenAI använder tre benchmarks för de tre förmågor som det förknippar med allvarlig cyberskada: Professional Capture the Flag för identifiering och utnyttjande av sårbarheter, CVE-Bench för konsistens och Cyber Range för end-to-end-operationer i ett emulerat nätverk. GPT-5.3-Codex är, enligt kortets ord, "den första modellen som klarar alla tröskelvärden i alla tre utvärderingarna." De enskilda resultaten spelar större roll än sammanfattningen.

På Professional CTF "matchar" modellen GPT-5.2-Codex — kortets egen förklaring är "ingen väsentlig förändring av topprestationen inom CTF", mätt som pass@12 över 16 rollouts per utmaning. På CVE-Bench fick den 90 procent mot 87 procent för GPT-5.2-Codex, på 34 av benchmarks 40 utmaningar, pass@1 över tre rollouts. På Cyber Range klarade den 12 av 15 scenarier för en sammanlagd godkännandegrad på 80 procent, mot 60 procent för GPT-5.1-Codex-Max, 53,33 procent för GPT-5.2-Codex och 47 procent för GPT-5.2-Thinking. Den misslyckades med EDR Evasion, CA/DNS Hijacking och Leaked Token.

Kortet är försiktigt med vad det sammantaget innebär. Eftersom CTF testar förskriptade attackvägar, CVE-Bench bara omfattar webbapplikationer och Cyber Range-scenarier saknar försvaren och bruset i ett nätverk som är i verklig drift, är "att utmärka sig i alla tre utvärderingarna nödvändigt men inte tillräckligt för att en modell ska anses vara High i cybersäkerhetsförmåga." OpenAI:s slutsats är inte att modellen är High, utan att det inte går att utesluta att den är det.

Den externa utvärderingen, som utfördes av säkerhetslabbet Irregular på en nästan färdig version av modellen, komplicerar bilden på ett sätt som sammanfattningsraden inte gör. GPT-5.3-Codex hade i genomsnitt 86 procent på Network Attack Simulation, mot 68 procent för GPT-5.2-Codex och 100 procent för GPT-5.2-Thinking; 72 procent på Vulnerability Research and Exploitation, mot 75 och 80 procent; och 53 procent på Evasion, mot 52 och 53. Den löste inga av utmaningarna i CyScenarioBench, ett scenariobaserat ramverk som testar flerstadieplanering under realistiska begränsningar. Med andra ord låg den nyligen klassificerade modellen efter ett äldre syskon i två av tre kategorier i Irregulars testsvit – ett resultat som modellkortet publicerar utan att stämma av det mot sitt eget påstående om tröskelvärdet.

Porten: Betrodd åtkomst för cyber

Den åtgärd som ger posten dess form är ett program, inte ett filter. OpenAI lanserade Trusted Access for Cyber (TAC) "från dag ett" och beskrev det som ett "identitetsbaserat, åtkomstbegränsat program" som tillhandahåller "cyberkapacitet med hög risk och dubbla användningsområden" till företagskunder och välvilliga, legitima användare. Kortet listar de användningsområden som stöds: penetrationstestning, red teaming, sårbarhetsbedömning, identifiering och exploatering, säkerhetstestning och utredning av undvikande av upptäckt, omvänd utveckling av skadlig programvara och kryptografisk forskning.

Åtkomstmodellen vänder på den vanliga ordningen. Inloggade användare får som standard hög cyberkapacitet, med förbehåll för övervakning och verkställighet; det är användare som "ofta utnyttjar cyberfunktionalitet med hög risk och dubbla användningsområden" som måste verifiera sin identitet via TAC för att behålla avancerade funktioner. Företag kan begära betrodd åtkomst för ett helt team via sin OpenAI-representant, och forskare som behöver mer tillåtande modeller kan ansöka till ett program med enbart inbjudan, enligt OpenAI:s eget tillkännagivande av programmet. Vid sidan av detta åtog sig OpenAI att bidra med 10 miljoner dollar i API-krediter genom sitt Cybersecurity Grant Program.

OpenAI är tydliga med att grinden inte är någon garanti. Åtkomst beviljas "endast för legitima, defensiva och auktoriserade säkerhetsändamål", och TAC-deltagare "som ofta efterfrågar funktionalitet för skadliga åtgärder kommer fortfarande att omfattas av övervakning och åtgärder, inklusive att förlora åtkomst till TAC". Lanseringinlägget tillägger en andra kontroll: vissa förfrågningar som systemet bedömer utgör förhöjd cyberrisk "kan automatiskt dirigeras om från GPT-5.3-Codex till GPT-5.2". Fortune rapporterade den 5 februari att OpenAI inte omedelbart aktiverade full API-åtkomst som skulle göra det möjligt att automatisera modellen i stor skala, och att modellen under tiden var tillgänglig för betalande ChatGPT-användare.

Sandbox-standardvärden och en monitor med en publicerad missfrekvens

Ytterligare två lager beskrivs i mätbara termer. Agent-sandlådan körs i molnet i ”en isolerad container som tillhandahålls av OpenAI” utan åtkomst till användarens värdsystem och med nätverksåtkomst inaktiverad som standard; vid en lokal installation är sandlådeisolering standard på macOS via Seatbelt, på Linux via seccomp och landlock, och på Windows antingen inbyggt eller via Windows Subsystem for Linux. Standardinställningarna är utformade för att inaktivera nätverksåtkomst och begränsa filändringar till den aktuella arbetsytan, och användare kan godkänna kommandon utan sandlåda eller ange tillåtna och blockerade listor per projekt. Kortet varnar för att aktivering av nätverksåtkomst återinför risker för prompt-injektion, läckage av autentiseringsuppgifter och licensrisk.

Övervakningslagret är ett tvåskiktat system: en snabb ämnesklassificerare avgör om innehåll är cybersäkerhetsrelaterat, och allt som är det eskaleras till en "safety reasoner" som placerar det i OpenAI:s taxonomi för cyberhot och avgör om utdata kan visas. Ämnesklassificeraren är inställd för mer än 90 procents recall vid mer än 99,9 procents systemtillförlitlighet. Siffrorna för resonemangsmonitorn är mindre betryggande och återges i kortets egen tabell: 77,8 procents recall och 37,1 procents precision för användarpromptar, 88,8 procents recall och 24,1 procents precision för assistentsvar. OpenAI säger att man medvetet optimerar för recall framför precision, vilket är anledningen till att lågriskarbete ibland blockeras – och till att ungefär en av fem användarpromptar som borde ha fångats, i den testuppsättningen, inte fångades.

Vad de röda teamen hittade

Kortet publicerar de adversariella resultaten i detalj i stället för i sammanfattning. Två kampanjer förbrukade 3 526 timmar av expertred teaming mellan december 2025 och januari 2026. Universal Jailbreak-kampanjen spenderade 1 375 timmar och producerade 21 inlämningar, varav sex var fullständiga universella jailbreaks och 14 partiella. Adversarial Policy Coverage-kampanjen spenderade 2 151 timmar och lämnade in 279 rapporter, och fann 132 falska negativ där Safety Reasoner borde ha blockerat innehåll men inte gjorde. OpenAI kallar jailbreaksen ”not blocking” och säger att de ska åtgärdas, samt medger att kampanjerna visar att ”Safety Reasoner fortfarande kräver iterativ härdning mot adversariella attacker.”

Det skarpaste enskilda resultatet involverar en statlig utvärderare. UK AI Security Institute fick tidig åtkomst till en build med säkerhetsresoneraren aktiverad och blockerande och "utvecklade en universell jailbreak (med återförsök) som uppnådde 0.778 pass@200" på ungefär tio timmar av manuell red teaming, med ett enda användarmeddelande. I samma avsnitt anges att US Center for AI Standards and Innovation testade modellens cyberförmåga med sina egna automatiserade utvärderingar och använde den för att hitta nya buggar i programvara med öppen och sluten källkod, och att GPT-5.3-Codex fortsatte att göra framsteg på svåra uppgifter över komprimeringsfönster, "och hittade nya resultat även efter 50M eller fler unika tokens och tiotals timmar av analys."

Båda dessa myndighetsfynd rapporteras i OpenAIs modellkort. Denna undersökning fann ingen fristående publicerad utvärdering från någon av dessa instanser som omfattar GPT-5.3-Codex; tills en sådan publiceras är den externa granskningen av denna modell känd för allmänheten endast genom leverantörens egen redogörelse för den. Modellkortets egen lista över kvarvarande risker är ovanligt öppenhjärtig om samma lucka: begränsad övervakningsprecision som skapar ett granskningsproblem av typen nål i en höstack, ”en icke noll chans att en illvillig aktör kan få betrodd åtkomst”, brister hos leverantören av identitetsverifiering och oupptäckta universella jailbreaks. Det anger också att den interna övervakningen av Codex-driftsättningar, som har körts asynkront i fem månader, ”inte skyddar mot skada eller förhindrar att andra skyddsåtgärder kringgås”.

Vad förändrades efteråt

Grinden överlevde lanseringen och växte. Axios rapporterade den 9 april 2026 att OpenAI höll på att färdigställa en separat cybersäkerhetsprodukt för en liten uppsättning partner, och beskrev TAC som lanserat i februari "efter att ha rullat ut GPT-5.3-Codex." Den 15 april 2026 rapporterade Help Net Security att OpenAI hade skalat upp TAC till "tusentals verifierade enskilda försvarare och hundratals team," och släppte GPT-5.4-Cyber – en GPT-5.4-variant med en lägre vägransgräns för legitimt säkerhetsarbete och en binär reverse-engineering-förmåga – till de högsta åtkomstnivåerna. Pilotprojektet som beskrevs i februarikortet hade blivit en produktlinje med nivåer.

Klassificeringen i sig spreds inte lika långt som grinden. Fortune-artikeln den 5 februari av Sharon Goldman rapporterade om den direkt och citerade OpenAI:s vd Sam Altmans inlägg på X där han kallade GPT-5.3-Codex "vår första modell som når 'high' för cybersäkerhet i vårt beredskapsramverk". The Cyber Express rapporterade utförligt om lanseringen av TAC den 6 februari – tre åtkomstvägar, de 10 miljoner dollarna, de förbjudna beteendena – och nämnde inte High-betyget alls. Boston Global Forum återgav båda tillsammans i sitt inlägg den 12 april. I mitten av april var den mest citerade delen av paketet åtkomstprogrammet, inte tröskelbedömningen bakom det.

Etablerad, inte etablerad och öppen

Vad som är fastställt: OpenAI publicerade systemkortet för GPT-5.3-Codex den 5 februari 2026 och klassade modellen som High capability inom cybersäkerhet enligt sitt Preparedness Framework; företaget uppgav i samma dokument att det inte har några definitiva bevis för att modellen når den tröskeln och att det agerar utifrån försiktighetsprincipen; utvärderingssiffrorna ovan är dess egna; TAC lanserades tillsammans med modellen; sandboxen och den tvåskiktade övervakningen dokumenteras på den detaljnivå som citeras här; och red-team-timmarna, antalet inlämningar och UK AISI-siffran för jailbreak finns alla tryckta i kortet. Fortune rapporterade klassningen samma dag och citerade Altmans inlägg på X. En dateringsdetalj värd att notera: lanseringsinläggets egen sidmetadata har en tidsstämpel på 4 februari 22:23 GMT, medan systemkortet och Fortunes rapportering är daterade 5 februari.

Vad som inte är fastställt: att GPT-5.3-Codex faktiskt uppfyller OpenAI:s High-tröskel. Det är OpenAI:s eget förbehåll, inte en kritikers. Inte heller fann denna forskning någon extern certifiering av bedömningen, någon publicerad bedömning från en regulator eller ett nationellt institut av denna modell, eller någon mätning av huruvida den skiktade stacken minskade missbruk i verkligheten — registret uppvisar ingen skada eftersom ingen skada registrerades, inte för att ingen inträffade. Modellkortets påstående att modellen är den första som klarar alla tre interna trösklar är ett uttalande om OpenAI:s benchmark-svit, som samma dokument säger är nödvändig men inte tillräcklig evidens för den förmåga den är avsedd att upptäcka.

Vad som fortfarande är öppet: huruvida en identitetsgrind plus en monitor som missar ungefär en femtedel av flaggade användarprompter är ett hållbart svar på en modell som klassificeras utifrån försiktighet snarare än bevis; huruvida modellens uppenbara regression mot GPT-5.2-Thinking i Irregulars externa svit betyder något när skillnader i testramverk och elicitering har beaktats; och hur mycket av gapet mellan februaripiloten och aprils produktlinje som var planerat, snarare än inlärt. Arkivposten registrerar klassificeringen. Resten skrivs fortfarande av människorna som kör grinden.

Protokollet är en styrningshändelse, och det framstår som en sådan: ett företag som, innan någon incident har inträffat, skriver ned att det tror att en av dess egna modeller kan ha passerat en gräns som det ännu inte kan mäta, och som bygger en spärr med stöd i den misstanken. Huruvida spärren var proportionerlig är en fråga som kortet medvetet lämnar öppen — det säger bara att risken är ”tillräckligt minimerad” och räknar upp sex sätt på vilka den inte är det.