OpenAI kunde inte utesluta kritisk cyberförmåga i Astra och pausade endast en del av sitt arbete

På fredagen den 7 augusti 2026 publicerade OpenAI ett inlägg där det stod att dess senaste interna utvärderingar av Astra, en av dess kommande modeller, visade på "betydande framsteg inom agentisk kodning och cybersäkerhet", och att det inte gick att utesluta att modellen når Critical — den högsta cybernivån i dess Preparedness Framework. Slutsatsen drogs "i natt", enligt inlägget, efter flera dagars testning. Inget skadades: inlägget beskriver utvärderingar, inte ett intrång, och OpenAI uppgav att Astra "inte var inblandad i att utnyttja Hugging Face". Det som förändrades var internt — utveckling som inte uppfyllde förstärkta säkerhetskontroller pausades, medan arbete som uppfyllde dem fortsatte. De som berörs mest direkt är OpenAI:s utvecklare, tillsammans med de testare och försvarare som till slut skulle få åtkomst. Beslutet finns dokumenterat som en post i AI-incidentarkivet, som innehåller den här incidentens källor, gradering och närliggande poster.

För att vara en styrningshändelse är det slående hur lite inlägget påstår. Det redovisar ingen poäng, inget testresultat, ingen transkription och ingen namngiven extern utvärderare. Det redovisar en bedömning: att OpenAI, utifrån den tillgängliga bevisningen, inte kunde utesluta en kapacitetsnivå som det aldrig tidigare hade tilldelat någon av sina modeller. Det gör att dokumentet är värt att läsa som två saker samtidigt – en redogörelse om en modell, och ett test av huruvida ett företags eget säkerhetsramverk förändrar vad företaget gör.

Vad ”Critical” innebär i OpenAIs ramverk

Det beredskapsramverket, som först publicerades i december 2023 och reviderades i version 2 den 15 april 2025, omfattar tre kategorier: biologiska och kemiska förmågor, cybersäkerhet och AI:s självförbättring. Var och en har två kapacitetsnivåer, Hög och Kritisk. Cybertröskeln beskrivs med nästan identiska ordalydelser både i ramverket och i OpenAI:s inlägg från augusti: en modell når Kritisk om den kan "identifiera och utveckla fungerande zero-day-exploater på alla allvarlighetsgrader i många härdade kritiska system i den verkliga världen utan mänsklig inblandning", eller om den kan "utforma och genomföra nya strategier för cyberattacker från början till slut mot härdade mål, givet endast ett övergripande önskat mål."

High är nivån under. OpenAI:s inlägg säger att tidigare modeller, "inklusive GPT-5.6 Sol," utvärderades för avancerad cyberkapacitet och bedömdes som High snarare än Critical. Skillnaden spelar roll eftersom ramverket kopplar olika skyldigheter till var och en. För en modell som når Critical kräver ramverket skyddsåtgärder som "i tillräcklig grad minimerar de tillhörande riskerna under utvecklingen, oavsett driftsättningsplaner." Dess cyber-tabell är mer rättfram: "Tills vi har specificerat skyddsåtgärder och standarder för säkerhetskontroller som skulle uppfylla en Critical-standard, avbryt vidare utveckling."

Formuleringen från den 7 augusti är inte en beteckning. Inlägget säger att dess "preliminära utvärderingar visar på tillräckligt stark prestanda för att vi i nuläget inte kan utesluta Critical capability level." Företaget genomförde fortfarande benchmarking, och det uppgav man.

Vad OpenAI gjorde och vad pausen omfattade

Inlägget listar fem interna åtgärder, alla formulerade som villkor för att fortsätta arbetet snarare än som skäl att stoppa det:

• Stramare säkerhetskontroller för modeller med högre kapacitet och relaterad aktivitet: "isolerade testmiljöer, begränsad nätverks- och verktygsåtkomst, förstärkt skydd och kryptering av modellvikter, ytterligare övervaknings- och detektionsfunktioner samt sandlådeexekvering."

• En paus för "interna aktiviteter som involverar Astra och som ännu inte uppfyller dessa skärpta krav på säkerhetskontroller". Arbete som uppfyllde dem kunde fortsätta.

• "Universell övervakning av riskfyllda åtgärder och felriktning i alla agentiska tillämpningar av Astra, inklusive träning och utvärdering," där monitorer läser modellens tankekedja och utlöser en säkerhetsrespons för att granska och avbryta högriskaktivitet.

• Testning med "relevanta statliga myndigheter och utvalda AI-säkerhetsorganisationer."

• Rekommenderade säkerhetskontroller för tredjepartstestpartner som utför utvärderingar och arbetsbelastningar med högre risk.

OpenAI beskrev själva precedensfallet. "I juni 2025, när våra modeller närmade sig den höga kapacitetströskeln för biologi enligt Preparedness Framework," står det i inlägget, "skisserade företaget steg för att stärka skyddsåtgärderna, utöka testningen, arbeta med externa experter och lägga till säkerhetskontroller, och man 'tillämpade samma princip här'." Detaljen som är värd att behålla är nivån: OpenAIs egen redogörelse placerar det biologiärendet från juni 2025 på High, en nivå under den cyberbedömning som nu offentliggjordes.

Den omedelbara medietolkningen var att ett labb hade tryckt på bromsen. The Next Web, som publicerade kl. 17:36 UTC den 7 augusti, beskrev en paus för "visst internt arbete" medan testningen fortsatte, och rapporterade att Axios kallade det "möjligen första gången ett frontierlabb har bromsat en av sina egna modeller på grund av cyberrisk." Det är en rimlig beskrivning av tillkännagivandet. Det är inte samma sak som ett stopp, och inlägget påstår inte att det är ett sådant.

Vad inlägget den 7 augusti inte fastställer

Klyftan mellan ”kan inte utesluta” och ”har nått” utgör hela osäkerheten i underlaget, och inlägget försöker inte sluta den. Det anger inget benchmarknamn, ingen framgångsfrekvens, inget antal hittade sårbarheter, ingen beskrivning av de testade systemen, inget transkript, ingen oberoende bedömning och inget lanseringsdatum. Det säger inte vilket av de två Kritiska villkoren Astra närmade sig, eller med hur mycket. Det säger bara att bevisen var starka nog att företaget inte kunde utesluta den högsta nivån.

Posten fastställer alltså, per det datumet, en upplysning och ett svar – inte en uppmätt förmåga. Bedömningen av förmågan är OpenAIs egen, gjord utifrån interna utvärderingar som företaget inte hade publicerat; OpenAI utsåg ingen extern bedömare, och inget utomstående labb hade offentligt testat Astra mot Critical-definitionen. Posten graderas på den högsta konfidensnivån, markeras som obestridd och registreras utan någon verklig skada, vilket stämmer med vad inlägget faktiskt innehåller: ett företagsuttalande, inte en incidentrapport.

Vad hände sedan?

Senast den 1 september 2026 hade den provisoriska formuleringen ändrats. I en uppföljning med rubriken "Vägen till Astra: kritiska kapaciteter och frontier-skyddsåtgärder," skrev OpenAI: "Vi tror nu att Astra uppfyller tröskeln för kritisk cybersäkerhetskapacitet enligt vårt Preparedness Framework... Det är den första modellen som vi betecknar på denna nivå."

Samma inlägg gav de detaljer som augustiavslöjandet hade utelämnat. De är värda att skilja åt efter typ:

• Benchmarks. Astra uppnådde 100 % på ExploitBench, ett offentligt benchmark för att omvandla kända sårbarheter till exploits. På grund av risken för kontaminering byggde OpenAI också en intern portning med 20 V8-sårbarheter med hög allvarlighetsgrad som offentliggjordes mellan juni och augusti 2026; på den uppsättningen upptäckte och använde Astra enligt inlägget "två nolldagssårbarheter som en del av en exploitkedja", vilket OpenAI uppgav att man var i färd med att offentliggöra för underhållarna.

• Expertledda bedömningar. Mot en härdad webbläsare byggde Astra en kedja som bröt sig ur sandlådan och körde kommandon på värden; systemkortet dokumenterar att den initiala framgången tog 29 timmar mot en byggversion som experterna bedömde saknade vissa produktionsskyddsåtgärder, och att anpassa exploiten till den officiella stabila utgåvan tog ytterligare 12 timmar. Mot ett härdat operativsystem kombinerade den sårbarheter till en lokal privilegieeskalering från en oprivilegierad användare till root inom 12 timmar.

• Andel avvisade förfrågningar. I OpenAIs cyber-jailbreak-utvärderingar avvisade Astra 91,5 % av förfrågningarna, jämfört med 59 % för GPT-5.6 Sol — en siffra som systemkortet återger.

• En oberoende kontroll, med en begränsning. Systemkortet, som publicerades den 3 september 2026 för modellen som OpenAI släppte den dagen som GPT-6 Astra, innehåller en extern utvärdering av säkerhetslabbet Irregular. Irregular fann att Astra löste 86 av 226 FrontierCyber-utmaningar, jämfört med 34 av 226 för GPT-5.6 Sol, inklusive nolldagssårbarheter som påverkar webbläsare, mobiltelefoner och molndatabaser. Det konstaterade också att man ”inte observerade några framgångsrika attacker mot fullt härdade mål”, och ingen av modellerna löste någon av de sju Elite-utmaningarna.

Inlägget den 1 september avslöjade också pausens utformning. OpenAI uppgav att man under de senaste veckorna hade "försenat delar av Astra:s utveckling och lansering" och att man "startade om den stora frontier-RL-körningen som tidigare hade pausats" den 28 augusti 2026, efter att de nya säkerhets- och trygghetskraven fanns på plats. Åtkomsten var nivåindelad: avancerat cybersäkerhetsarbete skulle först gå till en liten grupp testare, följt av Daybreak Blue-programmet.

Etablerad, preliminär och inte etablerad

• Fastställt.OpenAI publicerade avslöjandet den 7 augusti 2026 och uppgav att man inte kunde utesluta kritisk cyberkapacitet i Astra; man listade kontrollerna och den delvisa pausen som beskrivs ovan. The Next Web rapporterade inlägget samma dag, och Axios beskrev det som en nedtrappning på grund av cyberrisken.

• Etablerades senare. Den 1 september 2026 utsåg OpenAI Astra till att möta den kritiska tröskeln – den första modell som företaget hade utsett på den nivån – och publicerade resultat från riktmärken och expertbedömningar. Systemkortet av den 3 september innehåller samma siffra för avvisade förfrågningar och Irregulars externa utvärdering.

• Preliminär och självbedömd.Förmågebedömningen är OpenAIs egen, baserad på OpenAIs utvärderingar. Per den 7 augusti hade inget externt laboratorium offentligt testat modellen mot Critical-definitionen, och inlägget nämnde ingen extern bedömare. Den senare externa kontrollen, utförd av Irregular, är snävare än beteckningen och konstaterade uttryckligen att inga lyckade attacker mot fullt härdade mål förekommit.

• Inte fastställt. Att Astra faktiskt nådde den kritiska tröskeln den 7 augusti; inlägget säger endast att företaget inte kunde utesluta det. Att något verkligt system komprometterades: loggen registrerar ingen skada, och OpenAI uppgav att Astra inte var inblandat i Hugging Face-incidenten. Det är inte heller fastställt att den partiella pausen uppfyllde ramverkets egen formulering "stoppa vidareutvecklingen" — OpenAI fortsatte arbete som uppfyllde dess nya kontroller, och företaget, inte ett utomstående organ, bedömde att dessa kontroller var tillräckliga.

Den styrningsfråga som protokollet lämnar öppen

Rammverket är ett självbindande instrument. Det förbinder OpenAI vid trösklar och skyddsåtgärder, samtidigt som det lämnar bedömningen och avgörandet om tillräcklighet till OpenAI, med intern granskning av dess Safety Advisory Group och styrelsens tillsyn. Inlägget den 7 augusti beskriver samråd – myndigheter och "utvalda AI-säkerhetsorganisationer" skulle testa modellen – men det namnger ingen tillsynsmyndighet, offentliggör inga kriterier och sätter inget datum. Inget i underlaget visar att en utomstående part kontrollerar avgörandet.

Det som underlaget faktiskt visar är att maskineriet rörde på sig. En kapacitetsbedömning ändrade den interna praxisen inom ett dygn: kontrollerna skärptes, visst arbete stoppades, övervakningen breddades till utbildning och utvärdering, och åtkomsten till de mest kapabla funktionerna begränsades senare till testare. Det är mer än ett pressmeddelande och mindre än en extern verifiering.

Den oavgjorda delen är den som ramverket inte kan avgöra på egen hand. "Kan inte utesluta" är ett uttalande om bevis, inte om förmåga, och det lämnar åt företaget att avgöra hur mycket bevis som är tillräckligt innan det återupptar. OpenAI återstartade den stora träningskörningen den 28 augusti, klassade modellen som Kritisk den 1 september och släppte den som GPT-6 Astra den 3 september. Varje steg är dokumenterat. Huruvida varje steg borde ha skett när det skedde är en bedömning som dokumentationen registrerar men inte besvarar.