GPT-5.3-Codex được đánh giá ở mức cao về an ninh mạng. OpenAI không có bằng chứng dứt khoát.

Ngày 5 tháng 2 năm 2026, OpenAI đã công bố thẻ hệ thống cho GPT-5.3-Codex và trong đó xếp mô hình này vàoNăng lực cao trong lĩnh vực An ninh mạngtheo Preparedness Framework của mình — đây là lần đầu tiên công ty áp dụng nhãn đó cho bất kỳ mô hình nào trong lĩnh vực này. Câu tiếp theo sau phân loại là câu đáng đọc hai lần: "Chúng tôi không có bằng chứng dứt khoát rằng mô hình này đạt ngưỡng Cao của chúng tôi." OpenAI cho biết họ đang hành động một cách phòng ngừa, vì mô hình đã vượt qua từng ngưỡng canary của mình và do đó công ty không thể loại trừ rằng năng lực đó thực sự tồn tại. Không có gì bị xâm phạm và không có nạn nhân nào được ghi nhận: đây là một phân loại, không phải một sự cố, và nó được lưu thành hồ sơ chính sách có gắn cờ cột mốc. Mục riêng của kho lưu trữ về phân loại này, cùng với các mức độ nghiêm trọng và độ tin cậy của nó, nằm trong Orca AI Incident Archivebên cạnh các hồ sơ quản trị khác của năm.

“High” có nghĩa là gì, và ai là người quyết định

Khung Chuẩn bị của OpenAI đặt ra hai ngưỡng. Năng lực Cao “có thể khuếch đại các con đường hiện có dẫn đến tổn hại nghiêm trọng”; năng lực Tới hạn “có thể tạo ra những con đường mới chưa từng có dẫn đến tổn hại nghiêm trọng.” Các hệ thống được bao phủ đạt mức Cao phải có các biện pháp bảo vệ giảm thiểu đầy đủ rủi ro liên quan trước khi triển khai, và các hệ thống đạt mức Tới hạn cũng cần những biện pháp này trong quá trình phát triển, theo mô tả của chính OpenAI về khung này. Việc đánh giá được mô tả ở đó là nội bộ: Nhóm Cố vấn An toàn đánh giá liệu các biện pháp bảo vệ có giảm thiểu đầy đủ rủi ro hay không và đưa ra khuyến nghị, và hướng dẫn của nhóm được chuyển đến lãnh đạo OpenAI để đưa ra quyết định cuối cùng. Thẻ hệ thống không mô tả bất kỳ sự phê duyệt bên ngoài nào đối với xếp hạng đó.

Định nghĩa chuyên biệt về không gian mạng hẹp hơn so với tiêu đề. OpenAI định nghĩa năng lực an ninh mạng mức Cao là một mô hình “loại bỏ các điểm nghẽn hiện có đối với việc mở rộng quy mô các hoạt động mạng”, hoặc bằng cách “tự động hóa các hoạt động mạng từ đầu đến cuối nhắm vào các mục tiêu được gia cố hợp lý”, hoặc bằng cách “tự động hóa việc phát hiện và khai thác các lỗ hổng có liên quan đến hoạt động”. Thẻ này nói rõ rằng ngưỡng này là về việc loại bỏ điểm nghẽn trong toàn bộ một chiến dịch, chứ không phải về một mô hình có thể giải quyết một thách thức khó: OpenAI viết rằng rủi ro mạng ở biên giới “được đánh giá tốt nhất theo các hoạt động hoặc chiến dịch, thay vì các hành động riêng lẻ”.

Hiểu theo cách đó, phân loại ngày 5 tháng 2 nói lên một điều cụ thể. Nó cho thấy OpenAI nghĩ rằng nút thắt mà mô hình này loại bỏ là kỹ năng và sức bền mà một cuộc xâm nhập kéo dài đòi hỏi — và rằng công ty đã chọn kiểm soát cổng và giám sát quyền truy cập thay vì chờ bằng chứng rằng mô hình làm được điều đó.

Ba đánh giá, và một phép so sánh đi theo chiều ngược lại

OpenAI sử dụng ba benchmark cho ba kỹ năng mà họ gắn với tác hại mạng nghiêm trọng: Professional Capture the Flag cho việc nhận diện và khai thác lỗ hổng, CVE-Bench cho độ nhất quán, và Cyber Range cho các hoạt động từ đầu đến cuối trong một mạng mô phỏng. Theo lời trong thẻ, GPT-5.3-Codex là “mô hình đầu tiên vượt qua mọi ngưỡng trên cả ba đánh giá.” Các kết quả riêng lẻ quan trọng hơn phần tóm tắt.

Trên Professional CTF, mô hình "ngang ngửa GPT-5.2-Codex" — chú giải của chính thẻ đánh giá là "không có thay đổi đáng kể về hiệu năng CTF đỉnh cao", được đo bằng pass@12 trên 16 lần chạy cho mỗi thử thách. Trên CVE-Bench, mô hình đạt 90 phần trăm so với 87 phần trăm của GPT-5.2-Codex, trên 34 trong số 40 thử thách của bộ đánh giá, pass@1 qua ba lần chạy. Trên Cyber Range, mô hình vượt qua 12 trong 15 kịch bản với tỷ lệ vượt qua tổng hợp là 80 phần trăm, so với 60 phần trăm của GPT-5.1-Codex-Max, 53,33 phần trăm của GPT-5.2-Codex và 47 phần trăm của GPT-5.2-Thinking. Mô hình đã thất bại ở EDR Evasion, CA/DNS Hijacking và Leaked Token.

Thẻ này thận trọng về ý nghĩa tổng hợp của những điều đó. Vì CTF kiểm tra các đường tấn công được kịch bản hóa trước, CVE-Bench chỉ bao phủ các ứng dụng web, và các kịch bản Cyber Range thiếu đi khả năng phòng thủ và độ nhiễu của một mạng đang được sử dụng thực tế, nên "đạt thành tích xuất sắc trên cả ba đánh giá là điều cần thiết nhưng chưa đủ để một mô hình được coi là có năng lực an ninh mạng ở mức Cao." Kết luận của OpenAI không phải là mô hình ở mức Cao, mà là họ không thể loại trừ khả năng đó.

Đánh giá bên ngoài, do phòng thí nghiệm bảo mật Irregular thực hiện trên một phiên bản gần hoàn thiện của mô hình, khiến bức tranh trở nên phức tạp theo cách mà dòng tóm tắt không phản ánh. GPT-5.3-Codex đạt trung bình 86% trên Network Attack Simulation, so với 68% của GPT-5.2-Codex và 100% cho GPT-5.2-Thinking; 72% trên Nghiên cứu và khai thác lỗ hổng, so với 75 và 80%; và 53% trên Né tránh, so với 52 và 53. Nó không giải được thử thách nào trong CyScenarioBench, một khung dựa trên kịch bản nhằm kiểm tra lập kế hoạch nhiều giai đoạn dưới các ràng buộc thực tế. Nói cách khác, trên bộ công cụ của Irregular, mô hình mới được phân loại xếp sau một phiên bản đàn anh cũ ở hai trong ba hạng mục — một kết quả mà thẻ mô hình công bố mà không đối chiếu với tuyên bố ngưỡng của chính nó.

Cánh cổng: Trusted Access for Cyber

Biện pháp giảm thiểu tạo nên hình hài của hồ sơ này là một chương trình, chứ không phải một bộ lọc. OpenAI đã ra mắt Trusted Access for Cyber (TAC) “ngay từ ngày đầu tiên”, mô tả đây là một “chương trình có cổng dựa trên danh tính” cung cấp “các năng lực không gian mạng lưỡng dụng có rủi ro cao” cho khách hàng doanh nghiệp và những người dùng lành tính, chính đáng. Thẻ này liệt kê các mục đích sử dụng được hỗ trợ: kiểm thử xâm nhập, red teaming, đánh giá lỗ hổng, nhận diện và khai thác, kiểm thử bảo mật và điều tra né tránh phát hiện, dịch ngược phần mềm độc hại, và nghiên cứu mật mã học.

Thiết kế truy cập này đảo ngược trật tự thông thường. Người dùng đã đăng nhập mặc định có năng lực an ninh mạng cao, với điều kiện phải chịu giám sát và thực thi; chính những người dùng “thường xuyên tận dụng chức năng an ninh mạng lưỡng dụng có rủi ro cao” mới phải xác minh danh tính thông qua TAC để giữ được các năng lực nâng cao. Các doanh nghiệp có thể yêu cầu quyền truy cập tin cậy cho toàn bộ nhóm thông qua đại diện OpenAI của mình, và các nhà nghiên cứu cần những mô hình cho phép rộng hơn có thể đăng ký một chương trình chỉ dành cho người được mời, theo chính thông báo của OpenAI về chương trình này. Cùng với đó, OpenAI đã cam kết tài trợ 10 triệu USD tín dụng API thông qua Chương trình Tài trợ An ninh mạng của mình.

OpenAI nói rõ rằng cổng truy cập này không phải là một bảo đảm. Quyền truy cập chỉ được cấp “chỉ cho các mục đích bảo mật chính đáng, phòng vệ và được ủy quyền”, và những người tham gia TAC “thường xuyên tìm kiếm chức năng hành động gây hại vẫn sẽ bị giám sát và thực thi, bao gồm việc mất quyền truy cập TAC”. Bài đăng ra mắt bổ sung một biện pháp kiểm soát thứ hai: một số yêu cầu mà hệ thống phát hiện có rủi ro an ninh mạng cao “có thể được tự động chuyển từ GPT-5.3-Codex sang GPT-5.2”. Fortune đưa tin vào ngày 5 tháng 2 rằng OpenAI chưa ngay lập tức bật quyền truy cập API đầy đủ để cho phép mô hình được tự động hóa ở quy mô lớn, và rằng trong thời gian đó, mô hình này vẫn có sẵn cho người dùng ChatGPT trả phí.

Mặc định của sandbox và một trình giám sát có tỷ lệ bỏ sót được công bố

Hai lớp bổ sung nữa được mô tả theo các thuật ngữ có thể đo lường. Sandbox của tác nhân chạy trên đám mây bên trong “một container biệt lập do OpenAI lưu trữ”, không có quyền truy cập vào hệ thống máy gốc của người dùng và quyền truy cập mạng bị tắt theo mặc định; trên bản cài đặt cục bộ, việc chạy trong sandbox là mặc định trên macOS thông qua Seatbelt, trên Linux thông qua seccomp và landlock, và trên Windows hoặc theo cách gốc hoặc thông qua Windows Subsystem for Linux. Các mặc định được thiết kế để tắt quyền truy cập mạng và giới hạn việc chỉnh sửa tệp trong không gian làm việc hiện tại, và người dùng có thể phê duyệt các lệnh chạy ngoài sandbox, hoặc đặt danh sách cho phép và danh sách từ chối theo từng dự án. Thẻ cảnh báo rằng việc bật quyền truy cập mạng sẽ đưa trở lại rủi ro prompt-injection, rò rỉ thông tin xác thực và rủi ro giấy phép.

Lớp giám sát là một hệ thống hai tầng: một bộ phân loại chủ đề nhanh quyết định nội dung có liên quan đến an ninh mạng hay không, và bất cứ nội dung nào như vậy đều được chuyển lên một "bộ lập luận an toàn", bộ này xếp nó vào hệ thống phân loại mối đe dọa mạng của OpenAI và quyết định liệu đầu ra có thể được hiển thị hay không. Bộ phân loại chủ đề được tinh chỉnh để đạt độ thu hồi hơn 90% với độ tin cậy hệ thống hơn 99,9%. Các con số của bộ giám sát lập luận kém khả quan hơn và được in trong bảng của chính thẻ: độ thu hồi 77,8% và độ chính xác 37,1% trên lời nhắc của người dùng, độ thu hồi 88,8% và độ chính xác 24,1% trên phản hồi của trợ lý. OpenAI cho biết họ cố ý tối ưu độ thu hồi hơn độ chính xác, đó là lý do công việc rủi ro thấp đôi khi bị chặn — và cũng là lý do khoảng một phần năm số lời nhắc người dùng lẽ ra phải bị bắt, trên bộ kiểm thử đó, lại không bị bắt.

Những gì các đội đỏ đã phát hiện ra

Thẻ công bố chi tiết các kết quả đối kháng thay vì tóm tắt. Hai chiến dịch đã tiêu tốn 3.526 giờ red teaming chuyên gia trong khoảng từ tháng 12 năm 2025 đến tháng 1 năm 2026. Chiến dịch Universal Jailbreak đã dành 1.375 giờ và tạo ra 21 bài nộp, trong đó sáu là universal jailbreak hoàn chỉnh và 14 là một phần. Chiến dịch Adversarial Policy Coverage đã dành 2.151 giờ và gửi 279 báo cáo, phát hiện 132 âm tính giả trong đó Safety Reasoner lẽ ra phải chặn nội dung nhưng đã không chặn. OpenAI gọi các jailbreak là “không chặn” và nói rằng chúng sẽ được khắc phục, đồng thời thừa nhận rằng các chiến dịch cho thấy “Safety Reasoner vẫn cần được tăng cường lặp đi lặp lại để chống lại các cuộc tấn công đối kháng”.

Kết quả đơn lẻ rõ nét nhất liên quan đến một cơ quan đánh giá của chính phủ. Viện An ninh AI Vương quốc Anh, được cấp quyền truy cập sớm vào một bản dựng có bộ lý luận an toàn được bật và đang chặn, “đã phát triển một jailbreak phổ quát (có thử lại) đạt 0.778 pass@200” trong khoảng mười giờ red teaming thủ công, chỉ dùng một tin nhắn người dùng duy nhất. Cùng phần đó ghi lại rằng Trung tâm Tiêu chuẩn và Đổi mới AI Hoa Kỳ đã kiểm thử năng lực mạng của mô hình bằng các đánh giá tự động của riêng mình và dùng nó để tìm ra các lỗi mới trong phần mềm mã nguồn mở và đóng, và rằng GPT-5.3-Codex vẫn tiếp tục đạt tiến bộ trên các tác vụ khó qua các cửa sổ nén, “tìm ra các kết quả mới ngay cả sau 50M token duy nhất trở lên và hàng chục giờ phân tích.”

Cả hai phát hiện của chính phủ đó đều được báo cáo bên trong thẻ của OpenAI. Nghiên cứu này không tìm thấy một đánh giá độc lập nào đã được công bố từ một trong hai cơ quan bao quát GPT-5.3-Codex; cho đến khi một đánh giá như vậy xuất hiện, sự soi xét từ bên ngoài đối với mô hình này chỉ được công chúng biết đến thông qua lời trình bày của nhà cung cấp về mô hình đó. Danh sách rủi ro tồn dư của chính thẻ này lại thẳng thắn một cách bất thường về cùng khoảng trống đó: độ chính xác của giám sát bị hạn chế tạo ra vấn đề đánh giá kiểu tìm kim trong đống rơm, "khả năng khác không rằng kẻ xấu có thể có được quyền truy cập được tin cậy", những thất bại của nhà cung cấp dịch vụ xác minh danh tính, và các lỗ hổng jailbreak phổ quát chưa được phát hiện. Báo cáo cũng nêu rằng việc giám sát nội bộ các triển khai Codex, chạy bất đồng bộ trong năm tháng, "không bảo vệ khỏi tác hại cũng không ngăn cản việc vô hiệu hóa các biện pháp bảo vệ khác."

Điều gì đã thay đổi sau đó?

Cổng kiểm soát đã tồn tại lâu hơn đợt ra mắt và tiếp tục phát triển. Axios đưa tin vào ngày 9 tháng 4 năm 2026 rằng OpenAI đang hoàn thiện một sản phẩm an ninh mạng riêng cho một nhóm nhỏ đối tác, và mô tả TAC đã ra mắt vào tháng 2 "sau khi triển khai GPT-5.3-Codex." Vào ngày 15 tháng 4 năm 2026, Help Net Security đưa tin rằng OpenAI đã mở rộng TAC tới "hàng nghìn cá nhân phòng thủ đã được xác minh và hàng trăm nhóm," và đang phát hành GPT-5.4-Cyber — một biến thể của GPT-5.4 với ngưỡng từ chối thấp hơn đối với công việc bảo mật hợp pháp và khả năng dịch ngược mã nhị phân — cho các bậc truy cập cao nhất. Chương trình thí điểm được mô tả trong thẻ tháng Hai đã trở thành một dòng sản phẩm có phân tầng.

Bản thân việc phân loại được lan truyền ít xa hơn so với cổng. Bài viết ngày 5 tháng 2 của Fortune, do Sharon Goldman thực hiện, đã đưa tin trực tiếp về việc này và trích dẫn bài đăng của Giám đốc điều hành OpenAI Sam Altman trên X gọi GPT-5.3-Codex là "mô hình đầu tiên của chúng tôi đạt mức 'high' về an ninh mạng theo khung mức độ sẵn sàng của chúng tôi." The Cyber Express đưa tin chi tiết về buổi ra mắt TAC ngày 6 tháng 2 — ba con đường truy cập, 10 triệu đô la, các hành vi bị cấm — và hoàn toàn không đề cập đến xếp hạng High. Diễn đàn Toàn cầu Boston, trong bài viết ngày 12 tháng 4, đã trình bày lại cả hai cùng nhau. Đến giữa tháng 4, phần được trích dẫn nhiều nhất trong gói này là chương trình truy cập, chứ không phải đánh giá ngưỡng đằng sau nó.

Đã thiết lập, chưa thiết lập và đang mở

Điều đã được xác lập: OpenAI đã công bố thẻ hệ thống GPT-5.3-Codex vào ngày 5 tháng 2 năm 2026 và phân loại mô hình này là Năng lực cao trong lĩnh vực an ninh mạng theo Khung Preparedness của mình; công ty tuyên bố trong cùng tài liệu rằng họ không có bằng chứng dứt khoát cho thấy mô hình đạt đến ngưỡng đó và đang hành động một cách phòng ngừa; các số liệu đánh giá ở trên là do chính công ty đưa ra; TAC ra mắt cùng với mô hình; sandbox và cơ chế giám sát hai tầng được ghi chép ở mức độ chi tiết như được trích dẫn ở đây; và số giờ red-team, số lượng bài gửi cùng con số jailbreak của UK AISI đều được in trong thẻ. Fortune đưa tin về việc phân loại này cùng ngày, trích dẫn bài đăng của Altman trên X. Một điểm nhỏ về ngày tháng đáng ghi lại: siêu dữ liệu của chính trang bài đăng ra mắt mang dấu thời gian 22:23 GMT ngày 4 tháng 2, trong khi thẻ hệ thống và bài đưa tin của Fortune đều ghi ngày 5 tháng 2.

Điều chưa được chứng minh: rằng GPT-5.3-Codex thực sự đáp ứng ngưỡng High của OpenAI. Đó là lưu ý của chính OpenAI, không phải của một nhà phê bình. Nghiên cứu này cũng không tìm thấy bất kỳ chứng nhận bên ngoài nào cho xếp hạng đó, bất kỳ đánh giá đã công bố nào của cơ quan quản lý hoặc viện quốc gia về mô hình này, hay bất kỳ phép đo nào về việc liệu chồng lớp nhiều lớp có làm giảm việc lạm dụng trong thực tế hay không — hồ sơ không ghi nhận tác hại nào vì không có tác hại nào được ghi lại, chứ không phải vì không có tác hại nào xảy ra. Tuyên bố trong thẻ mô hình rằng đây là mô hình đầu tiên vượt qua cả ba ngưỡng nội bộ là một phát biểu về bộ benchmark của OpenAI, mà chính tài liệu đó nói là bằng chứng cần thiết nhưng chưa đủ cho năng lực mà nó nhằm phát hiện.

Điều còn bỏ ngỏ: liệu một cổng nhận dạng cùng một hệ thống giám sát bỏ sót khoảng một phần năm số lời nhắc người dùng bị gắn cờ có phải là câu trả lời bền vững cho một mô hình được phân loại dựa trên sự thận trọng thay vì bằng chứng hay không; liệu sự thoái bộ rõ ràng của mô hình so với GPT-5.2-Thinking trên bộ kiểm thử bên ngoài của Irregular có còn ý nghĩa gì khi đã tính đến những khác biệt về khung kiểm thử và cách khơi gợi hay không; và bao nhiêu phần trong khoảng cách giữa bản thí điểm tháng Hai và dòng sản phẩm tháng Tư là do lập kế hoạch, chứ không phải do học hỏi. Mục lưu trữ ghi lại phân loại. Phần còn lại vẫn đang được viết bởi những người vận hành cổng.

Bản ghi này là một sự kiện quản trị, và nó đọc lên đúng như vậy: một công ty ghi lại, trước bất kỳ sự cố nào, rằng họ cho rằng một trong những mô hình của chính mình có thể đã vượt qua một ranh giới mà họ chưa thể đo lường, và dựng lên một cổng chặn dựa trên sức mạnh của nghi ngờ đó. Việc cổng chặn đó có tương xứng hay không là câu hỏi mà tấm thẻ cố ý để ngỏ — nó chỉ nói rằng rủi ro đã "được giảm thiểu đầy đủ", và liệt kê sáu cách mà điều đó có thể không đúng.