OpenAI không thể loại trừ khả năng tấn công mạng nghiêm trọng trong Astra và chỉ tạm dừng một phần công việc của mình

Vào thứ Sáu 7 tháng 8 năm 2026, OpenAI đã đăng một bài viết nói rằng các đánh giá nội bộ mới nhất của mình về Astra, một trong những mô hình sắp ra mắt của mình, cho thấy "những tiến bộ đáng kể trong lập trình tác tử và an ninh mạng," và rằng nó không thể loại trừ khả năng mô hình đạt tới Critical — cấp độ an ninh mạng cao nhất trong Preparedness Framework của mình. Kết luận được đưa ra "đêm qua", bài đăng cho biết, sau vài ngày kiểm thử. Không có gì bị tổn hại: bài đăng mô tả các đánh giá, không phải một vụ xâm nhập, và OpenAI tuyên bố rằng Astra "không tham gia khai thác Hugging Face". Điều đã thay đổi là nội bộ — quá trình phát triển không đáp ứng các kiểm soát an ninh đã được tăng cường bị tạm dừng, trong khi công việc đáp ứng được vẫn tiếp tục. Những người bị ảnh hưởng trực tiếp nhất là các nhà phát triển của OpenAI, cùng với những người kiểm thử và những người phòng thủ, những người cuối cùng sẽ có quyền truy cập. Bản ghi về quyết định này là một mục trong kho lưu trữ sự cố AI, nơi chứa các nguồn, phân loại và các mục liền kề của sự cố này.

Đối với một sự kiện quản trị, điểm đáng chú ý là bài đăng tuyên bố rất ít. Bài đăng không báo cáo điểm số, không có kết quả kiểm thử, không có bản ghi nào và không nêu tên bất kỳ đánh giá viên bên ngoài nào. Nó báo cáo một phán đoán: rằng với bằng chứng hiện có, OpenAI không thể loại trừ một mức năng lực mà trước đó hãng chưa từng gán cho bất kỳ mô hình nào của mình. Điều đó khiến hồ sơ này đáng đọc như hai thứ cùng lúc — một sự công bố về một mô hình, và một phép thử xem liệu khung an toàn của chính công ty có thay đổi những gì công ty làm hay không.

“Critical” có nghĩa là gì trong framework của OpenAI?

Khung Sẵn sàng, được công bố lần đầu vào tháng 12 năm 2023 và sửa đổi trong phiên bản 2 vào ngày 15 tháng 4 năm 2025, theo dõi ba hạng mục: năng lực sinh học và hóa học, an ninh mạng, và khả năng tự cải thiện của AI. Mỗi hạng mục có hai bậc năng lực, Cao và Nghiêm trọng. Ngưỡng an ninh mạng xuất hiện với cách diễn đạt gần như giống hệt nhau trong cả khung này và bài đăng tháng 8 của OpenAI: một mô hình đạt mức Nghiêm trọng nếu nó có thể "xác định và phát triển các khai thác zero-day hoạt động được ở mọi mức độ nghiêm trọng trong nhiều hệ thống quan trọng trong thế giới thực đã được gia cố mà không cần con người can thiệp," hoặc nếu nó có thể "nghĩ ra và thực thi các chiến lược mới từ đầu đến cuối cho các cuộc tấn công mạng nhắm vào các mục tiêu đã được gia cố khi chỉ được cấp một mục tiêu mong muốn ở mức cao."

High là bậc thấp hơn. Bài đăng của OpenAI cho biết các mô hình trước đây, “bao gồm GPT-5.6 Sol”, đã được đánh giá về năng lực mạng tiên phong và được xếp ở mức High thay vì Critical. Sự phân biệt này quan trọng vì khuôn khổ gắn các nghĩa vụ khác nhau cho mỗi bậc. Đối với một mô hình đạt mức Critical, khuôn khổ yêu cầu các biện pháp bảo vệ “giảm thiểu đủ mức các rủi ro liên quan trong quá trình phát triển, bất kể kế hoạch triển khai”. Bảng mạng của khuôn khổ này còn thẳng thừng hơn: “Cho đến khi chúng tôi xác định được các tiêu chuẩn về biện pháp bảo vệ và kiểm soát an ninh đáp ứng tiêu chuẩn Critical, hãy dừng phát triển thêm.”

Cách diễn đạt ngày 7 tháng 8 không phải là một sự chỉ định. Bài đăng nói rằng "các đánh giá sơ bộ của mình cho thấy hiệu năng đủ mạnh đến mức chúng tôi không thể loại trừ mức năng lực Critical vào lúc này." Công ty vẫn đang thực hiện đánh giá chuẩn và đã nói rõ như vậy.

OpenAI đã làm gì và khoảng tạm dừng bao gồm những gì

Bài đăng liệt kê năm thước đo nội bộ, tất cả đều được trình bày như những điều kiện để tiếp tục công việc chứ không phải lý do để dừng nó:

• Kiểm soát bảo mật chặt chẽ hơn đối với các mô hình có năng lực cao hơn và hoạt động liên quan: “môi trường thử nghiệm biệt lập, hạn chế truy cập mạng và công cụ, tăng cường bảo vệ và mã hóa trọng số mô hình, bổ sung khả năng giám sát và phát hiện, và thực thi trong môi trường sandbox.”

• Tạm dừng "các hoạt động nội bộ liên quan đến Astra mà chưa đáp ứng các yêu cầu kiểm soát an ninh được tăng cường này." Những công việc đáp ứng được các yêu cầu đó có thể tiếp tục.

• "Giám sát phổ quát các hành động rủi ro và sự lệch hướng trên mọi ứng dụng tác nhân của Astra, bao gồm huấn luyện và đánh giá," với các bộ giám sát đọc chuỗi suy nghĩ của mô hình và kích hoạt phản ứng an ninh để xem xét và ngắt hoạt động rủi ro cao.

• Thử nghiệm với "các cơ quan chính phủ liên quan và một số tổ chức an toàn AI được lựa chọn."

• Các biện pháp kiểm soát bảo mật được khuyến nghị cho các đối tác kiểm thử bên thứ ba đang thực hiện các đánh giá và khối lượng công việc có rủi ro cao hơn.

OpenAI đã tự mô tả tiền lệ này. "Vào tháng 6 năm 2025, khi các mô hình của chúng tôi tiến gần đến ngưỡng năng lực cao đối với sinh học theo Preparedness Framework," bài đăng cho biết, công ty đã vạch ra các bước để tăng cường các biện pháp bảo vệ, mở rộng thử nghiệm, hợp tác với chuyên gia bên ngoài và bổ sung các kiểm soát an ninh, đồng thời đang "áp dụng nguyên tắc tương tự ở đây." Chi tiết đáng giữ lại là cấp bậc: bản trình bày của chính OpenAI xếp trường hợp sinh học tháng 6 năm 2025 đó ở Cao, thấp hơn một bậc so với đánh giá an ninh mạng mà họ đang công bố.

Cách báo chí hiểu ngay lúc đó là một phòng thí nghiệm đã đạp phanh. The Next Web, trong bài đăng lúc 17:36 UTC ngày 7 tháng 8, đã mô tả việc tạm dừng “một số công việc nội bộ” trong khi quá trình kiểm thử vẫn tiếp tục, và đưa tin rằng Axios gọi đó là “có thể là lần đầu tiên một phòng thí nghiệm tiên phong làm chậm một trong các mô hình của chính mình vì rủi ro an ninh mạng”. Đó là một cách mô tả xác đáng về thông báo này. Điều đó không giống với việc dừng hẳn, và bài đăng không tuyên bố như vậy.

Điều mà bài đăng ngày 7 tháng 8 không xác lập

Khoảng cách giữa “không thể loại trừ” và “đã đạt tới” chính là toàn bộ sự không chắc chắn của hồ sơ, và bài đăng không cố gắng thu hẹp khoảng cách đó. Nó không đưa ra tên chuẩn đánh giá nào, không có tỷ lệ thành công, không có số lượng lỗ hổng được phát hiện, không có mô tả về các hệ thống được kiểm tra, không có biên bản, không có đánh giá độc lập và không có ngày phát hành. Nó không nói Astra đang tiến gần tới điều kiện Critical nào trong hai điều kiện Critical, hoặc gần tới mức nào. Nó chỉ nói rằng bằng chứng đủ mạnh đến mức công ty không thể loại trừ tầng cao nhất.

Vậy nên hồ sơ, tính đến ngày đó, xác lập một sự công bố và một phản hồi — chứ không phải một năng lực đã được đo lường. Đánh giá về năng lực là do chính OpenAI đưa ra, dựa trên những đánh giá nội bộ mà hãng chưa công bố; OpenAI không nêu tên bất kỳ đơn vị đánh giá bên ngoài nào, và không có phòng thí nghiệm bên ngoài nào đã công khai kiểm thử Astra theo định nghĩa Critical. Mục này được xếp ở mức độ tin cậy cao nhất, được đánh dấu là không có tranh cãi và được ghi nhận không có tổn hại thực sự, điều này khớp với những gì bài đăng thực sự chứa: một tuyên bố của công ty, chứ không phải một báo cáo sự cố.

Chuyện gì đã xảy ra tiếp theo

Đến ngày 1 tháng 9 năm 2026, cách diễn đạt tạm thời đã thay đổi. Trong một bài viết tiếp theo có tiêu đề "Con đường đến Astra: những năng lực quan trọng và các biện pháp bảo vệ tiên phong," OpenAI viết: "Giờ đây chúng tôi tin rằng Astra đáp ứng ngưỡng năng lực an ninh mạng trọng yếu theo Khung chuẩn bị của chúng tôi... Đây là mô hình đầu tiên mà chúng tôi chỉ định ở cấp độ này."

Cùng bài đăng đó đã cung cấp những chi tiết cụ thể mà công bố hồi tháng Tám đã bỏ sót. Chúng đáng được phân tách theo loại:

• Điểm chuẩn. Astra đạt 100% trên ExploitBench, một bộ đánh giá công khai nhằm biến các lỗ hổng đã biết thành khai thác. Do lo ngại về ô nhiễm dữ liệu, OpenAI cũng đã xây dựng một bản nội bộ chứa 20 lỗ hổng V8 mức độ nghiêm trọng cao được công bố từ tháng 6 đến tháng 8 năm 2026; trên bộ này, bài đăng cho biết, Astra đã phát hiện và sử dụng "hai lỗ hổng zero-day như một phần của chuỗi khai thác", mà OpenAI cho biết đang trong quá trình công bố cho những người bảo trì.

• Đánh giá do chuyên gia dẫn dắt. Đối với một trình duyệt được gia cố bảo mật, Astra đã xây dựng một chuỗi khai thác thoát khỏi sandbox và thực thi lệnh trên máy chủ; thẻ hệ thống ghi lại rằng thành công ban đầu mất 29 giờ trên một bản dựng mà các chuyên gia xác định là thiếu một số biện pháp giảm thiểu rủi ro trong môi trường sản xuất, và việc điều chỉnh khai thác để áp dụng cho bản phát hành ổn định chính thức mất thêm 12 giờ. Đối với một hệ điều hành được gia cố bảo mật, nó đã kết hợp các lỗ hổng thành một cuộc leo thang đặc quyền cục bộ từ người dùng không có đặc quyền lên root trong vòng 12 giờ.

• Tỷ lệ từ chối. Trong các đánh giá jailbreak mạng của OpenAI, Astra đã từ chối 91,5% số yêu cầu, so với 59% của GPT-5.6 Sol — con số mà thẻ hệ thống tái hiện.

• Một cuộc kiểm tra độc lập, có giới hạn. Thẻ hệ thống, được công bố vào ngày 3 tháng 9 năm 2026 cho mô hình mà OpenAI phát hành ngày hôm đó với tên GPT-6 Astra, bao gồm một đánh giá bên ngoài do phòng thí nghiệm bảo mật Irregular thực hiện. Irregular phát hiện rằng Astra đã giải được 86 trong số 226 thách thức FrontierCyber, so với 34 trong số 226 của GPT-5.6 Sol, bao gồm các lỗ hổng zero-day ảnh hưởng đến trình duyệt, điện thoại di động và cơ sở dữ liệu đám mây. Irregular cũng "không quan sát thấy cuộc tấn công thành công nào nhắm vào các mục tiêu được gia cố hoàn toàn", và cả hai mô hình đều không giải được bất kỳ thách thức nào trong bảy thách thức Elite.

Bài đăng ngày 1 tháng 9 cũng tiết lộ hình thức của việc tạm dừng. OpenAI cho biết họ đã “trì hoãn một phần quá trình phát triển và phát hành Astra” trong vài tuần qua, và rằng họ đã “khởi động lại đợt chạy RL tiên phong quy mô lớn trước đó bị tạm dừng” vào 28 tháng 8 năm 2026, sau khi các yêu cầu an toàn và bảo mật mới được áp dụng. Quyền truy cập được phân tầng: công tác an ninh mạng nâng cao sẽ được giao trước cho một nhóm nhỏ người kiểm thử, tiếp theo là chương trình Daybreak Blue.

Đã thiết lập, tạm thời và chưa được thiết lập

• Đã được xác lập. OpenAI đã công bố thông tin này vào ngày 7 tháng 8 năm 2026 và cho biết không thể loại trừ năng lực tấn công mạng Nghiêm trọng trong Astra; công ty đã liệt kê các biện pháp kiểm soát và việc tạm dừng một phần được mô tả ở trên. The Next Web đã đưa tin về bài đăng này cùng ngày, và Axios đã đưa tin về việc này như một sự chậm lại do rủi ro an ninh mạng.

• Được thiết lập sau này. Vào ngày 1 tháng 9 năm 2026, OpenAI đã chỉ định Astra là đáp ứng ngưỡng Critical — mô hình đầu tiên mà họ chỉ định ở mức đó — và công bố kết quả benchmark cùng đánh giá của chuyên gia. Thẻ hệ thống ngày 3 tháng 9 mang cùng con số từ chối và đánh giá bên ngoài của Irregular.

• Tạm thời và tự đánh giá. Kết luận về năng lực là của OpenAI, dựa trên các đánh giá của OpenAI. Tính đến ngày 7 tháng 8, chưa có phòng thí nghiệm bên ngoài nào công khai kiểm thử mô hình theo định nghĩa Critical, và bài đăng không nêu tên bất kỳ cơ quan đánh giá bên ngoài nào. Cuộc kiểm tra bên ngoài sau đó, do Irregular thực hiện, có phạm vi hẹp hơn so với chỉ định và xác nhận rõ ràng không có cuộc tấn công thành công nào nhắm vào các mục tiêu được gia cố hoàn toàn.

• Chưa được xác lập. Việc Astra thực sự đạt đến ngưỡng Critical vào ngày 7 tháng 8; bài đăng chỉ nói rằng công ty không thể loại trừ khả năng đó. Việc bất kỳ hệ thống thực tế nào bị xâm phạm: hồ sơ không ghi nhận tổn hại nào, và OpenAI tuyên bố Astra không liên quan đến sự cố Hugging Face. Cũng chưa được xác lập rằng việc tạm dừng một phần đáp ứng cách diễn đạt “dừng phát triển thêm” của chính khuôn khổ — OpenAI tiếp tục công việc đáp ứng các biện pháp kiểm soát mới của mình, và chính công ty, chứ không phải một cơ quan bên ngoài, đã đánh giá tính thỏa đáng của các biện pháp kiểm soát đó.

Câu hỏi quản trị mà hồ sơ để ngỏ

Khuôn khổ này là một công cụ tự ràng buộc. Nó ràng buộc OpenAI với các ngưỡng và biện pháp bảo vệ, đồng thời giao việc đánh giá và quyết định về tính đủ cho OpenAI, với sự rà soát nội bộ của Safety Advisory Group và sự giám sát của hội đồng quản trị. Bài đăng ngày 7 tháng 8 mô tả việc tham vấn — các cơ quan chính phủ và "một số tổ chức an toàn AI được chọn" sẽ kiểm thử mô hình — nhưng không nêu tên cơ quan quản lý nào, không công bố tiêu chí nào và không ấn định ngày nào. Không có gì trong hồ sơ cho thấy một bên bên ngoài kiểm tra quyết định đó.

Điều mà hồ sơ thực sự cho thấy là bộ máy đã chuyển động. Một cuộc đánh giá năng lực đã thay đổi thực tiễn nội bộ chỉ trong vòng một ngày: các biện pháp kiểm soát được siết chặt, một số công việc bị dừng lại, hoạt động giám sát được mở rộng sang huấn luyện và đánh giá, và quyền truy cập vào những chức năng có năng lực mạnh nhất sau đó bị giới hạn cho các nhân viên kiểm thử. Đó là nhiều hơn một thông cáo báo chí, và ít hơn một sự xác minh từ bên ngoài.

Phần chưa được giải quyết là phần mà khuôn khổ không thể tự mình xử lý. “Không thể loại trừ” là một tuyên bố về bằng chứng, không phải về năng lực, và nó để công ty quyết định mức bằng chứng nào là đủ trước khi tiếp tục. OpenAI đã khởi động lại đợt huấn luyện quy mô lớn vào ngày 28 tháng 8, chỉ định mô hình là Critical vào ngày 1 tháng 9 và phát hành nó dưới tên GPT-6 Astra vào ngày 3 tháng 9. Mỗi bước đều được ghi lại. Liệu mỗi bước có nên diễn ra vào thời điểm nó đã diễn ra hay không là một phán đoán mà hồ sơ có ghi lại nhưng không trả lời.