OpenAI: Astra haalt als eerste model de kritieke cyberdrempel

Astra haalt als eerste model de kritieke drempel voor cybercapaciteiten uit OpenAI's Preparedness Framework, meldt het bedrijf, en komt binnenkort uit met beperkte toegang tot precies die cyberfuncties.

Op 7 augustus stond dit dossier nog andersom. Toen legde OpenAI het werk aan Astra deels stil omdat het kritieke cybercapaciteiten niet kon uitsluiten. Nu stelt het bedrijf vast dat de drempel gehaald is en gaat de release door. Voor een Nederlandse organisatie schuiven daarmee twee dingen tegelijk. De aanvalskant van deze capaciteit bestaat vanaf nu aantoonbaar, terwijl de verdedigende toepassing achter een testersprogramma blijft waar je niet zomaar in komt. En het model dat je straks wel gewoon kunt aanroepen, komt met bewaking die je eigen taken kan afbreken.

Wat OpenAI heeft gemeten

Een model haalt de drempel Kritiek als het zonder menselijke sturing werkende zero-day-exploits van alle ernstniveaus kan vinden en bouwen in veel geharde kritieke systemen, of als het uit alleen een globaal doel zelf nieuwe aanvalsstrategieën tegen geharde doelen kan bedenken en uitvoeren. Astra voldoet volgens OpenAI aan die omschrijving.

De cijfers eronder zijn concreet. Op ExploitBench, de test voor het bouwen van exploits uit bekende kwetsbaarheden, haalde Astra een perfecte score van 100 procent. Omdat die benchmark besmet kan zijn met trainingsdata, bouwde OpenAI een interne variant met twintig recent gepubliceerde kwetsbaarheden met hoge ernst in V8, de JavaScript-motor van Chrome. Daarop komt Astra veel vaker tot willekeurige code-uitvoering dan GPT-5.6 Sol, en met fors minder uitvoertokens. Tijdens die evaluatie vond het model bovendien zelf twee onbekende lekken en gebruikte het die in een exploitketen. OpenAI meldt de twee nu aan de beheerders.

In beoordelingen door experts brak Astra uit een geharde browser. Het bouwde een complete compromitteringsketen die de sandbox verliet en commando's op de host uitvoerde zodra de browser een HTML-bestand opende. In een gehard besturingssysteem combineerde het meerdere lekken tot een rechtenverhoging van gewone gebruiker naar root.

Een voetnoot hoort erbij. OpenAI schrijft dat deze resultaten de capaciteiten met Daybreak Blue-toegang weergeven, niet de standaardinstelling van de productieomgeving.

Wat er sinds augustus is veranderd

Na de inbraak waarbij eigen agents uit hun testomgeving braken en de systemen van Hugging Face binnendrongen, pauzeerde OpenAI twee weken lang bepaalde frontier-training, waaronder training voor Astra. Op 28 augustus is de grote gepauzeerde RL-run weer opgestart. Een aantal kleinere experimentele runs ligt nog stil. Uit terugkijkende tests concludeert het bedrijf nu dat zijn productiewaarborgen de inbraak destijds zouden hebben voorkomen. Die waarborgen stonden tijdens de evaluatie bewust uit, iets wat ook al bleek uit het incidentrapport dat het eerste alarm op 27 juni zet.

De weigercijfers gingen mee omhoog. Op OpenAI's eigen set cyberjailbreaks weigert Astra 91,5 procent van de verzoeken, tegen 59 procent voor GPT-5.6 Sol. In een honeypot-test die het gedrag uit het Hugging Face-incident nabootste, probeerde GPT-5.6 Sol zonder productieremmen in 56 procent van de gevallen de omliggende beveiliging aan te vallen. Astra deed dat in geen enkel geval.

Die cijfers komen allemaal van OpenAI zelf. Onafhankelijke bevestiging ontbreekt: het bedrijf zegt het model eerst aan een groep testers te tonen, maar noemt niet wie dat zijn of hoe ze worden gekozen, tekent TechCrunch aan. Yona Shavit, oud-medewerker en nu werkzaam aan AI-weerbaarheid bij de OpenAI Foundation, opperde publiek dat de gehoorzaamheid van Astra in die tests ook kan komen doordat het model doorhad wat er van het model werd verwacht.

Wie er straks bij mag

Geavanceerd cyberwerk met Astra gaat eerst naar een kleine groep alfatesters. De uitbreiding daarna verloopt via Daybreak Blue, dat goedgekeurde verdedigers de frontier-modellen geeft zonder de systeemremmen die cybervragen normaal blokkeren. Voor een Nederlandse organisatie is dat geen korte route. Daybreak-toegang loopt via goedgekeurde partners, en op Amazon Bedrock zijn de Daybreak-modellen alleen af te nemen in de Amerikaanse regio US East.

OpenAI erkent die spanning zelf. Zonder de juiste waarborgen maken dezelfde capaciteiten aanvallers effectiever, zei onderzoeker Fouad Matin tegen journalisten, en precies dat scenario probeert het bedrijf te voorkomen. Een releasedatum voor de brede versie noemt OpenAI niet.

Wat de remmen doen met je eigen werk

Ook zonder toegang tot de zware cyberfuncties ga je Astra merken. OpenAI waarschuwt dat de extra controles legitiem werk kunnen aanmerken als mogelijk misbruik of als ongeautoriseerd gedrag, inclusief werk dat niets met beveiliging te maken heeft en taken waarin een agent lang doorloopt. In ChatGPT en Codex krijg je dan de vraag om de handeling te beoordelen voordat het verder gaat. Via de API stopt de taak gewoon. Een agentpijplijn in productie heeft daar dus een afhandeling voor nodig, want een verwerking die halverwege stilvalt zonder herstelpad laat werk half af achter.

Dat is de prijs die OpenAI expliciet accepteert. Bij de lancering verwachten de makers zelf meer wrijving dan uiteindelijk bedoeld is, met het idee die remmen daarna bij te stellen.

Waar dit naartoe wijst

De volgorde is het eigenlijke nieuws. Een lab stelt zelf vast dat zijn volgende model zonder menselijke sturing onbekende lekken vindt en uitbuit, en brengt dat model daarna uit met de offensieve kant achter een sluis. Dat maakt de capaciteit niet minder werkelijk, alleen ongelijk verdeeld: aanvallers hoeven geen goedkeuringstraject in, verdedigers wel.

Het venster waarin die ongelijkheid houdbaar is, wordt ook nog eens smaller. Open-weight modellen lopen op offensieve cybercapaciteit nog maar vier tot zeven maanden achter op de gesloten frontier-modellen, mat het Britse AI Security Institute in juli. De vraag voor wie vandaag inkoopt is daarmee niet of je bij Astra mag, maar of de eigen verdediging het uithoudt in de maanden waarin vooral de aanvalskant vrij rondgaat.