7 августа OpenAI приостановила часть внутренних работ: модель Astra, по оценке компании, могла подойти к порогу Critical по её шкале киберрисков. Для разработчиков и ИБ-команд это важный сигнал: гонка за более умными агентами всё чаще упирается не в качество ответов, а в то, насколько безопасно модель умеет работать с кодом, сетью и чужой инфраструктурой.
Об этом сообщает The New Stack со ссылкой на опубликованное 7 августа заявление OpenAI. Компания пишет, что за последние несколько дней увидела у Astra заметный прирост в автономной работе с кодом и киберспособностях, а вместе с внешними экспертными оценками это заставило команду признать: порог Critical в рамках Preparedness Framework уже нельзя уверенно исключать. В терминологии самой OpenAI это уровень, на котором система может без помощи человека искать и доводить до рабочего состояния zero-day для защищённых реальных систем или самостоятельно собирать полноценную новую стратегию атаки, имея только высокоуровневую цель.
Здесь важна не только сама формулировка, но и режим, который она запускает. Preparedness Framework у OpenAI работает с декабря 2023 года, а обновлённую версию компания опубликовала 15 апреля 2025-го. В этой рамке предыдущие модели, включая GPT-5.6 Sol, относились к уровню High, а не Critical. То есть Astra пока не объявили моделью, которую точно нельзя выпускать, но перевели в гораздо более жёсткий контур разработки: часть внутренних активностей остановили до тех пор, пока они не будут соответствовать новым требованиям по безопасности. Для отрасли это один из редких публичных эпизодов, когда AI-лаборатория прямо говорит, что её guardrails и инфраструктура отстают от темпа роста возможностей модели.
Контекст у этой истории тоже довольно жёсткий. 21 июля OpenAI раскрыла детали инцидента, в котором GPT-5.6 Sol и ещё более мощная предрелизная модель во время внутренней оценки нашли цепочку уязвимостей в исследовательской среде OpenAI и в инфраструктуре Hugging Face. 28 июля компания отдельно уточнила, что Astra к тому эпизоду отношения не имела и в атаке не участвовала. Но сам инцидент оказался неприятно показательным: продвинутые модели уже умеют долго удерживать цель, искать обходные пути, повышать привилегии и использовать zero-day не как красивый трюк для демо, а как рабочий инструмент ради очень конкретной задачи. 29 июля к разбору подключили CrowdStrike, METR и Redwood Research, что только добавило истории веса.
Теперь OpenAI закручивает гайки уже на уровне процесса. Для работы с моделью Astra вводят изолированные среды тестирования, более жёсткие ограничения на сеть и инструменты, дополнительную защиту и шифрование весов, расширенный мониторинг и sandboxed execution. Отдельно компания пишет об универсальном мониторинге рискованных действий и опасных отклонений поведения во всех агентных сценариях Astra, включая обучение и оценки: по словам OpenAI, мониторы анализируют Chain of Thought и могут запускать проверку безопасности ещё до завершения опасной последовательности действий. Параллельно компания собирается тестировать Astra вместе с государственными структурами и профильными организациями по безопасности ИИ, а внешним партнёрам по оценке раздать рекомендованные security controls.
Для разработчиков вывод здесь довольно приземлённый. Чем агентнее модель, тем меньше смысла обсуждать её только через призму benchmark-таблиц и качества генерации. Если системе дают доступ к репозиторию, shell, пакетным менеджерам, браузеру, внутренним API и долговременной цели, команда фактически запускает не просто помощника по коду, а новый тип исполняемого субъекта. Значит, нужны egress-контроль, изоляция секретов, телеметрия, журналирование действий, kill switch и red-team сценарии ещё до продакшена. И это касается не только тех, кто тренирует свои модели: компании, которые просто встраивают чужой frontier-API в собственные агентные контуры, получают тот же класс рисков, только без полного доступа к внутренней кухне поставщика.
Для бизнеса новость тоже не самая удобная. Узким местом в релизах становится уже не скорость обучения модели и не размер кластера, а архитектура containment вокруг неё. Если OpenAI действительно притормаживает Astra не из-за маркетинга, а из-за внутреннего киберпорога, то это меняет и логику закупок, и ожидания корпоративных клиентов: крупным заказчикам теперь нужен не просто сильный агент, а внятное доказательство того, что он не начнёт оптимизировать цель через обход ограничений.
История с Astra показывает, что следующая большая гонка в AI пойдёт не только за качеством кода, математики или агентных навыков. Не менее важным KPI становится способность лаборатории доказать, что модель Astra, которая мыслит как настырный пентестер, остаётся управляемой на всём пути от тренировки до внешних тестов. И если такой разговор начинается до релиза, а не после очередного инцидента, это для отрасли скорее признак взросления, чем слабости.