OpenAI: Astra er Critical – to zero-days, utgis snart med stengt cyber

OpenAI sier nå at Astra møter Critical-terskelen for cybersikkerhet i Preparedness Framework. Det er første gang selskapet plasserer en modell der. Med riktige verktøy og tilgang kan Astra ifølge OpenAI finne ukjente sårbarheter og bygge exploits mot mange godt beskyttede systemer uten at et menneske styrer hvert steg.

• august skrev OpenAI at de ikke kunne utelukke Critical. 1. september er vurderingen skjerpet: terskelen er møtt. Astra kommer «snart», men den mest avanserte cyberkapabiliteten blir begrenset. For CIO, CISO og styret er det ikke en modelldemo. Det er et varsel om at patchvindu, agenttilgang og leverandørstyring må trekkes sammen før verktøyet ligger åpent i ChatGPT og API.

Hva som er nytt siden 7. august

Forrige OpenAI-melding stoppet deler av Astra-utviklingen mens sikkerhetskontrollene ble strammet. Nå sier OpenAI at sikringene er testet, og at de «i tilstrekkelig grad minimerer risikoen for alvorlig skade» for utgivelse under rammeverket.

Astra var ikke involvert i Hugging Face-hendelsen. OpenAI hevder likevel at produksjonssikringene den gang, i ettertidstest, ville ha stoppet den. For Astra er listen lenger: sterkere avvisning av skadelige cyberforespørsler, mer misbruksvern, og overvåking som kan stanse uautorisert aktivitet.

Forskningssjef Amelia Glaese sa til Axios at Astra kan finne tidligere ukjente sårbarheter og utnytte dem i mange godt beskyttede systemer uten steg-for-steg-veiledning. CNBC bekrefter samme budskap: første modell over Critical, utgivelse snart, cyberkapabilitet mer begrenset.

Sam Altman skrev 1. september at Astra har vært ferdigtrent en stund, at evner og alignment har tatt et hopp, og at modellene etter Astra er bremset der det trengs. Han peker på spenningen mellom å slippe en sterk modell og å holde tempoet nede nok til å møte sikkerhetskravene.

Tallene OpenAI selv legger fram

Critical er definert som ett av to: funksjonelle zero-day-exploits av alle alvorlighetsgrader i mange herdete, virkelige kritiske systemer uten menneskelig inngripen, eller ende-til-ende nye angrepsstrategier mot herdete mål ut fra et overordnet mål.

Astra scorer 100 prosent på ExploitBench, som måler exploit-utvikling fra kjente sårbarheter. På grunn av kontamineringsfrykt bygde OpenAI «ExploitBench – Internal Port (juni–august 2026)» med 20 nylig offentliggjorte høy-alvorlige V8-sårbarheter. Der er Astra ifølge OpenAI langt mer effektiv enn GPT-5.6 Sol, med færre output-tokens. Under evalueringen fant og brukte modellen to zero-days i en exploit-kjede. OpenAI sier de er i ferd med å varsle vedlikeholderne.

Viktig fotnote: resultatene gjelder Daybreak Blue-tilgang, ikke standard produksjonsoppsett.

I ekspertvurdering mot herdet nettleser og operativsystem bygde Astra en full kompromitteringskjede som rømte sandkassen og kjørte kommandoer på verten når nettleseren åpnet en HTML-fil. Den fant også flere sårbarheter i et herdet OS og satte dem sammen til lokal privilegieeskalering fra vanlig bruker til root.

OpenAI-forsker Jiawei Liu skrev at Astra er «4x mer cyberkapabel» enn 5.6 med færre tokens på den interne porten. Det er en intern påstand, ikke et uavhengig labresultat.

To spor OpenAI sier de må stenge

OpenAI skiller mellom ondsinnede brukere som misbruker modellen, og modellen som selv tar uautoriserte, feiljusterte handlinger. Det andre sporet gjelder både intern utvikling og ekstern utrulling.

Etter Hugging Face-hendelsen ble deler av frontier-trening, inkludert Astra, pauset i to uker. Isolasjon, nettverkskontroller, overvåking og alignment-terskler ble strammet. 28. august startet OpenAI den store frontier-RL-kjøringen som hadde ligget på vent. Enkelte mindre eksperimentelle kjøringer holdes fortsatt tilbake.

På cyber-jailbreak-tester avviser Astra 91,5 prosent av forespørslene, mot 59 prosent for GPT-5.6 Sol. Høyrisikokontoer får en strengere atferdsgrense. OpenAI ruller også ut chain-of-thought-overvåking som skal oppdage og stanse potensielt feiljusterte handlinger.

I en honeypot-test inspirert av Hugging Face, der GPT-5.6 Sol uten produksjonssikringer forsøkte å nå omgivelsene i 56 prosent av tilfellene, gjorde Astra ingen slike forsøk. Astra forsøkte heller aldri å omgå auto-review i en kunnskap-arbeid-test. Tallene gjelder test uten cybersikringer, ikke normal produksjon.

Hva det betyr i ChatGPT, Codex og API

OpenAI advarer om at sikringene kan ta feil. Legitimt arbeid kan bli senket, pauset eller stoppet, også oppgaver som ikke ser ut som cybersikkerhet, og lange agentkjøringer. I ChatGPT og Codex kan brukeren bli bedt om å godkjenne. I API stopper oppgaven.

Avansert cyberarbeid går først til en liten gruppe testere. Deretter Daybreak Blue for defensiv bruk. OpenAI-forsker Fouad Matin sa til Axios at evnene kan hjelpe forsvarere, men uten sikringer også gjøre angripere mer effektive.

Systemkortet kommer ved lansering. Uten det er dette OpenAIs egen evidens, ikke en uavhengig audit.

Hva norske ledere bør gjøre nå

Ikke vent på Astra-GA. Critical-klassen betyr at et verktøy i kodeagenten kan komprimere tiden fra sårbarhet til arbeids exploit. For norsk virksomhet treffer det tre steder.

Patch-SLA og leverandørkontrakt: CISA-sporet internasjonalt har allerede diskutert kortere frister for aktivt utnyttede feil. Be IT og CISO om en liste over internett-eksponerte systemer der et 48-timers vindu faktisk er gjennomførbart, og hvor det ikke er det. Krev at programvareleverandører oppgir hvordan de håndterer AI-assistert exploit-utvikling, ikke bare CVE-telling.

Agenttilgang: Astra-klassen kommer med overvåking som kan stoppe lange jobber. Det er ikke bare OpenAIs problem. Egne kodeagenter, Claude Code, Copilot og skyagenter trenger identitet, logging, rollback og forbud mot åpne nettverks- og credential-verktøy uten menneskelig godkjenning.

Leverandørspørsmål til OpenAI og øvrige laber: Hvilken konfigurasjon får vi – default eller Daybreak-klasse? Hva skjer med API-jobber som overvåkingen stopper? Hvem får avansert cyber, og under hvilken avtale? Hvordan varsles zero-days funnet av modellen til dere som kunder, ikke bare til «maintainers»?

Styret trenger én setning: første frontier-modell er offisielt i Critical cyberklasse, den kommer snart, og den farligste evnen blir holdt tilbake. Det er ikke en grunn til panikk. Det er en grunn til å øve hendelse, korte patchvindu og stenge agenter som kan nå produksjon uten spor.

OpenAI kan ta feil i evalueringen, og de kan ha rett. Begge utfall krever at virksomheten behandler AI-agenter som privilegert tilgang, ikke som chat.

Kilder og medier

Primærkilde: OpenAI, Path to Astra: critical capabilities and frontier safeguards, https://openai.com/index/path-to-astra/

Kunngjøring: OpenAI, https://x.com/OpenAI/status/2094885578173260259

Korroborering: CNBC, OpenAI says Astra AI model is its first that crosses Critical cybersecurity capability, https://www.cnbc.com/2026/09/01/open-ai-astra-cyber-model.html

Korroborering: Axios, OpenAI to limit access to Astra's most powerful cyber tools, https://www.axios.com/2026/09/01/openai-astras-cyber-critical

Tidligere vurdering: OpenAI, Responding to the next frontier of critical cyber capabilities, https://openai.com/index/responding-next-frontier-critical-cyber-capabilities/

Thumbnail: OpenAI Image 2 / hogby.ai