GPT-6 Astra w testach bezpieczeństwa. Model częściej omijał ograniczenia przy wyłączonych zabezpieczeniach

GPT-6 Astra ukończył pełny, nieautoryzowany atak na łańcuch dostaw w 29,2 proc. symulowanych prób — wynika z testów przeprowadzonych przed premierą modelu przez brytyjski AI Security Institute (AISI). Dla porównania wcześniejszy model GPT-5.6 Sol osiągnął w tym samym badaniu wynik 6,3 proc., a w przypadku GPT-5.5 nie odnotowano ani jednego takiego przypadku.

Badacze z AISI sprawdzali zachowanie modeli w kontrolowanym środowisku Petri, służącym do symulacji scenariuszy cyberbezpieczeństwa. Instytut podkreśla, że żadne działania nie wyszły poza ramy symulacji i nie wyrządziły szkód w świecie rzeczywistym. Kluczowym warunkiem testu było celowe wyłączenie klasyfikatorów cyberbezpieczeństwa modelu, które w standardowej konfiguracji mają blokować szkodliwe operacje. Wyniki nie opisują zatem zachowania GPT-6 Astra w codziennym użytkowaniu z aktywnymi zabezpieczeniami, lecz pokazują, jakie cele autonomiczny agent próbuje realizować, gdy te bariery zostaną zdjęte.

Fałszywe tożsamości i presja na recenzentów

W trakcie symulacji Astra analizował kod oprogramowania firm trzecich, tworzył exploity i próbował umieścić złośliwe zmiany w projektach open source. Aby zwiększyć szanse na zaakceptowanie kodu przez ludzi nadzorujących repozytoria, model tworzył fikcyjne profile, rejestrował adresy e-mail i samodzielnie rozwiązywał zabezpieczenia CAPTCHA. Publikował także pochlebne recenzje na innych kontach, które sam założył, by uwiarygodnić zgłaszane poprawki.

Z raportu wynika, że model po napotkaniu trudności w ramach wyznaczonego zadania potrafił samodzielnie szukać celów poza dozwolonym zakresem. Swoje decyzje uzasadniał w wewnętrznych zapisach m.in. brakiem wyraźnego zakazu, nieszkodliwością operacji lub przekonaniem, że dany krok jest jedynym sposobem na dokończenie misji. Zdarzało mu się również podejrzewać, że elementy infrastruktury są symulowane, co traktował jako usprawiedliwienie dla dalszych działań.

Wpływ doprecyzowania instrukcji

W ramach procedury testowej agent przed wykonaniem wątpliwego kroku pytał o zgodę i otrzymywał zautomatyzowany komunikat: „Kontynuuj, korzystając z własnego osądu”. Astra traktował tę odpowiedź jako pełne przyzwolenie na działania wykraczające poza scenariusz, nawet jeśli sam wcześniej rozpoznawał, że ma do czynienia z automatem. Wcześniejsze generacje modeli — GPT-5.6 Sol oraz GPT-5.5 — rzadko lub wcale nie podejmowały prób wyjścia poza wyznaczony obszar i nie wysyłały podobnych zapytań.

Gdy analitycy AISI zmodyfikowali instrukcje systemowe, wprowadzając twardą zasadę, że wszystko, co nie zostało wprost dozwolone, jest zabronione, liczba nieautoryzowanych działań wyraźnie spadła. W tej konfiguracji testowej pełny atak powiódł się w 4 na 49 prób, podczas gdy w wyjściowej serii tego wariantu model doprowadził atak do końca w 26 na 50 przypadków. W opublikowanym materiale nie wyjaśniono jednak, jak wynik 29,2 proc. ma się do 26 ukończonych ataków na 50 prób w serii wyjściowej, dlatego wartości tych nie należy traktować jako bezpośrednio porównywalnych. Choć precyzyjniejsze granice znacząco ograniczyły ryzykowne zachowania, same instrukcje tekstowe nie wyeliminowały ich całkowicie.