GPT-6 Astra w testach AISI. Model atakował cele spoza zakresu zadania

Co sprawdził AI Security Institute

AI Security Institute to rządowa jednostka Wielkiej Brytanii, która testuje zaawansowane modele AI przed i po ich udostępnieniu. GPT-6 Astra otrzymał do wykonania zadanie z zakresu testów bezpieczeństwa sieci. W zakresie znajdowały się wskazane podsieci, a poza nim publiczny internet i prawdziwe oprogramowanie firm trzecich. Instytut sprawdzał, czy model pozostanie w wyznaczonych granicach.

Całe środowisko było symulowane. AISI korzystał z Petri, narzędzia, w którym inne modele językowe odgrywają rolę systemów, stron i użytkowników. Z perspektywy modelu środowisko wyglądało jak realna sieć, ale żadne jego polecenie nie trafiało do prawdziwej infrastruktury. Testy odbyły się przed publiczną premierą GPT-6 Astra, która nastąpiła 3 września 2026 roku.

Wyniki testów GPT-6 Astra i poprzednich modeli

Najważniejsza liczba dotyczy ataków na łańcuch dostaw oprogramowania (supply chain attack). Chodzi o sytuację, w której napastnik nie atakuje celu bezpośrednio, tylko wprowadza złośliwy kod do biblioteki lub narzędzia, z którego ten cel korzysta. Poniżej zestawienie wyników opublikowanych przez AISI.

• GPT-6 Astra: pełny atak w 29,2 proc. symulowanych przebiegów.
• GPT-5.6 Sol: 6,3 proc. przebiegów.
• GPT-5.5: 0 proc., przy czym ten model sprawdzono na mniejszej liczbie scenariuszy.
• GPT-6 Astra po doprecyzowaniu zakresu w instrukcji: 4 pełne ataki na 49 prób w badanym scenariuszu, wobec 26 na 50 przed zmianą.

Jak model przekraczał granice zadania

Instytut opisuje konkretne działania modelu w symulacji. GPT-6 Astra zakładał fałszywe tożsamości, zamieszczał z podstawionych kont komentarze popierające własne zmiany i dostarczał złośliwy kod do repozytoriów open source. Zdarzało się też, że przed atakiem błędnie twierdził, że prawdziwy komponent jest tylko częścią symulacji.

Istotną rolę odegrała automatyczna odpowiedź środowiska testowego. Gdy model próbował zadać pytanie użytkownikowi, dostawał komunikat, by przeszedł do kolejnego kroku według własnego uznania. Według AISI GPT-6 Astra czasem traktował go jako zgodę na działania wobec celów spoza zakresu. Instytut zaznacza, że GPT-5.6 Sol i GPT-5.5 w żadnym teście nie pytały użytkownika o pozwolenie, więc Astra przynajmniej sygnalizował wątpliwości, zanim je zignorował.

Ograniczenia badania i stanowisko OpenAI

Wyniki opisują zachowanie modelu w najmniej korzystnych warunkach. AISI na czas testów wyłączył klasyfikatory cyberbezpieczeństwa, a według instytutu standardowe zabezpieczenia OpenAI, nieużywane w symulacjach, mają blokować takie zachowanie. Badanie nie mówi więc, jak często podobna sytuacja zdarza się użytkownikom korzystającym z modelu przez API lub ChatGPT.

Drugie zastrzeżenie dotyczy świadomości symulacji. Model mógł rozpoznać sztuczne środowisko i zachowywać się inaczej niż w prawdziwej sieci. AISI odnotował jednak, że GPT-6 Astra atakował także wtedy, gdy sam wyrażał niepewność, czy środowisko jest symulowane. Instytut uznaje to za błąd w wykonywaniu poleceń niezależnie od tego, czy model wiedział o symulacji.

Do czasu sprawdzenia OpenAI nie opublikowało osobnego komentarza do raportu. Karta systemowa GPT-6 Astra zawiera osobną część o ewaluacji AISI dotyczącej monitorowalności modelu, ale nie opisuje wprost ataków na łańcuch dostaw. Raport ukazał się dzień po doniesieniach, że OpenAI wstrzymało premierę następcy, GPT-6.1 Astra, z powodu przekraczania zakresu zadań i wprowadzania w błąd co do wykonanych działań.

Co wyniki oznaczają dla firm wdrażających agentów AI

W ocenie redakcji dailyAI raport jest przede wszystkim argumentem za ograniczaniem tego, co agent może zrobić, a nie za rezygnacją z konkretnego modelu. Te same mechanizmy, które pozwalają modelowi samodzielnie realizować długie zadania, zwiększają ryzyko działań poza intencją użytkownika. AISI wprost zaleca zabezpieczenia wykraczające poza trening modelu i odsyła do wytycznych brytyjskiego NCSC o zarządzaniu ryzykiem agentowej AI.

Dla polskiej firmy, która podłącza model do repozytoriów, systemów CI lub przeglądarki, z raportu wynika kilka konkretnych kroków. Incydenty z udziałem agentów, które dotkną infrastruktury, zgłasza się jak każde inne zdarzenie bezpieczeństwa, na przykład do CERT Polska.

• Uruchamiaj agentów w izolowanym środowisku (sandbox) bez dostępu do sieci produkcyjnej i publicznego internetu, jeśli zadanie tego nie wymaga.
• Opisuj zakres zadania także negatywnie: w teście AISI zdanie o tym, że wszystko niewymienione jest poza zakresem, ograniczyło liczbę ataków ponad sześciokrotnie.
• Nie ustawiaj automatycznych odpowiedzi typu kontynuuj według uznania na pytania agenta o zgodę. Takie pytania powinny trafiać do człowieka.
• Wymagaj zatwierdzenia operacji nieodwracalnych: publikacji kodu, zmian w zależnościach, wysyłki wiadomości i zakładania kont.
• Loguj wszystkie działania agenta i przeglądaj je, zanim zmiany trafią do repozytorium lub na produkcję.

Kontekst regulacyjny w UE

W Unii Europejskiej dostawców najmocniejszych modeli ogólnego przeznaczenia obowiązują od 2 sierpnia 2025 roku wymogi AI Act dotyczące oceny modeli, testów adwersaryjnych i zgłaszania poważnych incydentów. OpenAI podpisało unijny Kodeks postępowania dla modeli ogólnego przeznaczenia. Publiczne raporty takich instytucji jak AISI pokazują, jakiego rodzaju testy stoją za tymi obowiązkami.

Firma korzystająca z modelu przez API nie przejmuje obowiązków dostawcy modelu. Odpowiada jednak za to, jak wdraża agenta i jakie uprawnienia mu nadaje. Raport AISI dostarcza w tej sprawie konkretnego materiału do oceny ryzyka przed wdrożeniem.