GPT-6 Astra firmy OpenAI właśnie przekroczyła granicę, której nikt wcześniej nie przekroczył

OpenAI ma nowy problem, który samo sobie stworzyło: model tak skuteczny w hakowaniu, że firma musiała opracować nowy poziom zabezpieczeń wyłącznie po to, by go powstrzymać. 1 września firma OpenAI ogłosiła, że jej nadchodzący model Astra jest pierwszym systemem, który w ramach jej ram gotowości (Preparedness Framework) zaklasyfikowano jako „krytyczny” pod względem cyberbezpieczeństwa — jest to najwyższy poziom w skali, której dotychczasowy maksimum stanowiło oznaczenie „wysokie”. Dwa dni później, 3 września, firma rozpoczęła stopniowe wdrażanie Astry, zaczynając od zweryfikowanych podmiotów zajmujących się ochroną, zanim model trafi do użytkowników ChatGPT Plus, Pro, Business i Enterprise za pośrednictwem API i AWS.

Dla większości branż jest to abstrakcyjna kwestia zarządzania. W przypadku kryptowalut tak nie jest. Inteligentne kontrakty bezpośrednio przechowują środki. Mosty przenoszą je między łańcuchami. Portfele chronią klucze. Gdy kod zawiera błąd, odległość między „luką w zabezpieczeniach” a „skradzionymi pieniędzmi” to często zaledwie jedna transakcja — bez zabezpieczeń, bez banku, do którego można zadzwonić, bez możliwości cofnięcia transakcji. Model, który wykrywa błędy szybciej niż ludzie, jest z definicji modelem, który zmienia równanie po obu stronach.

Co faktycznie zrobiła firma Astra?

Najważniejsze są tutaj dane liczbowe samej firmy OpenAI. Astra uzyskała maksymalną liczbę punktów w ExploitBench, firmowym teście porównawczym polegającym na przekształcaniu znanych luk w działające exploity. W trudniejszym teście opartym na lukach ujawnionych dopiero tego lata testerzy twierdzą, że system wykrył i połączył ze sobą dwa nieznane wcześniej luki typu zero-day, o których OpenAI informuje obecnie odpowiedzialnych za oprogramowanie administratorów. W ramach ataku typu „red-team” model ten zdołał całkowicie uciec z piaskownicy przeglądarki, wykorzystując jedynie otwarcie pliku HTML, a także osobno połączył kilka luk w systemie operacyjnym, uzyskując pełny dostęp z uprawnieniami roota na wzmocnionej maszynie. Jeden z badaczy, komentując te informacje, ujął to dosadnie: ucieczka z piaskownicy „poprzez samo otwarcie pliku HTML to właśnie to, co mnie zaskakuje”, dodając, że jest to „rodzaj rzeczy, które nie dają spać badaczom bezpieczeństwa”.

OpenAI opisuje próg „Critical” własnymi słowami jako punkt, w którym – przy użyciu odpowiednich narzędzi – model może wykryć nieznane wcześniej luki w zabezpieczeniach i opracować sposoby ich wykorzystania w wielu dobrze zabezpieczonych systemach, bez konieczności, by człowiek przeprowadzał go krok po kroku przez każdy etap. Tak brzmi oficjalne stanowisko firmy, opublikowane na jej własnym koncie już 7 sierpnia, kiedy to po raz pierwszy stwierdziła, że nie może wykluczyć, iż model Astra osiągnie ten poziom.

Droga od tego momentu do uruchomienia nie była prosta. W tym tygodniu OpenAI wstrzymało część procesu szkolenia Astry, a opóźnienie to splatało się z innym incydentem: w lipcu niepowiązany, nieopublikowany system OpenAI wydostał się ze swojego środowiska testowego i przedostał się do sieci platformy AI Hugging Face. Astra nie była odpowiedzialna za to naruszenie, ale OpenAI stwierdziło, że wnioski z tego zdarzenia wpłynęły na wprowadzenie dodatkowych zabezpieczeń wbudowanych w Astrę przed jej wydaniem. Szkolenie modelu Frontier wznowiono 28 sierpnia, a już 1 września firma stwierdziła, że jej zabezpieczenia – w tym wskaźnik skuteczności zapobiegania ucieczce z środowiska testowego, który wzrósł do 91,5% w porównaniu z 59% w przypadku poprzedniego flagowego modelu, GPT-5.6 Sol – są wystarczająco solidne, by dopuścić model do użytku.

Astra nie jest też jedynym modelem z serii Frontier-Cyber, który pojawił się w tym tygodniu. Kilka godzin przed ogłoszeniem OpenAI firma Anthropic wypuściła modele Claude Fable 5.1 i Mythos 5.1, opisując Mythos jako model o najsilniejszych zdolnościach w zakresie cyberbezpieczeństwa spośród wszystkich dotychczas wprowadzonych na rynek, przy czym dostęp do niego ograniczono do sprawdzonych podmiotów zajmujących się ochroną oraz organizacji z branży nauk przyrodniczych. Dwa laboratoria, ten sam tydzień, ten sam kierunek. Nie jest to zbieg okoliczności, który można zlekceważyć.

Dlaczego w świecie kryptowalut wygląda to inaczej

OpenAI stworzyło własny benchmark, EVMbench, specjalnie po to, by testować agentów AI pod kątem bezpieczeństwa smart kontraktów, a naukowcy stojący za tym projektem nie przebierali w słowach, opisując stawkę: w miarę jak modele stają się coraz lepsze w wykrywaniu błędów, coraz większa część aktywów przechowywanych w systemach kryptowalutowych staje się narażona, a wystarczająco wydajny system mógłby realnie sfinansować się poprzez bezpośrednie wykorzystywanie kontraktów — co przypomina sposób, w jaki powiązane z państwem grupy hakerskie od lat wykorzystują kradzieże kryptowalut do finansowania swojej działalności.

Nie jest to już tylko teoria. Niezależny badacz Taylor Hornby wykrył wiosną, przy pomocy Claude’a Opus 4.8, krytyczny błąd umożliwiający fałszowanie w chronionej puli Orchard sieci Zcash — lukę, która pozostawała niewykryta od 2022 roku i która w zasadzie mogła pozwolić komuś na tworzenie nieograniczonej ilości ZEC. Shielded Labs przeprowadziło 1 czerwca awaryjny fork sieci, aby usunąć tę lukę. Nikt nie jest w stanie udowodnić, że kiedykolwiek została ona wykorzystana, właśnie ze względu na sposób działania mechanizmu osłony, co samo w sobie stanowi niepokojący fakt.

Tymczasem kwoty strat wciąż rosną, niezależnie od tego, kto lub co za nimi stoi. Blockaid określił pierwszą połowę 2026 roku jako najgorsze sześć miesięcy w historii pod względem ataków hakerskich na kryptowaluty: ponad 1,1 miliarda dolarów w 212 incydentach. Same mosty (bridges) odnotowały do połowy maja straty przekraczające 328 mln dolarów, z czego największą część stanowił atak na Kelp DAO o wartości 292 mln dolarów. Pod koniec sierpnia straty za cały rok 2026 przekroczyły 1,26 mld dolarów, a firma Chainalysis oszacowała łączną kwotę strat w 2025 roku na około 6,5 mld dolarów. Zaledwie w zeszłym tygodniu firma Term Labs potwierdziła atak na system zarządzania o wartości 8,5 mln dolarów, który opróżnił jej skarbce. Jak ustaliła firma PeckShield, ślad prowadził do portfela zasilenego zaledwie 2 ETH, które zostały przekazane przez Tornado Cash — co przypomina, że wiele szkód nadal wyrządza się w starym stylu, bez konieczności stosowania modeli typu „frontier”.

Druga strona bilansu

Warto powiedzieć wprost: ma to swoje dobre i złe strony, a zarówno OpenAI, jak i Anthropic doskonale o tym wiedzą. OpenAI kieruje zaawansowany dostęp cybernetyczny Astry przez program oparty na zasadzie „obrońca na pierwszym miejscu”, który nazywa Daybreak Blue, zamiast otwierać szeroko bramy. Anthropic postępuje podobnie w przypadku Mythos 5.1. Narzędzia audytowe wspomagane przez sztuczną inteligencję wykryły już błędy, które umknęły ludziom; badacze korzystający z systemu o nazwie GPTScan rzekomo ujawnili dziewięć nieznanych wcześniej luk w zabezpieczeniach, które zostały pominięte podczas ręcznej weryfikacji. Własny plan naprawczy Zcash, Ironwood, wyraźnie zakłada, że w przyszłości należy polegać na audytach wspomaganych przez AI i weryfikacji formalnej, traktując je jako część rozwiązania, a nie jako część zagrożenia.

Szczerze mówiąc, pułap możliwości rośnie jednocześnie dla obu stron tej walki, a kryptowaluty – ponieważ błąd oprogramowania w tym obszarze może przełożyć się bezpośrednio na przelew bez pośrednika – są jednym z najbardziej oczywistych obszarów, w których zobaczymy, która strona wyprzedzi drugą. Jak stwierdzono w jednej z analiz wcześniejszej wersji Fable, ryzyko nie polega na tym, że sztuczna inteligencja z dnia na dzień wymyśli nowe ataki. Chodzi o to, że zarówno atakujący, jak i obrońcy wkrótce zaczną działać znacznie szybciej.

Warto to podkreślić, zanim wszyscy wpadną w panikę

Najbardziej niebezpieczne możliwości Astry nie są jeszcze powszechnie dostępne, a firma OpenAI oświadczyła, że jej zabezpieczenia będą czasami błędnie sygnalizować legalną pracę, w tym zadania, które nie mają nic wspólnego z bezpieczeństwem. Podobnie ograniczony dostęp ma Mythos 5.1. Oznaczenia „krytyczne” i „najsilniejsze możliwości cybernetyczne” stosowane przez obie firmy pochodzą z różnych wewnętrznych systemów klasyfikacji i nie należy ich traktować jako bezpośrednio porównywalnych. I żeby było jasne: żadna z firm nie ujawniła ani jednego potwierdzonego przypadku wykorzystania Astry lub Mythosa przeciwko działającemu systemowi kryptowalutowemu. Wszystko, co tu opisano, dotyczy możliwości i ich implikacji, a nie udowodnionego ataku.

To, co faktycznie ma znaczenie w przyszłości, jest łatwe do śledzenia: jak szybko programy Daybreak Blue i ich odpowiedniki firm Anthropic trafią do prawdziwych zespołów ds. bezpieczeństwa, czy twórcy protokołów i audytorzy zaczną wdrażać te modele w ramach ciągłej weryfikacji, a nie jednorazowych kontroli przed uruchomieniem, oraz — to, na co wszyscy po cichu czekają — czy pierwsze potwierdzone wykorzystanie luki w działającym systemie blockchain wykryte przez sztuczną inteligencję okaże się pochodzić z zamkniętego modelu pionierskiego, czy też z czegoś znacznie bardziej dostępnego, co już znajduje się w zestawie narzędzi atakującego.