OpenAIs GPT-6 Astra hallucinerar mindre men är fortsatt sårbar för dolda attacker

OpenAIs GPT-6 Astra, som lanserades den 3 september, innebär en mätbar förbättring avseende faktamässig korrekthet och motståndskraft mot direkt prompt-manipulering jämfört med föregångaren GPT-5.6 Sol. Oberoende säkerhetstester visar dock att modellen fortfarande kan komprometteras genom dolda instruktioner inbäddade i dokument som den bearbetar, en svaghet som komplicerar användningen i företagsmiljöer och agentbaserade system.

Färre hallucinationer och direkta attacker

Enligt OpenAIs systemkort återger Astra kända faktafel betydligt mer sällan än GPT-5.6 Sol, med de största vinsterna vid låg latens och lägre resonemangsnivåer. För direkta prompt-injektioner, där användare försöker manipulera modellen genom egna indata, uppnår Astra en försvarsgrad på 99,99 procent. OpenAI tillskriver detta GPT-Red-metoden, som använder en automatiserad angripare för att härda modellen under träning.the-decoder+1

Motståndskraften mot jailbreaking följer ett liknande mönster. Mot ett fast dataset med kända attacker riktade mot skadliga svar inom biologi, våld och cybersäkerhet vägrar Astra att lyda i 91,5 till 98,3 procent av fallen. När motståndare anpassar sin strategi över flera samtalsomgångar sjunker dock försvarsgraden till cirka 67 procent, vilket innebär att ihärdiga angripare kan extrahera problematiska svar i ungefär ett av tre försök. OpenAI påpekar att dessa tester utfördes på den nakna modellen utan de säkerhetslager som medföljer konsumentprodukten.the-decoder

Dolda prompt-injektioner förblir ett problem

Den mer akuta sårbarheten ligger i indirekta prompt-injektioner, där skadliga instruktioner döljs inuti dokument eller webbsidor som modellen läser. Extern testning av säkerhetsföretaget Gray Swan, med 1 810 kurerade attacker från deras IPI Arena, fann att Astra kunde knäckas minst en gång i 8,5 procent av scenarierna vid 15 försök. Det är en markant förbättring jämfört med GPT-5.6 Sols felmarginal på 27 procent i samma utvärdering, men det innebär fortfarande att modellen kan luras genom injicerade instruktioner i ungefär ett av tolv fall.the-decoder

Anthropics Claude Opus 5 presterade bättre i samma test med en felmarginal på 4,8 procent, även om den inte heller var immun.the-decoder

Varför det spelar roll för AI-agenter

Astra är OpenAIs första modell som når den kritiska tröskeln för cybersäkerhetskapacitet enligt företagets ramverk för beredskap. Det innebär att den kan identifiera och utnyttja noll-dagars-sårbarheter i härdade system utan mänsklig vägledning. Denna förmåga, i kombination med modellens förmåga att surfa på webben, använda datorer och utföra flerstegsuppgifter autonomt, gör att gapet för indirekta prompt-injektioner får större konsekvenser än för en enklare chatbot.deploymentsafety.openai+2

Som The Decoder noterat, för alla säkerhetsteam på företag som utvärderar Astra för agentdistribution, tyder resultaten för indirekta injektioner på att modellen ännu inte är tillräckligt tillförlitlig för miljöer där otillförlitligt innehåll kan nå den.the-decoder