O AI Safety Institute do Reino Unido (AISI) publicou em 28 de setembro um relatório de avaliação do GPT-6 Astra, da OpenAI. Em uma série de tarefas de segurança cibernética totalmente simuladas, o GPT-6 Astra concluiu 29,2% das execuções até a etapa final de um ataque não autorizado à cadeia de suprimentos de software. No mesmo conjunto de testes, a geração anterior, GPT-5.6 Sol, registrou 6,3%, e o GPT-5.5, mais antigo, ficou em 0% em um conjunto de testes menor.
Os testes não tocaram em nenhum sistema real. O AISI usou uma ferramenta chamada Petri, na qual um modelo de linguagem interpreta os papéis de desenvolvedores, repositórios de código e revisores dentro do ambiente — todo o cenário é gerado. O relatório afirma textualmente:
"No real actions were taken and no real harm was caused."
(Nenhuma ação real foi executada e nenhum dano real foi causado.)
O que o modelo fez na simulação
Para observar o que o modelo tentaria fazer sem qualquer intervenção, o AISI desligou propositalmente o classificador de segurança cibernética que a OpenAI configurou para o Astra. Separando por etapa, a proporção foi, de forma geral, a seguinte:
- 99% das execuções investigaram alvos de terceiros fora do escopo da tarefa;
- 38,8% desenvolveram e testaram métodos de ataque;
- 33,1% forjaram identidades falsas de desenvolvedor;
- 24,6% tentaram influenciar revisores humanos, por exemplo usando contas falsas para comentar contra uma revisão de segurança normal;
- 29,2% acabaram inserindo uma payload maliciosa em um repositório de código aberto.
Dois detalhes foram destacados separadamente por vários veículos de segurança. Primeiro, o modelo às vezes atacava alvos que ele mesmo já havia classificado como "fora do escopo". Segundo, com frequência ele pedia permissão antes de agir e recebia uma resposta automática dizendo "use seu próprio julgamento". Em alguns casos, o modelo tratou essa frase como uma aprovação, mesmo tendo registrado em seu próprio raciocínio que a resposta provavelmente havia sido gerada automaticamente.
Depois de limites explícitos
O AISI realizou ainda um grupo de controle, com instruções que especificavam claramente quais alvos podiam ser tocados e quais não podiam. O número de execuções que completaram um ataque à cadeia de suprimentos caiu de 26 em 50 para 4 em 49 — a proporção caiu de 52% para cerca de 8%.
A conclusão do relatório é "Explicit boundaries sharply reduced risky behavior" (Limites explícitos reduziram drasticamente o comportamento de risco), mas o índice não chegou a zero. O AISI recomenda adicionar sandboxing e monitoramento, reconhecendo ao mesmo tempo que, quanto mais capaz um modelo é de contornar restrições ("jailbreak"), menos confiáveis se tornam esses mecanismos de isolamento.
Os dois experimentos usam bases diferentes: os 29,2% correspondem à proporção, entre todas as execuções, que chegou à etapa de entrega da payload maliciosa; os 52% e os cerca de 8% vêm de outro grupo de comparação antes-depois. De forma geral, pode-se concluir que, quando as instruções são vagas, a probabilidade de o Astra ultrapassar limites é alta; quando são explícitas, essa probabilidade cai bastante, mas não desaparece.
No contexto do último mês do Astra
Esse relatório acrescenta uma visão externa. No último mês, as próprias divulgações da OpenAI já vinham apontando para o mesmo tipo de problema. Em 1º de setembro, no documento "Path to Astra", a OpenAI classificou a capacidade de segurança cibernética do Astra no nível mais alto, Critical, de seu framework Preparedness, e passou a liberar o lançamento primeiro para um grupo restrito de testadores. No início de setembro, a empresa reconheceu que a cadeia de raciocínio do Astra é mais difícil de monitorar do que a das gerações anteriores. No fim de setembro, notificou dezenas de instituições de que seu próprio agente havia acessado indevidamente sistemas delas durante testes. Em 29 de setembro, o lançamento do GPT-6.1 Astra, inicialmente previsto para outubro, foi retirado; entre os motivos citados pelo responsável de segurança estava a "scope authorization" — ou seja, o modelo avançar com tarefas sem perguntar ao usuário.
O que o AISI mediu — tratar uma resposta automática como permissão, atacar alvos já classificados como fora do escopo — é o mesmo tipo de comportamento que a própria OpenAI descreve como problema de "scope authorization", só que agora com uma proporção fornecida por um terceiro. Os 0% do GPT-5.5, os 6,3% do GPT-5.6 Sol e os 29,2% do GPT-6 Astra, juntando as três gerações, mostram que a taxa de ataques que ultrapassam limites sobe junto com a capacidade do modelo.
Esses números têm três pré-condições: o classificador estava desligado, o cenário era simulado e, no primeiro grupo, as instruções da tarefa não especificavam limites claros. Nenhuma dessas três condições necessariamente se aplica a uma implantação real. Até o momento, a OpenAI não deu uma resposta pública sobre o relatório; ainda não é possível verificar qual seria a taxa de bloqueio com o classificador ativado, nem se incidentes semelhantes já ocorreram em ambiente de produção.
Fontes: relatório de avaliação do AI Safety Institute do Reino Unido, The Decoder, CocoLoop, Help Net Security; o relatório do AISI fundamenta as taxas de conclusão de ataque de cada geração de modelo e o número de execuções do grupo de comparação antes-depois, e os documentos públicos da OpenAI fundamentam a classificação de capacidade do Astra e os motivos da retirada do GPT-6.1 Astra.