GPT-6 Astra on GPT-5.6 Solia turvallisempi – mutta piilotetut kehotepistokset ovat yhä riski

OpenAI:n omien arvioiden perusteella GPT-6 Astra on selvä turvallisuusparannus GPT-5.6 Soliin verrattuna: se tekee vähemmän faktavirheitä, sietää paremmin kehotepistoksia ja on huomattavasti vastustuskykyisempi jailbreak-yrityksille, myös pidemmissä hyökkäysketjuissa. 2530

Raja tulee vastaan käyttöympäristössä. Parempi mallikäytös ei tee tekoälyagentista immuunia vihamielisille ohjeille, joita voi olla piilotettuna esimerkiksi verkkosivuille, asiakirjoihin, sähköposteihin, koodivarastoihin tai agentin käyttämien työkalujen vastauksiin. Gray Swanin epäsuoria kehotepistoksia koskevassa IPI-testauksessa yksikään testattu malli ei ollut immuuni. 4

Missä Astra parantaa GPT-5.6 Solista

OpenAI kertoo Astran olevan merkittävästi GPT-5.6 Solia kestävämpi jailbreakeja vastaan, myös hyökkäyksissä, jotka etenevät pitkän vuorovaikutusketjun aikana. Tämä on olennaista, koska edistynyt hyökkääjä ei välttämättä yritä murtaa mallia yhdellä ilmeisen haitallisella pyynnöllä, vaan voi muuttaa taktiikkaansa usean keskusteluvuoron aikana ja hyödyntää kertynyttä kontekstia. 25

OpenAI raportoi myös paremmasta kehotepistoskestävyydestä selaus- ja työympäristöjä muistuttavissa tilanteissa sekä Solia vähäisemmistä faktavirheistä. Faktavirheitä koskevaa vertailua on kuitenkin tulkittava varoen: virheiden toistumistesti perustuu keskusteluihin, jotka käyttäjät olivat jo ilmoittaneet virheellisiksi. Se ei siis mittaa tavanomaista arjen hallusinaatioastetta. 2530

Parannukset ovat merkittäviä etenkin agenteille, joita käytetään tutkimukseen, ohjelmointiin, verkkoselailuun ja monivaiheisten tehtävien tekemiseen. OpenAI:n julkaisutietojen mukaan Astra on tarkoitettu monimutkaiseen, useasta vaiheesta koostuvaan työhön sekä asiakirjojen, laskentataulukoiden ja esitysten tuottamiseen. 19

Claude Opus 5:stä ei voi tehdä lopullista paremmuusjärjestystä

Saatavilla oleva aineisto ei tue yleispätevää väitettä siitä, että Astra olisi Anthropic Claude Opus 5:tä turvallisempi faktuaalisuudessa, suorissa jailbreakeissa tai epäsuorissa kehotepistoksissa.

Mallien välinen turvallisuusvertailu edellyttäisi samaa testiaineistoa, yhteneviä agenttityökaluja ja järjestelmäohjeita, yhteistä määritelmää hyökkäyksen onnistumiselle sekä vastaavalla tavalla mukautuvaa hyökkääjää. Valmistajien arvioinnit ja julkiset red team -haasteet voivat poiketa kaikissa näissä asioissa. Gray Swanin aineisto kertoo Claude Opus 5:n olevan mukana Arenassa, mutta toimitettu aineisto ei sisällä Astran ja Opus 5:n keskenään vertailukelpoista tulostaulukkoa. 14

Varovainen johtopäätös on siksi rajatumpi: vahvin näyttö koskee Astran parannusta OpenAI:n omaan edeltäjään, GPT-5.6 Soliin, verrattuna.

Suora jailbreak ja epäsuora kehotepistos ovat eri uhkia

Suorassa jailbreakissa hyökkääjän pyyntö näkyy mallille sellaisenaan: tavoitteena voi olla esimerkiksi mallin sääntöjen sivuuttaminen tai kielletyn toiminnan houkutteleminen. Astran raportoitu parempi kestävyys pitkissä hyökkäysketjuissa on erityisen merkityksellistä tällaiselle sinnikkäälle, usealla kierroksella sopeutuvalle hyökkääjälle. 25

Epäsuora kehotepistos taas saapuu sisällön mukana, jota agentti käsittelee. Haitallinen ohje voidaan piilottaa verkkosivuun, sähköpostiin, asiakirjaan, hakutulokseen, ohjelmointijälkeen tai työkalun tulosteeseen. Gray Swanin IPI-haaste keskittyi juuri tällaisiin piilotettuihin ohjeisiin realistisissa ympäristöissä, kuten verkkosisällöissä, työkalutulosteissa ja ohjelmointiagenttien jäljissä. 5

Ero on ratkaiseva: agenttia käyttävä henkilö ei välttämättä näe haitallista ohjetta lainkaan.

Mitä Gray Swanin IPI Arena kertoo – ja mitä se ei kerro

Gray Swan raportoi IPI Arena -testistä, johon osallistui 13 huippumallia, 464 red team -testaajaa, 41 skenaariota ja yli 272 000 hyökkäysyritystä. Sen ilmoittama johtopäätös oli, ettei yksikään testatuista malleista ollut immuuni epäsuorille kehotepistoksille. 4

Tulos on vahva osoitus siitä, että epäsuora kehotepistos on yhä ratkaisematon ongelma agenttien tuotantokäytössä. Se ei kuitenkaan ole täydellinen, toimittajariippumaton turvallisuusliigataulukko. Tuloksesta ei voi päätellä, että kaikki mallit epäonnistuvat samalla osuudella tai että se korvaisi mallikohtaiset faktuaalisuus- ja jailbreak-arvioinnit.

Miksi jäljelle jäävä heikkous korostuu yritysagenteissa

Erillisessä keskusteluavustajassa onnistunut kehotepistos voi johtaa harhaanjohtavaan vastaukseen. Yrityksen järjestelmiin kytketyssä agentissa seuraukset voivat olla huomattavasti vakavammat.

OpenAI luokittelee Astran kyberturvallisuuskyvyn kriittiseksi (Critical) Preparedness Framework -viitekehyksessään. OpenAI:n mukaan Astra pystyy sopivilla työkaluilla ja käyttöoikeuksilla löytämään aiemmin tuntemattomia tietoturva-aukkoja ja kehittämään niiden hyödyntämistapoja monissa hyvin suojatuissa järjestelmissä ilman ihmisen vaiheittaista ohjausta. 27

Kyvystä voi olla suuri hyöty valtuutetussa puolustustyössä. Samalla se kasvattaa vaaran seurauksia, jos agenttityönkulku ohjautuu vihamielisen sisällön vuoksi väärään suuntaan: hyökkääjä voi pyrkiä vaikuttamaan siihen, mitä agentti hakee, mitä työkaluja se kutsuu ja millaisia toimia se ehdottaa. Riski kasvaa, kun agentilla on pääsy arkaluonteisiin tietoihin, koodivarastoihin, pilviympäristöihin, selaimeen tai liiketoimintasovelluksiin.

Turvallisempi tapa ottaa agentit käyttöön

Kehotepistoskestävyyttä kannattaa pitää yhtenä suojakerroksena, ei varsinaisena turvarajana. Vaikutuksiltaan merkittävissä agenttityönkuluissa organisaatioiden olisi syytä:

• käsitellä haettuja verkkosivuja, tiedostoja, sähköposteja ja työkalujen tulosteita epäluotettavana syötteenä;
• rajata agentin dataoikeudet, työkaluluvat ja verkkoyhteydet vain tehtävän edellyttämään minimiin;
• eristää suoritusympäristöt ja käyttää mahdollisuuksien mukaan hiekkalaatikkoa koodille ja selaintoiminnoille;
• vaatia erillinen hyväksyntä ja tarkastus ennen merkittäviä toimenpiteitä;
• kirjata työkalukutsut ja agentin päätökset sekä testata jatkuvasti nimenomaista malli–työkalu-kokonaisuutta ajantasaisia hyökkäystekniikoita vastaan.

OpenAI on kuvannut vahvempaa eristystä, rajoitettua verkko- ja työkalupääsyä, valvontaa sekä hiekkalaatikossa tehtävää suoritusta kyvykkäämpien järjestelmien suojatoimiksi. 34

Johtopäätös

Astran raportoitu vähäisempi faktavirheiden määrä ja parempi vastustuskyky suoria jailbreakeja vastaan tekevät siitä GPT-5.6 Solia vahvemman seuraajan. 2530 Toimitettu näyttö ei silti oikeuta julistamaan sitä kaikissa tilanteissa Claude Opus 5:tä turvallisemmaksi, ja epäsuorat kehotepistokset ovat edelleen merkittävä heikkous koko agenttiekosysteemissä. 4

Yrityksille käytännön opetus on yksinkertainen: valitse mahdollisimman kyvykäs ja turvallinen malli, mutta rakenna ympäröivä järjestelmä niin, ettei haitallinen asiakirja tai verkkosivu voi muuttaa mallin kykyjä ja siihen liitettyjä työkaluja hyökkääjän ohjaamaksi kanavaksi.