GPT-6 Astra jest bezpieczniejszy od GPT-5.6 Sol, lecz nadal podatny na pośredni prompt injection

OpenAI przedstawia GPT-6 Astra jako istotnie bezpieczniejszego następcę GPT-5.6 Sol. Według firmowych ocen model rzadziej popełnia błędy faktyczne, lepiej opiera się prompt injection i jest znacząco odporniejszy na jailbreaki — również wtedy, gdy atak rozwija się przez wiele kolejnych kroków rozmowy. 2530

Nie należy jednak mylić poprawy z odpornością absolutną. Model lub agent AI nadal może zetknąć się z wrogimi instrukcjami ukrytymi w stronie WWW, dokumencie, e-mailu, repozytorium kodu albo odpowiedzi narzędzia. W testach pośredniego prompt injection (IPI) przeprowadzonych przez Gray Swan żaden badany model nie był na takie ataki całkowicie odporny. 4

Co Astra poprawia względem GPT-5.6 Sol

OpenAI twierdzi, że Astra jest znacząco bardziej odporna na jailbreaki niż GPT-5.6 Sol, także w dłuższych trajektoriach ataku. To istotne, ponieważ zaawansowany napastnik nie musi ograniczać się do jednego, łatwego do wykrycia polecenia. Może zmieniać taktykę w kolejnych turach i wykorzystywać kontekst nagromadzony podczas pracy modelu. 25

Firma informuje także o większej odporności na prompt injection w scenariuszach przeglądania internetu i pracy biurowej oraz o mniejszej liczbie błędów faktycznych niż w Sol. Porównania dotyczące faktograficzności wymagają jednak ostrożności: test odtwarzania zgłoszonych błędów opierał się na rozmowach ChatGPT oznaczonych wcześniej przez użytkowników jako błędne. Nie jest to więc miara typowego, codziennego poziomu halucynacji. 2530

Te ulepszenia mają znaczenie zwłaszcza dla agentów wykonujących research, pracujących z kodem, przeglądających sieć i realizujących zadania wieloetapowe. Z informacji o wydaniu wynika, że Astra ma wspierać złożoną pracę wieloetapową oraz tworzenie dokumentów, arkuszy kalkulacyjnych i prezentacji. 19

Dlaczego nie da się jednoznacznie porównać Astry z Claude Opus 5

Dostępne materiały nie uzasadniają uniwersalnego stwierdzenia, że Astra jest bezpieczniejsza od Anthropic Claude Opus 5 pod względem błędów faktycznych, bezpośrednich jailbreaków czy pośredniego prompt injection.

Rzetelny ranking między modelami wymagałby wspólnego zestawu testowego, identycznych narzędzi agenta, takich samych instrukcji systemowych, jednolitej definicji sukcesu ataku oraz porównywalnej możliwości dostosowywania strategii przez atakującego. Ewaluacje dostawców i publiczne ćwiczenia red-teamowe mogą różnić się pod każdym z tych względów. Materiały Gray Swan wymieniają Claude Opus 5 wśród modeli dostępnych w Arena, ale nie zawierają porównywalnej tabeli wyników Astra kontra Opus 5. 14

Wniosek, który można obronić na podstawie tych źródeł, jest węższy: najmocniejsze dowody dotyczą poprawy Astry względem własnego poprzednika OpenAI, GPT-5.6 Sol.

Jailbreak bezpośredni a pośredni prompt injection

Bezpośredni jailbreak zaczyna się od widocznej prośby atakującego skierowanej do modelu — na przykład próby obejścia jego zasad albo nakłonienia go do niedozwolonego działania. Deklarowana przez OpenAI poprawa w dłuższych trajektoriach ataku jest szczególnie istotna wobec takiego uporczywego, adaptacyjnego przeciwnika. 25

Pośredni prompt injection trafia do agenta w treści, którą agent właśnie czyta lub przetwarza. Złośliwa instrukcja może być ukryta w stronie WWW, e-mailu, dokumencie, wyniku wyszukiwania, śladzie pracy nad kodem albo danych zwróconych przez narzędzie. Wyzwanie IPI firmy Gray Swan dotyczyło właśnie ukrytych poleceń w realistycznych środowiskach, m.in. w treściach internetowych, wynikach narzędzi i śladach agentów programistycznych. 5

Kluczowa różnica jest taka, że osoba korzystająca z agenta może w ogóle nie zobaczyć złośliwego polecenia.

Co pokazuje — i czego nie pokazuje — IPI Arena Gray Swan

Gray Swan podał, że IPI Arena objęła 13 modeli frontierowych, 464 uczestników red teamingu, 41 scenariuszy oraz ponad 272 tys. prób ataku. Wniosek organizacji był jasny: żaden z testowanych modeli nie okazał się odporny na pośredni prompt injection. 4

To mocny sygnał, że IPI pozostaje nierozwiązanym problemem przy wdrażaniu agentów AI. Nie jest to jednak pełny, neutralny wobec dostawców ranking wszystkich wymiarów bezpieczeństwa. Wyniku nie należy odczytywać ani jako dowodu, że wszystkie modele zawodzą równie często, ani jako zastępstwa dla ocen konkretnego modelu dotyczących faktograficzności czy odporności na bezpośrednie jailbreaki.

Dlaczego to większy problem w agentach firmowych

W samodzielnym czacie udane wstrzyknięcie instrukcji może skończyć się mylącą odpowiedzią. W agencie podłączonym do systemów firmy skutki mogą być znacznie poważniejsze.

OpenAI klasyfikuje Astrę jako model spełniający próg Critical w obszarze cyberbezpieczeństwa w ramach swojego Preparedness Framework. Według firmy, przy odpowiednich narzędziach i dostępie Astra może znajdować wcześniej nieznane luki oraz opracowywać sposoby ich wykorzystania w wielu dobrze zabezpieczonych systemach bez prowadzenia jej krok po kroku przez człowieka. 27

Taka zdolność może być wartościowa w autoryzowanej obronie. Zwiększa jednak potencjalne konsekwencje przejęcia przepływu pracy agenta: atakujący, który przekieruje agenta przez niezaufaną treść, może próbować wpływać na to, czego agent szuka, jakich narzędzi używa i jakie działania proponuje. Ryzyko rośnie, gdy agent ma dostęp do poufnych danych, repozytoriów kodu, środowisk chmurowych, przeglądarki lub aplikacji biznesowych.

Jak wdrażać agentów ostrożniej

Odporność modelu na prompt injection powinna być jedną z warstw zabezpieczeń, a nie granicą bezpieczeństwa. W procesach agentowych o dużym znaczeniu organizacje powinny:

• traktować strony WWW, pliki, e-maile i wyniki narzędzi jako niezaufane dane wejściowe;
• ograniczać dostęp agenta do danych, uprawnienia narzędzi i zasięg sieciowy do minimum niezbędnego dla zadania;
• izolować środowiska wykonawcze oraz, gdzie to możliwe, uruchamiać kod i aktywność przeglądarkową w piaskownicy;
• wymagać wyraźnej autoryzacji i kontroli przed działaniami o istotnych skutkach;
• rejestrować wywołania narzędzi oraz decyzje agenta, a następnie stale testować konkretną konfigurację modelu i narzędzi wobec aktualnych technik ataku.

OpenAI wskazywało silniejszą izolację, ograniczony dostęp do sieci i narzędzi, monitorowanie oraz wykonywanie w piaskownicy jako zabezpieczenia dla systemów o większych możliwościach. 34

Najważniejszy wniosek

Deklarowane ograniczenie błędów faktycznych i większa odporność na bezpośrednie jailbreaki sprawiają, że Astra jest mocniejszym następcą GPT-5.6 Sol. 2530 Brakuje jednak danych, które pozwalałyby uznać ją za kategorycznie bezpieczniejszą od Claude Opus 5 w każdym zastosowaniu, a pośredni prompt injection nadal jest istotną słabością całego ekosystemu agentów. 4

Dla firm praktyczna lekcja jest prosta: warto wybierać najsilniejszy dostępny model, ale jeszcze ważniejsze jest zaprojektowanie otaczającego go systemu tak, by złośliwy dokument lub strona WWW nie mogły zamienić możliwości modelu i podłączonych narzędzi w kanał sterowany przez atakującego.