GPT-6 Astra stärker skyddet mot jailbreaks – men är inte immun mot dolda promptattacker

OpenAI:s GPT-6 Astra innebär ett tydligt säkerhetslyft jämfört med GPT-5.6 Sol i företagets egna utvärderingar. Enligt OpenAI gör Astra färre faktafel, står emot promptinjektioner bättre och är betydligt robustare mot jailbreaks – även attacker som utvecklas över längre förlopp. 2530

Men det finns en avgörande begränsning: bättre modellbeteende gör inte en AI-agent immun mot fientliga instruktioner som göms i webbsidor, dokument, e-post, kodarkiv eller verktygsutdata. Gray Swans tester av indirekta promptinjektioner, IPI, visade att ingen testad modell var immun. 4

Astra förbättrar mycket jämfört med GPT-5.6 Sol

OpenAI skriver att Astra är betydligt mer robust mot jailbreaks än GPT-5.6 Sol, även när attackerna sker över längre förlopp. Det är viktigt eftersom en avancerad angripare inte behöver lyckas med en enda uppenbar instruktion. Angriparen kan i stället anpassa sig över flera steg och försöka utnyttja den kontext som byggts upp under interaktionen. 25

OpenAI rapporterar också bättre motståndskraft mot promptinjektioner i miljöer som liknar webbsurfning och arbete, samt färre faktafel än Sol. Resultaten för faktariktighet bör dock tolkas varsamt: testerna med återgivning av rapporterade fel utgår från konversationer som användare redan hade flaggat som felaktiga. De är alltså inte ett mått på en vanlig vardaglig hallucinationsfrekvens. 2530

Förbättringarna är ändå betydelsefulla, särskilt för agenter som ska söka information, programmera, surfa på webben och slutföra arbetsflöden i flera steg. I OpenAI:s versionsanteckningar beskrivs Astra som en modell för komplexa uppgifter i flera steg och för att skapa dokument, kalkylblad och presentationer. 19

Ingen definitiv placering mot Claude Opus 5

Det tillgängliga underlaget räcker inte för att slå fast att Astra generellt är säkrare än Anthropic Claude Opus 5, vare sig för faktariktighet, direkta jailbreaks eller indirekta promptinjektioner.

En rättvis jämförelse mellan modeller kräver samma testuppsättning, likvärdiga agentverktyg, identiska systeminstruktioner, samma definition av en lyckad attack och angripare med jämförbar möjlighet att anpassa sina angrepp. Leverantörernas egna utvärderingar och offentliga red-team-tävlingar kan skilja sig på samtliga punkter. Gray Swan listar Claude Opus 5 bland modellerna i sin Arena, men de tillhandahållna resultaten innehåller inget direkt och jämförbart resultatkort för Astra mot Opus 5. 14

Den försvarbara slutsatsen är därför snävare: OpenAI:s starkaste belägg gäller Astras förbättring jämfört med den egna föregångaren GPT-5.6 Sol.

Direkta jailbreaks och indirekta promptinjektioner är olika hot

Ett direkt jailbreak börjar med angriparens synliga begäran till modellen, exempelvis ett försök att köra över regler eller få modellen att utföra en förbjuden handling. Astras rapporterade förbättringar mot längre attackförlopp är särskilt relevanta mot denna typ av ihärdig och anpassningsbar angripare. 25

En indirekt promptinjektion kommer i stället via innehåll som agenten läser eller behandlar. En fientlig instruktion kan vara inbäddad i en webbsida, ett e-postmeddelande, ett dokument, ett sökresultat, ett kodspår eller ett verktygssvar. Syftet är att styra agenten bort från användarens egentliga mål. Gray Swans IPI-utmaning fokuserade just på dolda instruktioner i realistiska miljöer, bland annat webbinnehåll, verktygsutdata och spår från kodagenter. 5

Det centrala är att personen som använder agenten kanske aldrig ens ser den skadliga instruktionen.

Vad Gray Swans IPI Arena visar – och inte visar

Gray Swan redovisade resultat från en IPI Arena med 13 frontmodeller, 464 red team-deltagare, 41 scenarier och över 272 000 attackförsök. Företagets slutsats var att ingen av de testade modellerna var immun mot indirekta promptinjektioner. 4

Det är starka belägg för att IPI fortfarande är ett olöst problem när AI-agenter ska användas i praktiken. Däremot är det inte en komplett, leverantörsoberoende topplista för alla säkerhetsdimensioner. Resultatet innebär inte att alla modeller misslyckas lika ofta, och det ersätter inte modellspecifika utvärderingar av faktariktighet eller motståndskraft mot direkta jailbreaks.

Varför bristen spelar större roll för företagsagenter

För en fristående chattassistent kan en lyckad injektion leda till ett missvisande svar. För en företagsagent med kopplingar till verksamhetssystem kan följderna bli betydligt större.

OpenAI bedömer att Astra når tröskeln Critical för cybersäkerhetsförmåga i sitt Preparedness Framework. Enligt OpenAI kan Astra, med rätt verktyg och åtkomst, hitta tidigare okända säkerhetsbrister och utveckla sätt att utnyttja dem i många välskyddade system utan mänsklig vägledning i varje steg. 27

Förmågan kan vara värdefull i auktoriserat försvarsarbete. Men den höjer också konsekvenserna om ett agentbaserat arbetsflöde komprometteras: en angripare som styr om agenten genom opålitligt innehåll kan försöka påverka vad den söker efter, vilka verktyg den använder och vilka åtgärder den föreslår. Risken ökar när agenten har åtkomst till känsliga data, kodarkiv, molnmiljöer, webbläsare eller verksamhetsapplikationer.

En säkrare modell för driftsättning

Se motståndskraft mot promptinjektioner som ett skyddslager, inte som själva säkerhetsgränsen. Vid agentarbetsflöden med stor påverkan bör organisationer:

• behandla hämtade webbsidor, filer, e-postmeddelanden och verktygsutdata som opålitliga indata,
• begränsa agentens dataåtkomst, verktygsbehörigheter och nätverksåtkomst till vad uppgiften kräver,
• isolera körmiljöer och använda sandlådor för kod eller webbläsaraktivitet när det är möjligt,
• kräva uttryckligt godkännande och granskning innan följdrika åtgärder utförs,
• logga verktygsanrop och agentbeslut samt kontinuerligt testa den specifika kombinationen av modell och verktyg mot aktuella angreppstekniker.

OpenAI har beskrivit starkare isolering, begränsad nätverks- och verktygsåtkomst, övervakning och sandlådekörning som skydd för mer kapabla system. 34

Slutsats

Astras rapporterade minskning av faktafel och bättre motståndskraft mot direkta jailbreaks gör modellen till en starkare efterföljare till GPT-5.6 Sol. 2530 Men det finns inget underlag här för att beskriva den som kategoriskt säkrare än Claude Opus 5 i alla situationer. Och indirekta promptinjektioner är fortsatt en påtaglig svaghet i ekosystemet för AI-agenter. 4

För företag är lärdomen enkel: välj en så robust modell som möjligt, men bygg systemet runt den så att ett skadligt dokument eller en webbsida inte kan göra modellens kapacitet och anslutna verktyg till en kanal som angriparen kontrollerar.