GPT-6 Astra стала стійкішою за GPT-5.6 Sol, та агентів усе ще можуть зламати через вебсторінку або документ

OpenAI називає GPT-6 Astra помітно безпечнішим наступником GPT-5.6 Sol: модель, за даними компанії, рідше припускається фактичних помилок, краще розпізнає prompt injection і значно стійкіша до джейлбрейків — зокрема до атак, що розгортаються впродовж довгої послідовності кроків. 2530

Але це не означає імунітету. Коли ШІ-агент читає вебсторінки, листи, документи, репозиторії коду або відповіді інструментів, у цих матеріалах можуть бути приховані ворожі інструкції. За результатами тестування непрямих ін’єкцій підказок (indirect prompt injection, IPI) від Gray Swan, жодна перевірена модель не була від них повністю захищена. 4

У чому Astra краща за GPT-5.6 Sol

OpenAI повідомляє, що Astra суттєво стійкіша до джейлбрейків, ніж GPT-5.6 Sol, включно з атаками на довгих траєкторіях взаємодії. Це важливо, бо зловмисник може не обмежуватися одним очевидно шкідливим запитом: він здатен змінювати тактику протягом багатьох повідомлень і використовувати накопичений контекст. 25

Також OpenAI заявляє про кращу стійкість Astra до ін’єкцій підказок у сценаріях перегляду вебу та офісної роботи, а також про меншу кількість фактичних помилок порівняно із Sol. Водночас ці результати не варто трактувати як звичайний «рівень галюцинацій» у повсякденному використанні: тести відтворення помилок були побудовані на розмовах ChatGPT, які користувачі вже позначили як помилкові. 2530

Ці покращення особливо важливі для агентів, що мають шукати інформацію, писати код, працювати в браузері та виконувати складні багатокрокові завдання. У примітках до релізу OpenAI зазначає, що Astra може створювати документи, електронні таблиці та презентації за шаблонами й інструкціями користувача. 19

Чому не можна оголосити Astra беззаперечно безпечнішою за Claude Opus 5

Наявні дані не дають підстав стверджувати, що Astra в усіх умовах безпечніша за Anthropic Claude Opus 5 — чи то за фактичністю, протидією прямим джейлбрейкам, чи стійкістю до непрямих ін’єкцій.

Для чесного міжмодельного порівняння потрібні спільний набір атак, однакові інструменти агента та системні інструкції, єдине визначення успішної атаки й зіставні можливості зловмисника адаптуватися. Оцінки постачальників і публічні red-team-змагання можуть суттєво відрізнятися за всіма цими параметрами. Матеріали Gray Swan вказують Claude Opus 5 серед моделей Arena, однак не надають зіставної таблиці результатів Astra проти Opus 5. 14

Отже, коректний висновок вужчий: найсильніші оприлюднені докази OpenAI стосуються переваги Astra над її власною попередницею — GPT-5.6 Sol.

Прямий джейлбрейк і непряма ін’єкція — різні загрози

Прямий джейлбрейк починається з видимого запиту атакувальника до моделі — наприклад, зі спроби змусити її проігнорувати правила або виконати заборонену дію. Заявлене OpenAI посилення захисту від атак на довгих траєкторіях найбільше стосується саме такого наполегливого, адаптивного противника. 25

Непряма ін’єкція підказки надходить через контент, який споживає агент. Шкідлива інструкція може бути захована у вебсторінці, електронному листі, документі, результаті пошуку, сліді роботи агента з кодом або відповіді інструмента. IPI Challenge від Gray Swan зосереджувався саме на прихованих підказках у реалістичних середовищах — вебконтенті, виводі інструментів і трасах кодових агентів. 5

Ключова відмінність: людина, яка користується агентом, може взагалі не побачити ворожої інструкції.

Що показала IPI Arena від Gray Swan — і чого вона не показала

Gray Swan повідомила про результати IPI Arena за участю 13 передових моделей, 464 red-team-дослідників, у 41 сценарії та з понад 272 000 спроб атак. Висновок організації: жодна протестована модель не виявилася імунною до непрямих ін’єкцій підказок. 4

Це вагоме свідчення, що IPI досі є невирішеною проблемою для агентних систем. Однак це не повний нейтральний рейтинг усіх аспектів безпеки. Результат не означає, що всі моделі ламаються з однаковою частотою, і не замінює окремих оцінок фактичності чи стійкості до прямих джейлбрейків.

Чому це особливо критично для корпоративних агентів

Для звичайного чатбота успішна ін’єкція може обернутися хибною або маніпулятивною відповіддю. Для корпоративного агента, підключеного до бізнес-систем, наслідки потенційно значно серйозніші.

OpenAI віднесла Astra до рівня Critical за кібербезпековими можливостями у своїй Preparedness Framework. За твердженням компанії, за наявності потрібних інструментів і доступу модель може знаходити раніше невідомі вразливості та розробляти способи їх експлуатації в багатьох добре захищених системах без покрокового супроводу людини. 27

Це може бути корисним для авторизованого захисту. Водночас така спроможність підвищує ціну помилки в скомпрометованому агентному процесі: атакувальник, який перенаправив агента через недовірений контент, може намагатися вплинути на його пошук, виклики інструментів або запропоновані дії. Ризик зростає, якщо агент має доступ до чутливих даних, репозиторіїв коду, хмарної інфраструктури, браузера чи корпоративних застосунків.

Практичний підхід до безпечнішого розгортання

Стійкість моделі до prompt injection слід вважати лише одним із шарів захисту, а не межею безпеки. Для високоризикових агентних процесів варто:

• вважати вебсторінки, файли, листи та результати роботи інструментів недовіреним введенням;
• надавати агенту лише мінімально необхідний доступ до даних, інструментів і мережі;
• ізолювати середовище виконання та, де можливо, застосовувати пісочниці для коду й браузерної активності;
• вимагати явного підтвердження та перевірки людиною для дій із суттєвими наслідками;
• вести журнали викликів інструментів і рішень агента та безперервно тестувати конкретну зв’язку «модель + інструменти» проти актуальних атак.

OpenAI також описувала посилену ізоляцію, обмеження мережевого й інструментального доступу, моніторинг і виконання в пісочниці як запобіжники для потужніших систем. 34

Висновок

Заявлене зменшення фактичних помилок і кращий захист від прямих джейлбрейків роблять GPT-6 Astra сильнішим наступником GPT-5.6 Sol. 2530 Проте надані дані не дозволяють категорично назвати її безпечнішою за Claude Opus 5 у всіх сценаріях, а непрямі ін’єкції підказок лишаються суттєвою слабкістю екосистеми ШІ-агентів. 4

Для компаній практичний висновок простий: обирати сильнішу модель недостатньо. Систему потрібно будувати так, щоб шкідливий документ чи вебсторінка не могли перетворити можливості моделі та підключені до неї інструменти на канал контролю з боку атакувальника.