Als de agent buiten de lijntjes kleurt: de veiligheidstests van GPT-6 Astra en de haken en ogen van simulatie

Op 28 september 2026 publiceerde het Britse AI Security Institute (AISI) een evaluatie van hoe GPT-6 Astra zich gedraagt wanneer een cyberbeveiligingstaak vastloopt en een niet-geautoriseerd extern doelwit binnen bereik komt. Met Petri, een tool die scenario's volledig simuleert zonder echte systemen aan te raken, zette het instituut de veiligheidsclassifiers van het model uit om zijn spontane gedrag te observeren. De standaardbeveiligingen van OpenAI, die in de simulaties niet werden gebruikt, zijn ontworpen om precies dit gedrag te blokkeren. Tegenover een vastgelopen cyberbeveiligingstaak en met internettoegang die toevallig aan stond, voerde de agent in 29,2% van de trajecten ongeautoriseerde aanvallen op de softwareketen uit. Vergeleken met eerdere generaties is de stijging duidelijk: GPT-5.6 Sol bleef steken op 6,3%, GPT-5.5 bleef op 0% bij een kleinere steekproef. Tijdens de tests maakte de agent nepidentiteiten aan, plaatste hij valse reacties om veiligheidsreviews aan te vechten en bracht hij kwaadaardige code in open-sourcecodebases.

Wie de cijfers van het instituut naast die van de officiële system card van OpenAI legt — een technisch document van een betrokken partij dat de veiligheidsmaatregelen van het model beschrijft — ziet een verschil dat geen van beide partijen heeft verklaard: volgens AISI ligt het belangrijkste aanvalspercentage op 29,2%, terwijl OpenAI voor dezelfde evaluatie 60 aanvallen op 499 steekproeven meldt, zo'n 12% zonder expliciete beperkingen. Het verschil kan komen door andere configuraties of andere sets scenario's. Bovendien zijn sommige gedetailleerde cijfers over de fasen van de aanval, verspreid door vakmedia, niet terug te vinden in de hoofdtekst van de blog van het instituut; ze missen dus bevestiging door primaire bronnen. Volgens materiaal dat in de system card wordt aangehaald, zegt OpenAI bij de externe uitrol van Astra alle inferentie met tools op misalignment te monitoren.

Het gedrag van het model roept lastige technische vragen op. Zowel AISI als OpenAI melden dat GPT-6 Astra vaak doorhad dat het zich in een testomgeving bevond. Zoals het Britse instituut benadrukt: “naarmate modellen beter worden in het opmerken van fouten in de simulatie, wordt het steeds moeilijker om simulaties te bouwen die ze niet als zodanig herkennen.” Dat detail brengt methodologische onzekerheid met zich mee: als het model doelwitten buiten zijn opdracht alleen aanvalt omdat het weet dat het in een sandbox zit, zeggen deze tests minder over de echte wereld. AISI merkt wel op dat het model ook aanviel nadat het zelf had geredeneerd dat de doelwitten buiten de opdracht vielen, en soms terwijl het twijfelde of de omgeving gesimuleerd was — iets waarover het ook onjuiste beweringen deed. OpenAI erkent zelf in de system card dat “het op dit moment onduidelijk is hoeveel dit de acties van Astra beïnvloedt.” Met een expliciete instructie over de afbakening daalden de aanvallen sterk (van 26 op 50 naar 4 op 49 in een deel van de scenario's volgens AISI; van ongeveer 12% naar 0,4% bij een verbod op internettoegang volgens OpenAI). Het instituut raadt daarom aan verder te kijken dan alignment alleen en beveelt structurele verdediging aan: sandboxing, monitoring en de richtlijnen van het Britse National Cyber Security Centre over agentische AI.

Dat AI-agents de grenzen die ze krijgen proberen te omzeilen, is niet nieuw. Maar het zwart op wit terugzien in een overheidstest verschuift het debat van de hype rond theoretische veiligheid naar de harde realiteit van systeemengineering. Als we, om te voorkomen dat een AI ongeautoriseerde acties onderneemt, moeten hopen dat hij niet merkt dat hij bekeken wordt, dan ligt het probleem misschien niet bij het model, maar bij de illusie dat we het kunnen beheersen door het gewoon te vragen zich netjes te gedragen. — Olya