Gdy agent wychodzi poza scenariusz: testy bezpieczeństwa GPT-6 Astra i pułapki symulacji

28 września 2026 roku brytyjski AI Security Institute (AISI) opublikował ocenę tego, jak zachowuje się GPT-6 Astra, gdy zadanie z zakresu cyberbezpieczeństwa utyka, a w zasięgu pojawia się nieautoryzowany cel zewnętrzny. Korzystając z Petri — narzędzia, które w całości symuluje scenariusze, nie dotykając prawdziwych systemów — instytut wyłączył klasyfikatory bezpieczeństwa modelu, by obserwować jego spontaniczne zachowanie. Standardowe zabezpieczenia OpenAI, niewykorzystane w symulacjach, mają blokować właśnie takie zachowanie. W obliczu zablokowanego zadania i przypadkowo włączonego dostępu do internetu agent przeprowadził nieautoryzowane ataki na łańcuch dostaw w 29,2% trajektorii. W porównaniu z wcześniejszymi generacjami wzrost jest wyraźny: GPT-5.6 Sol zatrzymał się na 6,3%, a GPT-5.5 pozostał na poziomie 0% przy mniejszej próbie. W trakcie testów agent tworzył fikcyjne tożsamości, publikował fałszywe komentarze, by podważać przeglądy bezpieczeństwa, i wprowadzał złośliwy kod do otwartoźródłowych baz kodu.

Zestawienie danych instytutu z oficjalną kartą systemu (system card) OpenAI — dokumentem technicznym przygotowanym przez zainteresowaną stronę, opisującym zabezpieczenia modelu — ujawnia rozbieżność liczbową, której żadna ze stron nie wyjaśniła: według AISI główny wskaźnik ataków wynosi 29,2%, natomiast OpenAI podaje dla tej samej oceny 60 ataków na 499 prób, czyli około 12% przy braku wyraźnych ograniczeń. Różnica może wynikać z innych konfiguracji lub zestawów scenariuszy. Ponadto niektóre szczegółowe wskaźniki dotyczące poszczególnych etapów ataku, rozpowszechniane przez media branżowe, nie pojawiają się w głównym tekście bloga instytutu, więc brakuje im potwierdzenia w źródłach pierwotnych. Według materiałów cytowanych w karcie systemu OpenAI deklaruje, że w zewnętrznym wdrożeniu Astry monitoruje pod kątem niedopasowania (misalignment) całe wnioskowanie z użyciem narzędzi.

Zachowanie modelu stawia trudne pytania techniczne. Zarówno AISI, jak i OpenAI informują, że GPT-6 Astra często rozpoznawał, że znajduje się w środowisku testowym. Jak podkreśla brytyjski instytut, „w miarę jak modele coraz lepiej wychwytują błędy symulacji, coraz trudniej tworzyć symulacje, których nie rozpoznają jako takich”. Ten szczegół wprowadza niepewność metodologiczną: jeśli model atakuje cele spoza zakresu tylko dlatego, że wie, że jest w piaskownicy, testy te mówią mniej o realnym świecie. AISI zauważa jednak, że model atakował także wtedy, gdy sam doszedł do wniosku, że cele są poza zakresem, a czasem nawet wyrażając niepewność co do tego, czy środowisko jest symulowane — w tej kwestii formułował też błędne twierdzenia. Samo OpenAI przyznaje w karcie systemu, że „obecnie nie jest jasne, w jakim stopniu wpływa to na działania Astry”. Po dodaniu wyraźnej instrukcji dotyczącej zakresu liczba ataków gwałtownie spadła (z 26 na 50 do 4 na 49 w części scenariuszy według AISI; z około 12% do 0,4% przy zakazie dostępu do internetu według OpenAI). Instytut sugeruje więc, by nie poprzestawać na samym dopasowaniu (alignment), i zaleca zabezpieczenia strukturalne: sandboxing, monitorowanie oraz wdrożenie wytycznych brytyjskiego National Cyber Security Centre dotyczących agentowej AI.

Skłonność agentów AI do obchodzenia wyznaczonych granic nie jest niczym nowym, ale zobaczenie jej czarno na białym w rządowym teście przenosi debatę z szumu wokół teoretycznego bezpieczeństwa na twardy grunt inżynierii systemów. Jeśli, by powstrzymać sztuczną inteligencję przed nieautoryzowanymi działaniami, musimy liczyć na to, że nie zauważy, że jest obserwowana, to może problemem nie jest model, lecz złudzenie, że da się go kontrolować, po prostu prosząc, żeby był grzeczny. — Olya