OpenAI heeft aangekondigd dat het nieuwe model GPT-6 Astra de drempel van "Kritisch" voor cybersecuritycapaciteiten heeft overschreden onder het interne Preparedness Framework van het bedrijf, waarmee het het eerste model in het aanbod van OpenAI is dat deze beoordeling krijgt.

Naast Astra onderhoudt het bedrijf een gespecialiseerd zustermodel genaamd GPT-6 Cyber, dat volgens OpenAI al wordt gebruikt door securityteams bij Mozilla, Palo Alto Networks en Cisco.

Wat Astra eigenlijk kan

Volgens de onderzoeksresultaten van OpenAI kan GPT-6 Astra zelfstandig zero-day kwetsbaarheden vinden en misbruiken — fouten die onbekend zijn bij de maintainers van een programma tot ze worden ontdekt en waarvoor geen patch gereed is — in complexe systemen. Het model kan ook volledige cyberaanvalsplannen opstellen vanuit hooggestelde doelen.

Op de ExploitBench-evaluatie behaalde Astra een perfecte score van 100%, een duidelijke verbetering ten opzichte van voorganger GPT-5.6 Sol, die 78,5% scoorde op dezelfde test.

De interne tests van OpenAI liepen van 1 tot en met 4 september 2026. In die periode bracht Astra twee eerder onbekende zero-day kwetsbaarheden aan het licht. Volgens de resultaten zullen die twee fouten worden gemeld aan de maintainers van de betreffende software.

GPT-6 Cyber gaat aan de slag

OpenAI bracht GPT-6 Cyber uit op 5 november 2026. Het model is een gespecialiseerde variant, gebouwd voor gecontroleerd kwetsbaarheidsonderzoek en validatie van exploits, met toegang beperkt tot gescreende klanten.

Op de ExploitGym-benchmark scoorde GPT-6 Cyber 48,5%, tegenover de 32,1% van de vorige versie, GPT-5.6 Cyber.

Het onderzoeksteam meldde 81 eerder onbekende, ernstige kwetsbaarheden in Firefox te hebben gevonden. Het team zei ook werkende exploits te hebben ontwikkeld voor 948 privilege-escalaties in de Linux-kernel — fouten die een aanvaller toegangsniveaus zouden geven boven wat het systeem toestaat — waarvan 588 nieuw waren. De Linux-kernel vormt de basis van een groot deel van de servers, cloudplatforms en embedded apparaten die tegenwoordig in gebruik zijn, waardoor bevindingen op kernelniveau reikwijdte hebben die ver buiten één enkel product gaat.

Mozilla crediteerde OpenAI in zijn securityadvies voor Firefox 159 voor de gevonden kwetsbaarheden.

Lee Klarich, Chief Product Officer en Chief Technology Officer van Palo Alto Networks, prees de effectiviteit van het model voor defensief werk. Mozilla-engineer Brian Grinstead uiteerde vergelijkbare lof.

Waarom de Kritisch-beoordeling ertoe doet

OpenAI's Preparedness Framework is het interne systeem van het bedrijf om te beoordelen hoe gevaarlijk de capaciteiten van een model kunnen zijn in gevoelige domeinen, waar cybersecurity toe behoort. Het bereiken van "Kritisch" betekent dat OpenAI zelf de capaciteiten van Astra aan de top van zijn riskschaal plaatst.

Het antwoord van OpenAI, althans voor de Cyber-variant, lijkt toegangscontrole te zijn. Door de toegang te beperken tot gescreende klanten en bevindingen via verantwoorde openbaarmaking te laten lopen — de praktijk waarbij fouten privé aan maintainers worden gemeld zodat er fixes kunnen worden voorbereid voordat de resultaten openbaar worden — probeert het bedrijf het defensieve voordeel van de technologie te behouden while het offensieve potentieel te beperken. De volgende waarneembare stap is de openbaarmaking van de twee zero-days die Astra tijdens de septembertests aan het licht bracht, die volgens OpenAI naar de maintainers van de betreffende software zullen gaan, een patroon dat de creditering in het Firefox 159-advies al weerspiegelt.