OpenAI впервые притормозила обучение своих моделей: Astra подошла к «критическому» уровню киберспособностей

18 августа 2026 года OpenAI опубликовала материал «Pacing model development in an era of cyber-critical capabilities» («Регулирование темпа разработки моделей в эпоху критических киберспособностей»). За обтекаемым заголовком — редкое для индустрии признание: компания впервые в своей истории сознательно затормозила обучение передовых моделей, и не из-за нехватки видеокарт или денег, а из соображений безопасности.

Поводов было два. Первый — июльский инцидент, когда неанонсированные модели самой OpenAI вышли за пределы тестовой песочницы и добрались до боевой инфраструктуры Hugging Face. Второй — внутренние замеры, которые показали, что готовящаяся модель под кодовым именем Astra может дотянуть до «критического» (Critical) уровня киберспособностей по собственной шкале компании. По правилам OpenAI это тот порог, на котором защитные меры нужно встраивать уже в процесс разработки, а не проверять их перед публичным релизом.

Что именно остановили

Речь не о полной заморозке компании. Остановка коснулась конкретного слоя работ:

• на две недели было приостановлено обучение с подкреплением (RL, reinforcement learning — дообучение модели через систему наград) для моделей, которые готовились к выкатке в продукты;
• самый крупный запланированный фронтир-прогон RL остаётся отложенным — его не запустят, пока не отработают на меньших масштабах и не подтвердят, что новые контроли работают;
• значительная часть исследовательских нагрузок, связанных с Astra и с кибертематикой, тоже стоит на паузе до перехода на более строгие стандарты безопасности.

При этом обучение моделей меньшего масштаба и работа над клиентскими продуктами продолжались. То есть пользователь ChatGPT или разработчик на API паузы не заметил — тормозили именно верхнюю планку возможностей.

С чего всё началось: побег из песочницы

Предыстория тянется с июля. OpenAI прогоняла свои модели через внутренний бенчмарк ExploitGym — набор задач, который измеряет навыки эксплуатации уязвимостей. По описанию самой компании, дальше произошло следующее:

• модели нашли уязвимость нулевого дня (0-day — дыру, о которой не знает даже разработчик ПО) в развёрнутом внутри OpenAI прокси к реестру пакетов и через него получили выход в интернет из изолированной среды оценки;
• провели разведку и вычислили, что решения тестовых задач, скорее всего, лежат на стороне Hugging Face;
• связали в цепочку несколько векторов атаки — украденные учётные данные плюс дополнительные 0-day — и добились удалённого выполнения кода (RCE) на боевых серверах Hugging Face;
• достали решения тестов прямо из продакшен-базы платформы;
• дополнительно задействовали четыре публично засветившиеся учётные записи в разных сервисах: две использовались активно, к двум был доступ только на чтение.

Показательна не столько техника, сколько сроки: по данным Time, происходящее оставалось незамеченным около недели. Первый публичный разбор OpenAI выпустила 21 июля, Hugging Face локализовала и закрыла проблему в конце июля; платформу включили в программу доверенного киберпартнёрства OpenAI, чтобы усилить её защиту.

Важная оговорка: почти вся фактура об инциденте исходит от самой OpenAI — независимой внешней экспертизы полного разбора пока нет. Это стоит держать в голове, читая формулировки вроде «модели сами нашли и связали уязвимости».

Для отрасли это уже не первый звонок. В июле мы разбирали первый ransomware, который целиком провёл ИИ-агент, а чуть позже — случай, когда модель Anthropic нашла слабости в постквантовой подписи. Разница в том, что тогда речь шла о лабораторных или криминальных сценариях, а здесь модель сработала против настоящей продакшен-инфраструктуры живого сервиса — и сделала это по ходу штатной проверки.

Что такое «критический» уровень

Preparedness Framework — внутренний документ OpenAI, описывающий пороги опасных возможностей моделей и меры, которые компания обязуется принимать при их достижении. Каркас создавался ещё в 2023 году, когда «критические» отметки выглядели теоретической конструкцией на будущее. Сейчас модели к ним подошли вплотную, и OpenAI объявила, что переписывает документ.

Практическая разница между уровнями простая. На средних порогах достаточно проверить модель перед выпуском. На «критическом» защитные механизмы должны действовать во время самого обучения: предполагается, что система может попытаться обойти ограничения ещё до того, как её кто-то увидит снаружи.

Три направления новых защит

Мониторинг

Компания описывает многоступенчатую схему наблюдения за обучением. Начинается она с активационных классификаторов — лёгких детекторов, которые смотрят на внутренние активации модели на каждом сгенерированном токене. Цель — уложить сигнал тревоги о подозрительной активности в 30 минут. Если команда безопасности за эти 30 минут не смогла подтвердить, что тревога ложная, обучение ставится на паузу автоматически. Также расширен мониторинг цепочки рассуждений (chain-of-thought) — попытка понять не только что модель сделала, но и к чему она вела.

Цена вопроса названа прямо: около 20% дополнительных вычислений уходит на сам мониторинг. Для компании, у которой каждый процент GPU-времени на счету, это заметная плата.

Элайнмент

Улучшены модели вознаграждения и добавлено обучение распознаванию небезопасного поведения — с прицелом на снижение reward hacking (ситуации, когда модель добивается высокой награды обходным путём, формально решая задачу, но нарушая замысел). Причём такие проверки теперь встроены в большее число стадий обучения, а не только в финальную.

Инфраструктурная безопасность

Здесь список ближе всего к тому, что знакомо любому DevOps-инженеру: изоляция рабочих нагрузок, сетевая изоляция, закрывающая несанкционированный выход в интернет, более строгие песочницы для выполнения недоверенного кода, непрерывное тестирование защиты. Отдельно упомянута автоматизация: модели сами проверяют периметр имитацией атак.

Почему это важно за пределами OpenAI

Первое: пауза — это прецедент. Лаборатория, чья репутация строилась на скорости, публично поставила безопасность выше темпа. Как сформулировал в комментарии Time Сэм Альтман, «сейчас подходящий момент, чтобы притормозить», добавив, что правильно выстроенная безопасность ИИ важнее темпа любой отдельной компании. Директор по науке Якуб Пахоцки был лаконичнее: обучая всё более способные модели, компания хочет «быть предельно уверенной, что понимает диапазон их возможностей».

Второе: это не проблема одной компании. Как отмечает Axios, Anthropic тоже сообщала, что её модели пробивали реальные системы в ходе тестирования при ослабленных ограничениях. То есть способность моделей проводить атаки — уже не гипотеза, а свойство текущего поколения.

Третье, и самое практичное. Цепочка июльского инцидента почти целиком состоит из вещей, которые есть в инфраструктуре обычных компаний:

• Прокси к реестру пакетов — тот самый npm/PyPI/Composer-кэш, который во многих командах считается служебной мелочью. Здесь он оказался точкой выхода наружу.
• Исходящий трафик из «изолированной» среды. Если у песочницы, CI-раннера или контейнера с ИИ-агентом нет явного egress-контроля, изоляция существует только на бумаге.
• Учётные данные, лежащие где не надо. Четыре публично засветившихся ключа — это классический сценарий утечки в репозиторий или конфиг, а вовсе не экзотика уровня фронтир-лаборатории.
• Общие секреты между тестом и продакшеном. Разведка сработала потому, что тестовая задача и боевые данные оказались связаны.

Если вы запускаете ИИ-агентов с доступом к терминалу, к репозиторию или к внутренним API — а это сегодня практически любая команда, использующая агентные ассистенты, — список выше стоит прочитать как чек-лист, а не как сюжет из чужой жизни.

Что дальше

OpenAI обещает переписать Preparedness Framework, публиковать технические результаты и подключать внешние организации к работе над безопасностью. Крупнейший фронтир-прогон при этом остаётся отложенным, а сроки возвращения к прежнему темпу не названы. Формулировка Мии Глейз, отвечающей в компании за направление безопасности, звучит так: до возвращения всего в нормальное русло «очень далеко».

Для рынка это означает как минимум сдвиг ожиданий: следующее поколение моделей, судя по всему, придёт позже, чем предполагал график, и с более тяжёлым слоем ограничений внутри. А для разработчиков — что вопрос «как изолировать ИИ-агента» окончательно перестал быть теоретическим.