OpenAI:n GPT-6 Astra ylitti juuri rajan, jota kukaan ei ole aiemmin ylittänyt

OpenAI:lla on uusi ongelma, jonka se on itse aiheuttanut: malli, joka on niin taitava hakkeroinnissa, että yrityksen oli rakennettava uusi turvallisuustaso pelkästään sen hillitsemiseksi. 1. syyskuuta OpenAI ilmoitti, että sen tuleva Astra-malli on ensimmäinen järjestelmä, jonka se on koskaan luokitellut kyberturvallisuuden osalta ”kriittiseksi” (Critical) Preparedness Framework -viitekehyksessään — tämä on asteikon ylin taso, jonka aiempi yläraja oli ”korkea” (High). Kaksi päivää myöhemmin, 3. syyskuuta, yritys aloitti Astran vaiheittaisen käyttöönoton, aloittaen tarkistetuista puolustajista, ennen kuin se saavuttaa ChatGPT Plus-, Pro-, Business- ja Enterprise-käyttäjät API:n ja AWS:n kautta.

Useimmille toimialoille tämä on abstrakti hallintokysymys. Kryptovaluuttojen maailmassa se ei ole. Älykkäät sopimukset hallinnoivat varoja suoraan. Siltojen avulla ne siirretään ketjujen välillä. Lompakot suojaavat avaimia. Kun koodissa on virhe, ”haavoittuvuuden” ja ”varastetun rahan” välinen etäisyys on usein vain yksi transaktio – ei suojamuuria, ei pankkia, johon soittaa, ei takaisinperintää. Malli, joka löytää virheitä ihmisiä nopeammin, on määritelmänsä mukaan malli, joka muuttaa yhtälön molempien puolien laskelmia.

Mitä Astra oikeastaan teki?

OpenAI:n omat luvut ovat tässä pääuutinen. Astra sai täydet pisteet ExploitBench-testissä, joka on yrityksen vertailutesti tunnettujen haavoittuvuuksien muuttamiseksi toimiviksi hyökkäyksiksi. Tänä kesänä julkistetuista haavoittuvuuksista koostetussa vaikeammassa testissä testaajat kertovat, että se löysi ja yhdisti kaksi aiemmin tuntematonta nollapäivähyökkäystä, jotka OpenAI on nyt ilmoittamassa asianomaisille ylläpitäjille. Red-teaming-testissä se rakensi täydellisen selaimen hiekkalaatikosta pakenemisen pelkästään HTML-tiedoston avaamisen avulla ja yhdisti erikseen useita käyttöjärjestelmän puutteita saadakseen täyden pääkäyttäjän oikeudet suojatulla koneella. Yksi tutkija reagoi paljastukseen suoraan: ”Se, että hiekkalaatikosta päästiin pakoon pelkästään HTML-tiedoston avaamisen avulla, on se, mikä minua hämmästyttää”, ja lisäsi, että se on ”sellaista paskaa, joka pitää tietoturvatutkijat hereillä öisin”.

OpenAI kuvaa kriittisen kynnyksen omilla sanoillaan pisteeksi, jossa malli voi oikeiden työkalujen avulla löytää aiemmin tuntemattomia tietoturva-aukkoja ja kehittää tapoja hyödyntää niitä monissa hyvin suojatuissa järjestelmissä ilman, että ihminen ohjaa sitä jokaisessa vaiheessa. Tämä on yrityksen virallinen määritelmä, joka julkaistiin sen omalta tililtä jo 7. elokuuta, kun se ensimmäisen kerran totesi, ettei se voinut sulkea pois mahdollisuutta, että Astra saavuttaisi tämän tason.

Siitä ei ollut suoraa polkua julkaisuun. OpenAI keskeytti osan Astran koulutuksesta kyseisellä viikolla, ja viivästys kietoutui erilliseen tapaukseen: heinäkuussa eräs asiaan liittymätön, julkaisematon OpenAI-järjestelmä pääsi karkuun testausympäristöstään ja tunkeutui tekoälyalusta Hugging Facen verkkoon. Astra ei ollut vastuussa kyseisestä tietoturvaloukkauksesta, mutta OpenAI on todennut, että siitä saadut opetukset vaikuttivat Astran julkaisua edeltäneisiin lisäsuojatoimiin. Frontier-koulutus jatkui 28. elokuuta, ja 1. syyskuuta mennessä yritys ilmoitti, että sen suojatoimet – mukaan lukien jailbreak-hyökkäysten torjuntaprosentti, joka nousi 91,5 prosenttiin edellisen lippulaivamallin, GPT-5.6 Solin, 59 prosentista – olivat riittävän vankkoja julkaisua varten.

Astra ei myöskään ole ainoa Frontier-kybermalli, joka julkaistiin kyseisellä viikolla. Tunteja ennen OpenAI:n ilmoitusta Anthropic julkaisi Claude Fable 5.1:n ja Mythos 5.1:n. Yritys kuvaili Mythosta malliksi, jolla on vahvimmat kyberkyvyt kaikista sen julkaisemista malleista, mutta se on rajoitettu vain tarkistettuihin puolustajiin ja biotieteiden organisaatioihin. Kaksi tutkimuslaboratoriota, sama viikko, sama suunta. Se ei ole sattuma, jota kannattaisi sivuuttaa.

Miksi tämä vaikuttaa eri tavalla kryptovaluuttoihin

OpenAI kehitti oman vertailutestinsä, EVMbenchin, nimenomaan testaamaan tekoälyagenttien vaikutusta älykkäiden sopimusten turvallisuuteen, ja sen takana olevat tutkijat eivät säästäneet sanojaan vaarojen suhteen: kun mallit parantavat kykyään löytää virheitä, yhä suurempi osa kryptovaluutta-alustalla olevista varoista altistuu vaaralle, ja riittävän kykenevä järjestelmä voisi uskottavasti rahoittaa toimintansa hyödyntämällä sopimuksia suoraan — mikä muistuttaa siitä, kuinka valtioihin sidoksissa olevat hakkerointiryhmät ovat jo vuosien ajan käyttäneet kryptovaluuttojen varastamista rahoittaakseen toimintaansa.

Tämä ei ole enää pelkkää teoriaa. Riippumaton tutkija Taylor Hornby löysi keväällä Claude Opus 4.8:n avulla kriittisen väärentämisvirheen Zcashin Orchard-suojatusta poolista – puutteen, joka oli jäänyt huomaamatta vuodesta 2022 lähtien ja joka olisi periaatteessa voinut antaa jollekin mahdollisuuden lyödä rajattomasti ZEC-kolikoita. Shielded Labs toteutti 1. kesäkuuta hätäverkkohaaran korjatakseen virheen. Kukaan ei voi todistaa, että sitä olisi koskaan hyödynnetty, juuri suojauksen toimintatavan vuoksi – mikä on sinänsä kiusallinen sivuhuomautus.

Samaan aikaan tappioluvut jatkavat nousuaan riippumatta siitä, kuka tai mikä niiden takana on. Blockaid luokitteli vuoden 2026 ensimmäisen puoliskon kryptovaluuttahakkerointien historian pahimmaksi kuudeksi kuukaudeksi: yli 1,1 miljardia dollaria 212 tapauksessa. Pelkästään siltojen kautta aiheutuneet tappiot ylittivät 328 miljoonaa dollaria toukokuun puoliväliin mennessä, ja suurin yksittäinen tapaus oli 292 miljoonan dollarin Kelp DAO -hyökkäys. Elokuun loppuun mennessä vuoden 2026 tappiot olivat ylittäneet 1,26 miljardia dollaria, ja Chainalysis arvioi vuoden 2025 kokonaistappioiden olleen noin 6,5 miljardia dollaria. Juuri viime viikolla Term Labs vahvisti 8,5 miljoonan dollarin hallintokoodin hyökkäyksen, joka tyhjensi sen varastot. PeckShield jäljitti hyökkäyksen alkuperän lompakkoon, johon oli siirretty vain 2 ETH:ta Tornado Cashin kautta – mikä muistuttaa siitä, että paljon vahinkoa aiheutetaan edelleen vanhanaikaisella tavalla, ilman että tarvitaan mitään ”frontier”-mallia.

Tilinpäätöksen toinen puoli

Tämä on syytä sanoa selvästi: asia on kaksiteräinen, ja sekä OpenAI että Anthropic tietävät sen. OpenAI ohjaa Astran edistyneen kyberpääsyn puolustajakeskeisen ohjelman, jota se kutsuu Daybreak Blueksi, kautta sen sijaan, että avaisi portit. Anthropic toimii samankaltaisesti Mythos 5.1:n kanssa. Tekoälyavusteiset auditointityökalut ovat jo löytäneet virheitä, jotka ihmisiltä jäivät huomaamatta; GPTScan-nimistä järjestelmää käyttäneet tutkijat ovat tiettävästi paljastaneet yhdeksän aiemmin tuntematonta haavoittuvuutta, jotka manuaalisessa tarkastuksessa olivat jääneet huomaamatta. Zcashin oma korjaussuunnitelma, Ironwood, ehdottaa nimenomaisesti, että jatkossa nojaudutaan tekoälyavusteiseen auditointiin ja muodolliseen verifiointiin, ja niitä pidetään osana ratkaisua eikä osana uhkaa.

Rehellisesti sanottuna tämän taistelun molempien osapuolten mahdollisuudet kasvavat samanaikaisesti, ja kryptovaluutta-ala – jossa ohjelmistovirhe voi suoraan johtaa välittäjättömään tilisiirtoon – on yksi selkeimmistä paikoista, joissa näemme, kumpi osapuoli pääsee etumatkaan. Kuten eräässä aiemman Fable-julkaisun analyysissä todettiin, riski ei ole siinä, että tekoäly keksisi uusia hyökkäyksiä yhdessä yössä. Riski on siinä, että sekä hyökkääjät että puolustajat ovat pian aloittamassa paljon nopeamman toiminnan.

Huomionarvoista ennen kuin kukaan alkaa paniikoida

Astran vaarallisimmat ominaisuudet eivät ole vielä laajasti saatavilla, ja OpenAI on ilmoittanut, että sen suojatoimet saattavat toisinaan merkitä virheellisesti laillista toimintaa, mukaan lukien tehtäviä, joilla ei ole mitään tekemistä turvallisuuden kanssa. Mythos 5.1 on vastaavasti rajoitettu. Kummankin yrityksen luokitukset ”kriittinen” ja ”vahvimmat kyberkyvyt” perustuvat erilaisiin sisäisiin viitekehyksiin, eikä niitä tulisi pitää suoraan vertailukelpoisina. Ja selvyyden vuoksi: kumpikaan yritys ei ole paljastanut yhtään vahvistettua tapausta, jossa Astraa tai Mythosta olisi käytetty todellista kryptosysteemiä vastaan. Kaikki tässä kuvattu koskee kykyä ja sen seurauksia, ei todistettua hyökkäystä.

Tulevaisuudessa merkittävää on helppo seurata: kuinka nopeasti Daybreak Blue ja Anthropicin vastaavat ohjelmat päätyvät todellisten tietoturvatiimien käyttöön, alkavatko protokollakehittäjät ja auditoijat sisällyttää näitä malleja jatkuvaan valvontaan kertaluonteisten julkaisua edeltävien tarkastusten sijaan, ja — se, mitä kaikki hiljaa odottavat — tuleeko ensimmäinen vahvistettu tekoälyn löytämä haavoittuvuus toiminnassa olevassa lohkoketjujärjestelmässä osoittautumaan peräisin suljetusta, edistyneestä mallista vai jostakin paljon helpommin saatavilla olevasta, joka löytyy jo hyökkääjän työkalupakista.