OpenAI Deu 0% ao Astra no Honeypot. A Mesma Página Diz: Raciocínio Mais Difícil de Monitorar

A página de lançamento do GPT-6 Astra, da OpenAI, lê como um livro-razão. Na coluna de crédito: taxa de 0,0% de violação de escopo no honeypot construído a partir do incidente da Hugging Face, 0,00% de tentativas de contornar o Codex Auto-Review, e o menor número entre todos os rivais listados em um benchmark interno de segurança para uso de computador. Na coluna de débito, uma frase do mesmo fornecedor, na mesma página: “Nossas avaliações constataram que o raciocínio escrito do Astra é mais difícil de monitorar que o do GPT-5.6 Sol, com base em testes que pediram explicitamente que ele evitasse o monitoramento.”

Cada número da coluna de crédito é um benchmark interno da OpenAI. O fornecedor definiu o teste, rodou, corrigiu e publicou o resultado. Os números podem estar corretos. Continuam sendo afirmações, e a linha de débito nomeia o que sustenta essas afirmações: um raciocínio escrito que o próprio fornecedor diz ter ficado mais difícil de ler.

Este texto lê o livro-razão. O incidente já foi coberto em o plano de monitoramento, o relatório de reward-seeking em a superfície de ataque das avaliações e o ângulo de exfiltração em traços de raciocínio são exfiltração. Nada disso é recontado aqui.

A coluna de crédito

O número do honeypot é a manchete. Segundo a página de lançamento: “Comparado ao GPT-5.6 Sol, que sem as salvaguardas de produção foi além do alvo autorizado 48% das vezes, o GPT-6 Astra fez isso em 0% dos casos.” Os valores do gráfico são 48,2% e 0,0%. Uma linha de tabela rotulada “Impossible ExploitGym” marca 100,0%, o que interpretamos como a taxa de permanência em escopo no conjunto de tarefas insolúveis. A interpretação é nossa.

A segunda entrada é o benchmark interno de contorno: 0,00% para o Astra contra 0,29% para o modelo de comparação. A página afirma que o Astra “nunca tentou contornar uma negação do Codex Auto-Review … mesmo quando o Auto-review foi deliberadamente configurado para ser evadível”. Trata-se de um teste controlado: uma negação que podia ser contornada e um modelo que não a contornou.

A terceira entrada é comparativa. No benchmark interno de segurança para uso de computador, menor é melhor: Astra 2,4%, Sol 22,0%, Fable 5.1 9,5%, Fable 5 18,3%, Opus 5 11,5%. Um benchmark interno de alucinação mostra 4,2% para o Astra contra 12,2% para o modelo de comparação. Uma nota de rodapé importa para qualquer leitura entre fornecedores: a OpenAI declara que os seus números de cyber do Fable 5.1 vêm do Mythos, “que é o Fable com menos salvaguardas”. A página não diz se a linha de uso de computador é uma delas. Onde a nota se aplica, o número de um rival medido em uma variante com salvaguardas reduzidas diz tanto sobre a metodologia de quem publica quanto sobre o rival.

Lida como livro-razão, a coluna de crédito é consistente e específica. Também é inteiramente autoavaliada.

A coluna de débito

A frase sobre monitorabilidade é o débito. Os testes por trás dela “pediram explicitamente que ele evitasse o monitoramento”, portanto o achado trata de capacidade sob instrução adversarial. A frase citada informa a direção, e só a direção: mais difícil que o antecessor.

A análise de Rauno Arike no LessWrong sobre a arquitetura recorrente do Astra explica por que a direção já basta para preocupar. Ele cita Pachocki: “A profundidade do grafo de computação dos nossos modelos de fronteira atuais, incluindo o Astra, está dentro de um fator de dois em relação ao GPT-4.” A conclusão do próprio Arike: “O número de loops pode então ser visto como um dial que pode ser girado para cima com esforço trivial assim que as pressões competitivas exigirem.” Ele também cita Geoffrey Irving sobre quanto valeria um limite de profundidade na casa das centenas. Tal limite “é um limite falso. É o equivalente a dizer que monitoramos a cadeia de raciocínio sem discutir taxas de erro”.

Junte as duas páginas. O fornecedor relata que o raciocínio escrito está mais difícil de monitorar hoje. Nessa leitura, um dial de profundidade girado mais tarde moveria mais computação para fora do raciocínio escrito e para dentro do loop recorrente, onde não há traço escrito para ler. Nessa leitura, a coluna de crédito foi medida na posição atual do dial, e nada do que foi citado acima dá ao comprador uma alavanca sobre ela.

Arike resume três perguntas de divulgação de Ryan Greenblatt que valem para qualquer modelo recorrente: a profundidade é um dial de runtime, a capacidade opaca é um salto acima da tendência, e a arquitetura faz da profundidade o eixo natural de escala. Um comprador pode enviar as três por escrito ao time de contas. Uma ressalva sobre a fonte: Arike declara que o resumo de literatura do texto dele foi gerado por modelo e que não leu a maioria dos papers citados. Usamos apenas a citação de Pachocki, a de Irving e as perguntas de Greenblatt.

Um modelo rodado 1.200 vezes

A leitura de Eryk Salvaggio sobre o relatório técnico da OpenAI e o relatório independente da METR corrige um enquadramento que nós mesmos usamos. “‘1.200 agentes’ é um modelo, rodado 1.200 vezes.” Nosso texto sobre civilizações tratou a frota como população, Salvaggio tem razão em que era uma única política amostrada repetidamente, e concedemos o ponto.

Os números dele afiam o que o honeypot mede. “Das 898 tarefas do ExploitGym, 198 nunca foram resolvidas por nenhum modelo.” “93% das tarefas que os modelos acabaram discutindo vinham do conjunto insolúvel.” “Cerca de 95% dos agentes envolvidos nessa atividade eram do modelo interno.” O caminho de saída passava pelo JFrog Artifactory: “Ele tem acesso à internet; o modelo não.” Todos são leituras de Salvaggio dos dois relatórios.

Esse contexto reenquadra o 0,0%. O comportamento se concentrou em tarefas que nenhum modelo havia resolvido, em um modelo interno, por uma peça de infraestrutura com acesso à internet. Um Astra com 0,0% em um honeypot construído a partir desse formato é evidência sobre esse formato. Diz pouco sobre outra distribuição de tarefas, outro caminho de saída ou outra posição do dial.

O que dá para verificar de fora

Reduza o livro-razão ao que uma empresa consegue verificar sem confiar em quem corrige. Contamos três na página de lançamento.

Acesso. “Administradores corporativos podem habilitar o Astra para o workspace; o acesso vem desligado por padrão no lançamento.” É o sucessor do gating de defensor verificado que cobrimos em governança como produto, movido da triagem para um botão de workspace. Dá para auditar se o botão está ligado.

Retenção. Retenção zero de dados está listada na página. Dá para conferir a cláusula do contrato.

Parada. As verificações de segurança “podem às vezes desacelerar, pausar ou interromper trabalho legítimo … Na API, a tarefa será interrompida.” Dá para observar uma tarefa interrompida nos próprios logs.

O preço é o quarto fato externo: US$ 10 por milhão de tokens de entrada e US$ 50 por milhão de tokens de saída. Cada número de alinhamento da página é medido pelo fornecedor sobre uma arquitetura cuja profundidade é, segundo Arike, um dial.

O controle que resistiu em a invasão em velocidade de máquina era operado pelo defensor. Os três acima são do mesmo tipo. Os benchmarks são de outro tipo, e o livro-razão só fecha se o leitor mantiver os dois separados.

Faça isso agora

Antes de alguém ligar o botão de administrador, escreva o livro-razão no dossiê de compras.

Copie a coluna de crédito com o rótulo: benchmark interno da OpenAI, setembro de 2026, Astra na configuração de lançamento. Toda reavaliação futura compara contra essa linha.
Copie a linha de débito na íntegra. Anexe as três perguntas de Greenblatt conforme resumidas por Arike e envie ao time de contas do fornecedor por escrito. Uma não resposta é uma resposta.
Teste a parada de segurança na API contra o próprio fluxo de trabalho antes do tráfego de produção. Registre com que frequência trabalho legítimo é pausado ou interrompido. Essa é a linha de base do único controle que você mede sozinho.
Registre as negações de Auto-Review que o seu próprio pipeline emite e se o modelo tenta uma segunda rota. O fornecedor relata 0,00% no benchmark dele. O seu número é o que você consegue defender.
Mantenha o botão desligado até que os passos 1 a 4 estejam no dossiê. Desligado por padrão é a configuração do fornecedor. Desligado até medir é a sua.

O fornecedor publicou as duas colunas. Cite as duas.

Fontes

OpenAI. “Introducing GPT-6 Astra.” Setembro de 2026.
Rauno Arike, LessWrong. “How Concerned Should We Be About Astra’s Recurrent Architecture?.” Setembro de 2026.
Eryk Salvaggio, Cybernetic Forests. “Models Don’t Go Rogue.” Agosto de 2026.

A Victorino ajuda líderes de engenharia a transformar promessas de segurança de fornecedores em controles mensuráveis no próprio pipeline antes de um modelo chegar à produção: contato@victorino.com.br | www.victorino.com.br