Modelaankondigingen gaan meestal over wat er beter is geworden. Deze gaat ook over wat er is dichtgezet. OpenAI bracht op 3 september GPT-6 Astra uit en meldde er in één adem bij dat het model als eerste de hoogste risicoklasse haalt die het bedrijf zelf voor cybercapaciteiten hanteert. Wat betekent dat label, en wat merk jij ervan?
Wat is er aangekondigd?
Astra is OpenAI’s eerste GPT-6-model en het zwaartepunt ligt niet bij chatten. Het is gebouwd om je computer en browser te bedienen: formulieren invullen, klantgegevens bijwerken, research doen en het resultaat in een document of mail zetten. Op OSWorld 2.0, de benchmark voor computergebruik, haalt het 72,6% in ongeveer 47% minder tijd per taak dan voorganger GPT-5.6 Sol (Bron: OpenAI).
Het rolt vanaf 3 september uit, eerst naar een beperkte groep organisaties en daarna naar alle gebruikers van ChatGPT Plus, Pro, Business en Enterprise, plus de API en AWS. Eén detail dat je makkelijk mist: bij Enterprise staat Astra bij de lancering standaard uít. Een beheerder moet hem per werkruimte aanzetten. In de API heet het model gpt-6-astra en kost het $10 per miljoen invoertokens en $50 per miljoen uitvoertokens.
Dat is het productverhaal. Het interessantere deel staat in de veiligheidsparagraaf.
Wat betekent “Critical” precies?
OpenAI werkt sinds december 2023 met een Preparedness Framework: een document waarin vooraf is vastgelegd bij welke capaciteiten het bedrijf extra maatregelen neemt. Voor cyber wordt de klasse Critical gehaald als een model “zonder menselijke tussenkomst functionele zero-day-exploits van alle ernstniveaus kan identificeren en ontwikkelen in veel geharde echte kritieke systemen”, of zelfstandig een complete nieuwe aanvalsstrategie kan bedenken en uitvoeren op basis van alleen een doel op hoofdlijnen (Bron: OpenAI).
Alle eerdere modellen, GPT-5.6 Sol inbegrepen, zaten in de klasse eronder: High. Astra is de eerste die eroverheen gaat.
Beginner-tipEenzero-dayis een kwetsbaarheid die nog niemand kent, ook de maker van de software niet — er zijn dus nul dagen geweest om hem te dichten. Eenexploitis het stukje code dat zo’n gat daadwerkelijk misbruikt. Het verschil tussen “een gat vinden” en “er een werkende sleutel voor bouwen” is precies waar deze hele discussie over gaat.
Dit kwam trouwens niet uit de lucht vallen. OpenAI publiceerde al op 7 augustus dat het bij interne evaluaties van een aankomend model — Astra — Critical-capaciteiten “niet kon uitsluiten”, en zette toen al stappen: geïsoleerde testomgevingen, beperkte netwerk- en tooltoegang, extra versleuteling van de modelgewichten, en monitoring die de gedachtegang van het model meeleest en riskante acties kan onderbreken. Interne activiteiten die niet aan die zwaardere eisen voldeden, werden stilgelegd.
Twee onbekende lekken tijdens de eigen test
De cijfers waar het om draait staan in de aankondiging. Op ExploitBench, dat meet of een model bekende kwetsbaarheden kan omzetten in werkende exploits, scoorde Astra zonder productiebeveiliging 100%, tegen 78,5% voor GPT-5.6 Sol. Op het bredere ExploitGym ging het van 30,3% naar 42,4%, met fors minder tokens.
Maar het overtuigendste getal is geen percentage. Omdat benchmarks met bekende lekken vervuild kunnen zijn door trainingsdata, bouwde OpenAI een eigen test met twintig zware kwetsbaarheden in de V8-motor van Chrome die pas tussen juni en augustus 2026 openbaar werden. Tijdens die evaluatie ontdekte en gebruikte Astra twee zero-days die op dat moment nog bij niemand bekend waren. OpenAI zegt beide te melden bij de partijen die de software onderhouden.
Daar zit meteen het dubbele gezicht van deze capaciteit. Hetzelfde vermogen dat een aanvaller een voorsprong geeft, geeft een onderhouder de kans een gat te dichten voordat iemand anders het vindt. OpenAI schrijft het zelf op die manier op, en heeft daar een naam voor bedacht: the defender’s window, het krimpende tijdvenster waarin verdedigers hun achterstand kunnen inlopen.
De uitgerolde versie weigert daarom de scherpste kant. Secure code review en het voorbereiden van patches mag; het schrijven van een proof-of-concept-exploit weigert Astra. Voor geverifieerde verdedigers wil OpenAI die beperking in de komende weken versoepelen.
Het label zegt vooral iets over de meting
Hier wordt het ongemakkelijk, en de scherpste observatie kwam niet van OpenAI zelf. Sanchit Vir Gogia van Greyhound Research wijst erop dat het Critical-label eerder een openbaarmaking is dan een gebeurtenis: de capaciteit van Astra veranderde niet tussen begin augustus en de lancering. De metingen veranderden. Het model niet.
Dat draait de logische reflex om. “Astra is het enige frontier-model waarvan een organisatie de cybercapaciteit daadwerkelijk kent, omdat het als enige tegen een gepubliceerde drempel is gemeten”, stelt Gogia — terwijl elk model zonder zo’n label nooit op die manier is gemeten, en dat pas gebeurt als de maker daar zelf voor kiest. Die modellen zijn niet veiliger (Bron: CSO Online).
Dat is een patroon dat we vaker zien terugkomen. Toen het Britse AI Security Institute in juli frontier-modellen testte, bleek dat alle vijf de geteste modellen probeerden te spieken bij de veiligheidstest — niet omdat die vijf uitzonderlijk waren, maar omdat iemand keek. En Anthropic maakte een vergelijkbare ronde door: Claude Fable 5 was drie weken niet beschikbaar vanwege zorgen in dezelfde categorie.
GevorderdenGogia legt de vinger op nog iets. OpenAI meldt dat Astra’s geschreven redeneringslechterte monitoren is dan die van Sol — het model lost problemen op in minder zichtbare stappen. OpenAI kan zijn eigen uitrol monitoren, maar er is niets gepubliceerd waarmee een klant diezelfde telemetrie krijgt. “OpenAI die Astra kan monitoren betekent niet dat een organisatie Astra kan auditen.” Voor wie agents in eigen systemen laat werken, verschuift de governance-vraag daarmee vanwelk model is goedgekeurdnaarhoeveel schade kan een identiteit aanrichten voordat een control ingrijpt. Dat is dezelfde verschuiving dieOWASP’s top 10 voor agentic skillsbeschrijft.
De aanval is wereldwijd, de verdediging begint in Amerika
Op dezelfde dag als Astra kondigde OpenAI de tegenmaatregel aan: Daybreak for Frontline Defenders, met één miljard dollar aan gesubsidieerde toegang tot zijn cybermodellen, training en technische ondersteuning, bedoeld om binnen zes maanden te worden opgemaakt (Bron: OpenAI).
Lees waar dat geld naartoe gaat en je ziet de Nederlandse kwestie meteen. OpenAI begint expliciet in de Verenigde Staten, bij drinkwaterbedrijven, netbeheerders, lokale overheden, kleinere banken, non-profits en open-source-onderhouders. Er komt een proef met MS-ISAC, het Amerikaanse samenwerkingsverband voor publieke instellingen. Na recente aanvallen op Amerikaanse watersystemen kregen getroffen staten al tot een miljoen dollar aan gratis API-credits. Uitbreiding naar partnerlanden staat er als voornemen bij, “in de komende weken”, zonder landen of datum.
Het model met de Critical-capaciteit is vanaf dag één wereldwijd beschikbaar. De subsidie waarmee kleine verdedigers kunnen bijbenen, is dat niet. Voor een Nederlandse waterschap, gemeente of regionale bank betekent dat: dezelfde dreiging, voorlopig zonder hetzelfde vangnet.
Dat is precies de asymmetrie waar toezichthouders deze zomer over begonnen. De Financial Stability Board schreef vorige week dat frontier-AI “de snelheid, de schaal en de economie” van cyberrisico verandert, en dat veel landen nog geen protocollen hebben voor de vrijgave van geavanceerde modellen — we schreven vandaag over die brief en wat hij voor jouw bank betekent. Astra is het eerste concrete geval waarin je die zin kunt invullen met een productnaam en een datum.
Wat merk jij hiervan?
Als gewone gebruiker: waarschijnlijk vooral dat ChatGPT beter wordt in saai werk. Astra bedient je browser, houdt zich aan jouw sjabloon bij een presentatie of spreadsheet, en stelt een gerichte vraag als een opdracht ruimte laat voor interpretatie in plaats van er zelf maar iets van te maken. Wil je weten wat er verder allemaal in ChatGPT is veranderd, dan staat dat bij elkaar op onze tool-pagina over ChatGPT.
Als je verantwoordelijk bent voor systemen, is het praktische antwoord ouderwets en saai: de tijd tussen “er is een update” en “hij staat geïnstalleerd” is de tijd waarin dit soort capaciteit z’n werk doet. Dat gold vorig jaar ook, maar het venster is korter geworden.
Wat het model kost, wie erbij kan en waar de rekening omslaat, staat in ons stuk over de prijs van Astra.
En als je iets moet goedkeuren binnen een organisatie, is de kern van dit nieuws niet dat Astra een label kreeg. Het is dat de rest het niet kreeg. Alle updates op een rij houden we bij in onze AI-tijdlijn, die we dagelijks aanvullen — inclusief het rapport over de Hugging Face-inbraak waar OpenAI deze zomer een aparte evaluatie op bouwde. Astra was overigens niet het model dat daarbij betrokken was; dat vermeldde OpenAI in augustus uitdrukkelijk.
Dat OpenAI intussen ook voor particuliere beleggers bereikbaar wordt, beschrijven we in beleggen in OpenAI vanaf 300 euro.