OpenAI ยืนยันแล้ว Astra ถึงระดับ Critical ด้านไซเบอร์จริง — เปิดตัวเลขที่ประกาศเดือนที่แล้วไม่มี และประกาศว่าจะปล่อยอยู่ดี

เมื่อ 7 สิงหาคม 2026 OpenAI เผยแพร่ประกาศว่า “ตัดความเป็นไปได้ไม่ได้” ว่าโมเดลรุ่นถัดไปชื่อ Astra จะถึงระดับ Critical ด้านความสามารถไซเบอร์ตาม Preparedness Framework ของตัวเอง — เราเขียนถึงตอนนั้นไว้แล้ว และปิดท้ายด้วยข้อสังเกตว่าประกาศฉบับนั้น ไม่มีตัวเลข benchmark ใด ๆ ไม่มีนิยามว่าต้องเห็นอะไรถึงจะถอนป้ายออก และไม่มีกรอบเวลา

1 กันยายน 2026 OpenAI เผยแพร่เอกสารต่อชื่อ Path to Astra: critical capabilities and frontier safeguards ซึ่งตอบทั้งสามข้อพร้อมกัน และคำตอบไม่ได้ไปในทางที่หลายคนคาด — บริษัทไม่ได้ “ถอนป้าย” แต่ยืนยันว่า Astra ถึงระดับ Critical จริง ทำให้เป็นโมเดลตัวแรกในประวัติศาสตร์ของ Framework นี้ที่ถูกจัดชั้นสูงสุด แล้วประกาศต่อว่าจะปล่อยมันอยู่ดี โดยใช้ชั้นการเข้าถึงเป็นตัวคุมแทนการไม่ปล่อย

ตัวเลขที่ประกาศรอบก่อนไม่มี

รอบนี้มีตัวเลขมาแล้ว และควรอ่านให้แยกกันเป็นสองชุด — ชุด “โมเดลทำอะไรได้” กับชุด “โมเดลปฏิเสธได้แค่ไหน”

ชุดความสามารถ:

• ExploitBench 100% — เบนช์มาร์กที่วัดการเขียน exploit จากช่องโหว่ที่ รู้อยู่แล้ว Astra ทำได้เต็ม
• เนื่องจากกังวลเรื่อง contamination OpenAI จึงสร้างชุดภายในชื่อ ExploitBench – Internal Port ที่ใช้ช่องโหว่ร้ายแรงของเอนจิน V8 จำนวน 20 รายการ ที่เพิ่งถูกเปิดเผยระหว่าง มิ.ย.–ส.ค. 2026 — บนชุดนี้เองที่ Astra ค้นพบและใช้ zero-day สองตัวเป็นส่วนหนึ่งของ exploit chain (OpenAI ระบุว่ากำลังแจ้งผู้ดูแลต้นทาง)
• มีการรายงานเคสที่โมเดลต่อ chain จนเจาะเบราว์เซอร์ หลุดออกจาก sandbox แล้วรันคำสั่งบนเครื่องโฮสต์ หลังผู้ใช้เปิดไฟล์ HTML ที่เป็นกับดัก และอีกเคสที่ไล่ช่องโหว่บนระบบปฏิบัติการที่ถูก harden แล้วต่อกันจนยกสิทธิ์จากผู้ใช้ธรรมดาเป็น root

ชุด safeguard:

• Astra ปฏิเสธคำขอไซเบอร์ที่ไม่อนุญาต 91.5% เทียบกับ 59% ของ GPT-5.6 Sol
• ในสภาพแวดล้อม honeypot จำลอง Astra ไม่พยายามเจาะสำเร็จเลยสักครั้ง ขณะที่ GPT-5.6 Sol สำเร็จใน 56% ของเคสที่เกี่ยวข้อง

ตัวเลข 91.5% นี้เป็นตัวเลขที่ควรอ่านกลับด้าน: มันแปลว่า โมเดลที่ถูกจัดชั้น Critical ยังทำตามคำขอที่ไม่อนุญาตอยู่ 8.5% — และนี่คือหลังใส่ safeguard แล้ว ไม่ใช่ก่อน

ข้อความตัวเล็กที่สำคัญที่สุด: ตัวเลขพวกนี้วัดจากคอนฟิกไหน

จุดที่ผมคิดว่าอ่านผ่านกันเยอะที่สุดคือเชิงอรรถของ OpenAI เองที่ระบุว่า ผลของ Astra ที่แสดงไว้สะท้อนความสามารถภายใต้การเข้าถึงระดับ Daybreak Blue ไม่ใช่คอนฟิกโปรดักชันมาตรฐาน

แปลว่าตัวเลข ExploitBench 100% กับ zero-day สองตัว ไม่ใช่สิ่งที่ผู้ใช้ทั่วไปจะได้ — มันคือความสามารถของโมเดลเมื่อถูกปลดล็อกผ่านชั้นที่ออกแบบมาให้ฝั่งตั้งรับใช้ ซึ่งเป็นคนละเรื่องกับ “โมเดลใน ChatGPT ทำแบบนี้ได้”

โครงสร้าง Daybreak ที่ เราอธิบายไว้ตอน GPT-5.6-Cyber เมื่อ 11 ส.ค. กลับมามีบทบาทตรงนี้พอดี — Daybreak Red คือชั้นสำหรับงานเชิงรุก/red team ส่วน Daybreak Blue คือชั้นสำหรับงานตั้งรับ และแผนการปล่อย Astra ก็วางบนโครงนี้: เปิดให้ กลุ่ม alpha tester จำนวนน้อย ก่อน — Fortune ระบุว่าเป็น “บุคคลและองค์กรที่รับผิดชอบการปกป้องโครงสร้างพื้นฐานดิจิทัลที่สำคัญ” รวมถึงหน่วยงานรัฐบาลสหรัฐฯ โดยบริษัทไม่เปิดชื่อ — แล้วค่อยขยายผ่าน Daybreak Blue สำหรับงานป้องกัน

ส่วนวันปล่อยจริง OpenAI ยังใช้คำเดิม: “We plan to make Astra available soon” ไม่มีวันที่

สิ่งที่ยังตรวจสอบจากภายนอกไม่ได้

TechCrunch สรุปข้อจำกัดไว้ตรงที่สุดว่า “หากไม่มีการยืนยันจากบุคคลที่สาม ก็ยากที่จะประเมินคำกล่าวอ้างของ OpenAI เรื่องความปลอดภัยหรือความพร้อม” และรายละเอียดการประเมินฉบับเต็มจะถูกปล่อยหลังเปิดตัวสาธารณะเท่านั้น — คือหลังจากการตัดสินใจปล่อยเกิดขึ้นไปแล้ว

รายการที่ยังไม่มีคำตอบ:

• ใครอยู่ในกลุ่ม alpha — บริษัทปฏิเสธที่จะระบุชื่อ
• “บัญชีความเสี่ยงสูง” ตัดสินจากอะไร — OpenAI บอกว่าจะจำกัดการตอบสำหรับบัญชีกลุ่มนี้ แต่ไม่เปิดวิธีประเมิน
• มีหน่วยงานรัฐเข้าประเมินหรือยัง — ไม่ระบุ
• ตัวเลข 91.5% วัดบนชุดคำขอแบบไหน — ไม่มีการเผยแพร่ชุดทดสอบ

และมีเสียงค้านจากคนใน: Yona Shavit อดีตพนักงาน OpenAI ซึ่งปัจจุบันอยู่ที่ OpenAI Foundation ตั้งคำถามว่าการที่ Astra ยอมทำตามกฎในการทดสอบ อาจเป็นผลจาก “การรู้ว่าถูกคาดหวังให้ทำอะไร หรือกำลังพยายามหลอกนักวิจัย” มากกว่าจะเป็นความปลอดภัยที่แท้จริง — ซึ่งเป็นคำถามที่การทดสอบแบบที่รู้ว่ากำลังถูกทดสอบตอบไม่ได้โดยโครงสร้าง

มุมมอง AI Curator

เดือนที่แล้วผมเขียนว่าประโยคที่น่ากังวลที่สุดในประกาศฉบับ 7 ส.ค. ไม่ใช่คำว่า “Critical” แต่คือการที่ยังไม่มีเกณฑ์ว่าต้องเห็นอะไรถึงจะถอนป้ายออก ตอนนี้เรารู้คำตอบแล้ว และคำตอบคือ — ป้ายไม่ได้ถูกถอน แต่ถูกเปลี่ยนจาก “เหตุผลให้ชะลอ” เป็น “เหตุผลให้ควบคุมการเข้าถึง”

นี่คือการเปลี่ยนความหมายของ Framework ที่ผมคิดว่าใหญ่กว่าตัวโมเดล เดิมที Critical ถูกเขียนไว้ในฐานะเพดาน — ระดับที่ถึงแล้วต้องหยุด รอบนี้ OpenAI แสดงให้เห็นว่ามันทำงานเป็น ประตูที่มีกุญแจ ได้ด้วย: ถึงเพดานแล้วก็ยังปล่อยได้ ถ้าออกแบบชั้นการเข้าถึงมารองรับ

ผมไม่คิดว่านี่ผิดโดยอัตโนมัติ เหตุผลฝั่งตั้งรับมีน้ำหนักจริง — คนที่ป้องกันโครงสร้างพื้นฐานควรได้เครื่องมือระดับเดียวกับคนที่จะโจมตี และถ้าไม่ปล่อยเลย ความสามารถแบบนี้ก็จะไปโผล่ที่อื่นในอีกไม่กี่เดือนโดยไม่มี safeguard อะไรเลย แต่ต้นทุนของการเลือกทางนี้คือ เกณฑ์สูงสุดของ Framework กลายเป็นเงื่อนไขที่เจรจาได้ และคนที่เจรจาคือคนเดียวกับที่เขียนเกณฑ์ วัดผล และตัดสินว่าผ่าน โดยไม่มีบุคคลที่สามอยู่ในลูปเลยตลอดสายนี้

สำหรับทีมในไทยและอาเซียน ผมคิดว่ามีสามข้อที่ใช้ได้จริงโดยไม่ต้องรอ Astra ปล่อย

หนึ่ง — ตัวเลขที่ควรจำไม่ใช่ 100% แต่คือ 8.5% ถ้าโมเดลที่ผ่านการ post-train เรื่องการปฏิเสธมาหนักที่สุดในตลาด ยังทำตามคำขอที่ไม่อนุญาตหนึ่งในสิบกว่าครั้ง แปลว่า การปฏิเสธของโมเดลไม่ใช่ security control และไม่ควรถูกนับเป็นชั้นป้องกันในสถาปัตยกรรมของใคร ชั้นที่นับได้คือชั้นที่อยู่นอกโมเดล — สิทธิ์ที่ให้ เครือข่ายที่เข้าถึงได้ และสิ่งที่ log ไว้

สอง — เส้นเวลาของฝั่งตั้งรับกำลังถูกกำหนดโดยฝั่งที่ไม่ประกาศ สิ่งที่ประกาศนี้ยืนยันคือความสามารถระดับ “หา zero-day เองแล้วต่อ chain จนได้ root” มีอยู่จริงแล้ว ในโมเดลที่ยังไม่ปล่อย องค์กรไทยจำนวนมากยังวางแผน patch cycle บนสมมติฐานว่า exploit สำหรับช่องโหว่ใหม่ใช้เวลาเป็นสัปดาห์กว่าจะมี — สมมติฐานนั้นกำลังหมดอายุ และวันที่มันหมดอายุจะไม่มีใครประกาศให้

สาม — ถ้าจะลอกอะไรจากเอกสารนี้ ให้ลอกโครงสร้างชั้นการเข้าถึง ไม่ใช่ตัวเลข สิ่งที่ Daybreak ทำจริง ๆ คือแยก “ความสามารถ” ออกจาก “สิทธิ์ที่จะใช้ความสามารถนั้น” แล้วผูกสิทธิ์กับตัวตนที่ตรวจสอบได้ ทีมที่รัน agent ภายในองค์กรทำแบบเดียวกันได้ทันทีในสเกลของตัวเอง: agent ตัวเดียวกัน แต่ profile สิทธิ์ต่างกันตามงานและตามคนสั่ง และมีเส้นแบ่งชัดว่าใครอนุมัติการยกระดับ

สุดท้าย ข้อสังเกตที่ผมคิดว่าควรค้างไว้ในหัว — เอกสารฉบับนี้บอกเราว่าโมเดลตัวหนึ่งเก่งพอจะเจาะระบบที่ถูก harden แล้วได้เอง โดยที่เราต้องเชื่อคำของบริษัทเดียวกับที่จะขายมัน ทั้งเรื่องความเก่งและเรื่องความปลอดภัย คำอ้างสองข้อนี้ผลักไปคนละทางในเชิงธุรกิจ ข้อแรกทำให้โมเดลน่าซื้อขึ้น ข้อที่สองทำให้ปล่อยได้ และตราบใดที่ยังไม่มีใครนอกบริษัทตรวจได้ทั้งสองข้อ เราก็ยังไม่มีวิธีรู้ว่าข้อไหนถูกปรับให้เข้ากับอีกข้อ

แหล่งข่าว

• TechCrunch — OpenAI’s Astra model is on the way, and very good at breaking into computer systems (1 ก.ย. 2026)
• OpenAI — Path to Astra: critical capabilities and frontier safeguards (1 ก.ย. 2026)
• Fortune — OpenAI to limit access to Astra model’s advanced cyber features due to hacking concerns
• Cyber Security News — OpenAI’s New Astra AI Can Discover Zero-Day Security Flaws and Build Exploits