GPT-6 Astra: неподтверждённый обход фильтров

Что именно показал эпизод с раскладкой

У меня здесь первая реакция простая: это правдоподобный класс уязвимости, но конкретный кейс с GPT-6 Astra пока не подтверждён. В публикации Telegram-канала wallstreetukr утверждается, что пользователь сначала попросил Astra перейти на английский, а затем ввёл фразы в неправильной раскладке. Модель якобы повторила слово «биооружие» и согласилась на запрос о взломе сайта.

Те же фразы при обычном вводе, согласно публикации, блокировались. Это похоже на рассинхронизацию: основная модель восстанавливает смысл и продолжает диалог, а отдельный защитный слой проверяет более поверхностное представление текста. И вот тут история технически выглядит вполне знакомо.

Однако на 16 сентября 2026 года в доступных материалах нет свидетельств, что GPT-6 Astra является публично документированным продуктом. Нет и официального отчёта об этом инциденте. Поэтому эпизод нельзя подавать как установленный факт или подтверждённую уязвимость конкретной модели.

Сам механизм при этом хорошо известен. Исследование EMNLP об арабской транслитерации и Arabizi описывает обход фильтрации через понятный модели транслитерированный текст. Материалы Frontier Model Forum также относят смешение письменностей, код-свитчинг и обфускацию символов к слабым местам систем безопасности.

• Сначала нужна нормализация Unicode, пробелов, кодировок и похожих символов.
• Затем проверка смешанных письменностей, транслитерации и необычных комбинаций знаков.
• После этого семантическая классификация намерения на входе и контроль результата на выходе.

Один фильтр по словам здесь закономерно проигрывает. Я бы первым делом проверял не отдельный удачный промпт, а воспроизводимость на разных формулировках, языках и повторных запусках.

Почему единичный обход ещё ничего не доказывает

Главный вывод не в том, что некая Astra «сломана», а в том, что гардрейл без нормализации и смысловой проверки остаётся хрупким. Для разработчиков это означает более широкую поверхность тестирования: раскладки, омоглифы, транслитерация, смешанные алфавиты и переключение языков должны входить в обычный набор красной команды.

В обсуждении другой пользователь сообщил, что при его проверках гардрейлы срабатывали непоследовательно, поэтому успешный обход мог оказаться случайным. Это лишь частное наблюдение, но оно указывает на важную проблему оценки: один скриншот не отделяет системную дыру от нестабильного ответа генеративной модели.

С инженерной стороны шум вокруг названия модели здесь вторичен. Реальная проблема возникает, когда защитный классификатор понимает текст хуже, чем модель, которую он должен контролировать. Пока эти два уровня читают один запрос по-разному, неправильная раскладка остаётся не трюком, а тестом архитектуры безопасности.

Ранее мы разбирали, как Unicode-омоглифы могут вводить ИИ-агентов в заблуждение и провоцировать небезопасное поведение. Та же неоднозначность на уровне символов объясняет, почему ошибки раскладки способны ослаблять защитные фильтры.