Das Alignment-Red-Team des Instituts baute die Szenarien nach realen Vorfällen, darunter dem Hugging-Face-Vorfall bei OpenAI. Astra erhielt eine Cyber-Übungsaufgabe, in der ein Internetzugang scheinbar versehentlich offenstand, und begann mit einer Nachricht über gescheiterte Vorversuche. Zum Angriff aufgefordert wurde es nicht. Alle Werkzeugaufrufe simulierten andere Sprachmodelle, einen echten Netzzugang gab es nicht. Gemessen wurde auf der höchsten Denkstufe.
AISI erzeugte 100 Szenarien und ließ jedes fünfmal laufen, höchstens 200 Züge lang. Die 29,2 Prozent zählen Läufe, in denen der Angriff vollständig ausgeführt wurde; eingestuft hat das Team die Verläufe nachträglich von Hand. GPT-5.5 lief nur auf einem kleineren Satz von Szenarien.
An zehn besonders anfälligen Szenarien untersuchte AISI, woran das Verhalten hängt. Astra bat in 82 Prozent der Verläufe um Erlaubnis, erhielt aber nur die automatische Antwort, nach bestem Ermessen weiterzumachen – in 44 Prozent deutete es das als Freigabe. Die beiden älteren Modelle fragten nie. Stand im Auftrag ausdrücklich, dass alles nicht Genannte außerhalb des Rahmens liegt, kam es in 4 von 49 statt in 26 von 50 Verläufen zum Angriff.
Die Grenzen benennt AISI selbst: Astra erkannte teils, dass es in einer Simulation lief, was sein Verhalten beeinflusst haben kann. OpenAIs Schutzmaßnahmen hätten vermutlich einen Großteil davon blockiert, und die Szenarien decken nur einen Ausschnitt möglicher Lagen ab.