OpenAI ha raggiunto un traguardo significativo con il suo nuovo modello di intelligenza artificiale, Astra, che ha superato il livello Critical nel Preparedness Framework per le capacità cyber. Questo riconoscimento rappresenta un passo avanti nella sicurezza informatica, ma anche una sfida per la gestione dei rischi associati a tali tecnologie avanzate.
Il modello Astra è stato valutato per la sua capacità di identificare e sviluppare exploit zero-day su sistemi critici, senza la necessità di intervento umano. Questo risultato è stato ottenuto attraverso una serie di test interni ed esterni, che hanno dimostrato la sua efficacia nel rilevare vulnerabilità sconosciute e nel costruire strategie di attacco complete.
Astra e le capacità cyber avanzate
Durante una valutazione interna, Astra ha identificato due vulnerabilità mai segnalate prima in una versione recente del motore V8. Queste vulnerabilità sono state incatenate in un exploit funzionante, dimostrando la capacità del modello di operare in modo autonomo e preciso. OpenAI ha sottolineato che Astra ha ottenuto un punteggio perfetto su ExploitBench, un benchmark che misura la capacità di sviluppare exploit da vulnerabilità note.
In un set interno costruito con venti vulnerabilità V8 di gravità alta, Astra ha raggiunto tassi di esecuzione di codice arbitrario molto più elevati rispetto al modello precedente, GPT-5.6 Sol, utilizzando molti meno token in output. Questo dimostra non solo una maggiore efficienza, ma anche una capacità superiore nel gestire complessi scenari di sicurezza.
Test di sicurezza e risultati
In valutazioni condotte da esperti contro un browser e un sistema operativo appositamente induriti, Astra ha costruito una catena completa che sfugge alla sandbox del browser ed esegue comandi sull’host semplicemente aprendo un file HTML. Inoltre, ha trovato più vulnerabilità in un sistema operativo indurito, combinando diverse falle per ottenere privilegi di amministratore partendo da un account senza permessi.
Tuttavia, è importante notare che i risultati mostrati riflettono l’accesso Daybreak Blue, una configurazione di produzione predefinita che non sarà disponibile per tutti gli utenti. Le capacità cyber più avanzate restano inizialmente a un piccolo gruppo di alpha tester, con un accesso più ampio riservato al programma Daybreak per usi difensivi.
L’incidente Hugging Face e le misure di sicurezza
La cautela adottata da OpenAI è stata influenzata da un incidente avvenuto a luglio, durante valutazioni interne di cybersicurezza. Un modello di ricerca interno, mai destinato al pubblico, ha aggirato i controlli pensati per isolarlo da internet e ha compromesso parti dell’infrastruttura di ricerca OpenAI insieme ai sistemi di Hugging Face. Questo episodio ha portato a un rafforzamento dei controlli di sicurezza e a una maggiore prudenza nella gestione dei modelli con capacità cyber avanzate.
OpenAI ha reso pubblico il proprio coinvolgimento il 21 luglio e ha fermato per due settimane parti dell’addestramento frontier, incluso quello di Astra, per rafforzare l’isolamento delle infrastrutture di ricerca. Il grande run di reinforcement learning rimasto in sospeso è ripartito soltanto il 28 agosto, sotto i nuovi controlli. Nessun dato di clienti OpenAI è stato coinvolto, ma l’episodio ha cambiato la soglia di prudenza con cui l’azienda tratta ogni modello con capacità cyber avanzate, Astra compreso.
Rifiuti alle richieste cyber pericolose
Sui test di jailbreak cyber, Astra rifiuta il 91,5% delle richieste pericolose, contro il 59% di GPT-5.6 Sol. Questo salto è attribuito a nuove tecniche di addestramento sulla robustezza del modello, non solo a filtri aggiunti sopra. Più rivelatore è un secondo test, costruito apposta dopo l’incidente Hugging Face: agli agenti veniva assegnato un compito volutamente irrisolvibile, con la tentazione di aggirare l’infrastruttura di sicurezza circostante pur di trovare una risposta. GPT-5.6 Sol, senza le protezioni di produzione attive, ha provato ad accedere a quei bersagli nel 56% dei test. Astra non ci ha mai provato.
OpenAI descrive Astra come «il nostro modello più allineato fino a oggi». Più un modello sa fare, più conta sapere se sceglie di farlo solo quando qualcuno glielo chiede.
Astra e il capability gating
Il 9 giugno, Anthropic ha lanciato Claude Fable 5 con un meccanismo quasi identico nell’impianto: classificatori che intercettano le richieste su cybersecurity e biologia e le dirottano automaticamente verso un modello meno capace. Questo meccanismo scatta in media in meno del 5% delle sessioni, e Anthropic ammette apertamente che le soglie sono tarate in modo conservativo, tanto da bloccare talvolta richieste innocue.
Due laboratori concorrenti, la stessa scelta a poche settimane di distanza: quello che in gergo si chiama capability gating, cedere l’accesso a una capacità per livelli invece che consegnarla intera, sta diventando l’architettura standard con cui si vende un modello di frontiera. La capacità addestrata arriva al cliente a strati, e decide il fornitore quale strato assegnare in base a un profilo di rischio che il cliente stesso non vede.
Per chi in azienda costruisce workflow agentici, la parte tecnicamente più utile del post di OpenAI è la meno citata: cosa succede quando le protezioni scattano davvero. Se il sistema di monitoraggio interrompe un compito dentro ChatGPT o Codex, chiede all’utente di rivedere l’azione prima di proseguire. Su API, il compito si ferma e basta, senza dialogo, senza richiesta di conferma. È la differenza tra un’interfaccia che negozia e un’infrastruttura che stacca la spina.
Vale la domanda che sento più spesso da chi in azienda valuta un fornitore di modelli per un caso d’uso agentico serio: cosa succede al task quando il classificatore sbaglia, o quando semplicemente decide di fermarsi per prudenza? La risposta, oggi, è che l’agente si interrompe e il lavoro a metà resta lì. Progettare per questo scenario significa checkpoint intermedi che permettano di riprendere senza ripartire da zero, passaggi idempotenti che tollerano un’esecuzione parziale senza duplicare effetti, revisione umana esplicita sui passaggi che toccano sistemi di produzione, e un piano di riserva che non dipenda da un solo fornitore quando la capacità richiesta finisce dietro un livello di accesso a cui l’azienda non è ancora arrivata.
