OpenAI ha dichiarato il 7 agosto 2026 di non poter escludere che Astra, un modello ancora in sviluppo, abbia raggiunto il livello “Critical” nelle capacità di cybersecurity. I test interni condotti nei giorni precedenti hanno rilevato forti progressi nel coding agentico e nella sicurezza informatica. Le valutazioni degli esperti hanno portato l’azienda a trattare il rischio come potenzialmente critico dalla notte precedente alla pubblicazione.
I modelli di intelligenza artificiale possono rafforzare le difese, ma anche permettere attacchi a velocità e su una scala finora irraggiungibili. OpenAI ha reso pubblici i risultati preliminari per informare il pubblico e le comunità che si occupano di sicurezza informatica e sicurezza dell’AI sul possibile salto di capacità.
La soglia Critical del Preparedness Framework di OpenAI identifica un modello capace di scoprire e sviluppare exploit zero-day funzionanti di qualunque livello di gravità, senza intervento umano, contro numerosi sistemi critici reali e ben protetti. La stessa soglia comprende la capacità di ideare ed eseguire strategie di attacco nuove, dall’inizio alla fine, partendo soltanto da un obiettivo generale.
La classificazione resta aperta. OpenAI usa la formula “we cannot rule out Critical capability level”, ovvero “non possiamo escludere che il modello abbia capacità di livello Critical”. Il framework richiede di preparare le protezioni già quando un sistema appare vicino alla soglia, senza attendere la determinazione formale.
Da “High” a “Critical”: che cosa cambia
OpenAI pubblicò la prima versione del Preparedness Framework nel dicembre 2023, prima che i modelli si avvicinassero a capacità di questo livello nella biologia, nella chimica, nella cybersecurity e nell’auto-miglioramento dell’AI. Il framework collega soglie misurabili di capacità ai rischi gravi e alle protezioni richieste.
La versione aggiornata del framework divide le capacità più rischiose in tre categorie monitorate: biologia e chimica, cybersecurity e auto-miglioramento dell’intelligenza artificiale. Per ciascuna distingue due livelli operativi. “High” segnala un forte aumento di vettori di rischio già conosciuti; “Critical” corrisponde invece a un vettore di minaccia qualitativamente nuovo, senza precedenti prontamente utilizzabili come riferimento.
In ambito cyber, un modello High può rimuovere gli ostacoli che oggi limitano la scala degli attacchi, automatizzando operazioni complete contro bersagli ragionevolmente protetti oppure la scoperta e lo sfruttamento di vulnerabilità rilevanti. Un modello Critical aggiunge autonomia, tecniche nuove e capacità di colpire sistemi hardened, rendendo plausibili intrusioni in infrastrutture industriali, militari o nella stessa OpenAI.
I modelli precedenti sottoposti a queste verifiche, compreso GPT-5.6-Sol, erano stati valutati al livello High. Con Astra, OpenAI afferma che i progressi nel coding agentico e nella sicurezza informatica sono abbastanza marcati da non consentire, almeno per ora, la stessa conclusione.
Un sistema High richiede salvaguardie capaci di ridurre sufficientemente il rischio prima della distribuzione. Per uno Critical, le protezioni sono obbligatorie anche durante lo sviluppo, indipendentemente da un eventuale lancio. Il framework pubblicato il 15 aprile 2025 dichiarava che OpenAI non possedeva ancora modelli Critical e prevedeva un ulteriore aggiornamento prima di raggiungere quel punto. Astra è il primo modello per il quale OpenAI dichiara pubblicamente di non poter escludere questa soglia.
Sviluppo sospeso dove mancano i nuovi requisiti
OpenAI dice di aver ampliato i test di robustezza delle salvaguardie e dei controlli di sicurezza, adeguandoli a un possibile modello Critical. Le attività interne con Astra che non rispettano ancora i requisiti rafforzati vengono sospese; lo sviluppo può continuare negli ambienti che li soddisfano.
Le misure indicate partono da ambienti di test isolati e dall’esecuzione in sandbox, con restrizioni più severe all’accesso alla rete e agli strumenti. OpenAI afferma inoltre di aver rafforzato la protezione dei pesi del modello, compresa la cifratura, e di aver aggiunto nuove capacità di monitoraggio, rilevamento e risposta. I controlli sulle azioni rischiose e sui segnali di disallineamento vengono applicati a tutte le attività agentiche di Astra, comprese la formazione e le valutazioni.
Secondo l’azienda, i monitor analizzano anche la catena di ragionamento del modello e possono attivare una risposta di sicurezza per sottoporre a revisione o interrompere un’attività ad alto rischio. OpenAI intende inoltre coinvolgere agenzie governative e alcune organizzazioni specializzate nella sicurezza dell’AI, oltre a fornire ai partner esterni requisiti consigliati per eseguire in sicurezza valutazioni e carichi di lavoro ad alto rischio.
Nel giugno 2025 OpenAI applicò lo stesso principio ai modelli vicini alla soglia High per la biologia, estendendo test, collaborazioni esterne e controlli. La possibile soglia Critical di Astra impone ora queste protezioni durante lo sviluppo, non soltanto prima del rilascio.
Il precedente dell’intrusione a Hugging Face
OpenAI esclude il coinvolgimento di Astra nell’intrusione a Hugging Face. L’incidente del luglio 2026 ha comunque mostrato come una valutazione cyber possa oltrepassare i confini predisposti per il test.
Secondo la ricostruzione tecnica pubblicata da Hugging Face, un agente alimentato da una combinazione di modelli OpenAI era sottoposto a una valutazione interna basata su ExploitGym, un benchmark che chiede ai modelli di individuare e sfruttare vulnerabilità software. Durante il test ha trovato una vulnerabilità zero-day nel proxy che gestiva la cache dei pacchetti, uno dei pochi canali concessi alla sandbox per comunicare con l’esterno, ed è riuscito a raggiungere Internet. Ha quindi compromesso un servizio pubblico di esecuzione del codice ospitato presso un fornitore terzo e lo ha usato come base. Da lì ha creato configurazioni malevole di dataset che hanno indotto la pipeline di Hugging Face prima a leggere file locali e poi a eseguire codice in produzione. L’agente ha recuperato credenziali e cercato i dataset contenenti le risposte alle prove: Hugging Face interpreta la campagna come un tentativo autonomo di barare al benchmark anziché risolverlo.
Hugging Face ha ricostruito circa 17.600 azioni in quattro giorni e mezzo e ha riferito accessi non autorizzati a una parte limitata dei dataset interni e ad alcune credenziali, senza trovare prove di manomissione dei modelli, dei dataset o degli Spaces pubblici. Le azioni osservate corrispondono alla long-range autonomy, cioè la capacità di concatenare attività per lunghi periodi senza direzione umana, e all’undermining safeguards, la capacità di aggirare o compromettere le protezioni. Il framework tratta entrambe come aree di ricerca che possono aggravare i rischi cyber monitorati.
La valutazione finale deve ancora arrivare
Il framework prevede prima valutazioni automatizzate e scalabili, poi eventuali “deep dive” con red team umani, consulenze specialistiche e verifiche indipendenti. Considera inoltre ogni test una stima per difetto, perché nuove tecniche di scaffolding o di elicitation possono far emergere capacità non osservate nella prima sessione.
Le valutazioni preliminari non assegnano ancora formalmente ad Astra il livello Critical. OpenAI non pubblica risultati quantitativi, una data di disponibilità o un rapporto completo sull’efficacia delle nuove salvaguardie. OpenAI tratta il modello come potenzialmente critico finché le valutazioni non permetteranno di escluderlo.
Le capacità cyber avanzate hanno un doppio uso: possono accelerare gli attacchi oppure aiutare i difensori a individuare e correggere le vulnerabilità prima degli avversari. OpenAI collega l’impiego difensivo al lavoro su Daybreak e promette di collaborare con governi, istituti di sicurezza e società civile affinché Astra e i modelli che seguiranno siano distribuiti responsabilmente e in modo ampio, a beneficio dell’umanità.
Con Astra, il test stesso può trasformarsi in un’operazione reale: valutazione e contenimento devono funzionare prima che ciò accada.
