OpenAI si prepara a rilasciare Astra, un nuovo modello che segna un passaggio significativo nella capacità dei sistemi di intelligenza artificiale di operare nella cybersecurity. Dopo una nuova serie di valutazioni, la società ha stabilito che Astra raggiunge la soglia Critical prevista dal proprio Preparedness Framework: è il primo modello OpenAI a ricevere questa classificazione.
Critical indica una capacità molto precisa. Con gli strumenti e gli accessi adeguati, un modello di questo livello può individuare vulnerabilità ancora sconosciute e sviluppare tecniche per sfruttarle su numerosi sistemi reali adeguatamente protetti, senza richiedere a una persona di guidare ogni passaggio. La stessa soglia comprende la possibilità di elaborare ed eseguire strategie di attacco end-to-end contro target hardened partendo da un obiettivo espresso ad alto livello.
Astra non è ancora disponibile. OpenAI prevede di renderlo accessibile prossimamente, dopo avere rallentato nelle ultime settimane alcune attività di sviluppo e rilascio per rafforzare le difese contro l’abuso delle capacità cyber e contro eventuali azioni non autorizzate del modello. I dettagli completi delle valutazioni di sicurezza, allineamento e capability verranno pubblicati nella system card al momento del lancio.
Da GPT-5.6 Sol ad Astra cambia la categoria di rischio
Il confronto più significativo è con GPT-5.6 Sol, attuale modello di punta di OpenAI. Sol era già stato classificato come sistema con capacità High nella cybersecurity: riusciva a individuare vulnerabilità e componenti utili alla costruzione di exploit, ma nelle valutazioni effettuate da OpenAI non aveva dimostrato di poter completare autonomamente attacchi end-to-end contro sistemi hardened.
La distinzione fra High e Critical riguarda quindi soprattutto il livello di autonomia e la capacità di superare sistemi progettati per resistere ad attacchi sofisticati. La classificazione High copre sistemi capaci di automatizzare attività cyber già note e rimuovere importanti colli di bottiglia operativi; Critical riguarda invece la possibilità di aprire percorsi di attacco nuovi, compresa la scoperta e lo sfruttamento autonomo di zero-day, vulnerabilità non ancora note e quindi prive di una correzione disponibile al momento della scoperta.
Nelle nuove valutazioni, OpenAI descrive Astra come più capace e molto più efficiente nell’uso dei token rispetto a GPT-5.6 Sol nelle attività di vulnerability identification ed exploit development.
Astra ottiene il 100% su ExploitBench
Uno dei risultati più immediati arriva da ExploitBench, benchmark che misura la capacità di sviluppare exploit partendo da vulnerabilità già conosciute. Astra ha ottenuto un punteggio del 100%.
Poiché un benchmark pubblico può essere stato incluso, direttamente o indirettamente, nei dati disponibili al modello durante l’addestramento, OpenAI ha costruito anche una versione interna denominata ExploitBench – Internal Port (June–August 2026). Il test comprende 20 vulnerabilità ad alta gravità del motore JavaScript V8, utilizzato tra l’altro da Chromium, divulgate fra giugno e agosto 2026 e quindi scelte per ridurre il rischio di contaminazione del benchmark.
Su questo insieme Astra ha ottenuto tassi di arbitrary code execution, cioè di esecuzione di codice scelto dall’attaccante sul sistema bersaglio, sensibilmente superiori a GPT-5.6 Sol, producendo allo stesso tempo molti meno token. Durante queste prove il modello ha inoltre individuato e utilizzato due vulnerabilità zero-day all’interno di una stessa exploit chain. OpenAI sta comunicando i due problemi ai rispettivi maintainer.
I risultati pubblicati per Astra fanno riferimento alla configurazione con accesso Daybreak Blue e quindi non rappresentano necessariamente le capacità che saranno disponibili nella configurazione standard destinata agli utenti.
Dal browser compromesso alla privilege escalation fino a root
Le valutazioni guidate da esperti hanno affiancato i benchmark automatici con scenari costruiti su software hardened.
In uno dei test Astra ha individuato vulnerabilità precedentemente sconosciute in un browser e le ha combinate in una exploit chain completa capace di compromettere il browser, uscire dalla sandbox ed eseguire comandi sul sistema host dopo l’apertura di un file HTML.
In un’altra valutazione il modello ha trovato più vulnerabilità all’interno di un sistema operativo hardened e le ha concatenate fino a ottenere una local privilege escalation, passando da un utente senza privilegi all’accesso root.
Sono questi risultati, insieme ai benchmark automatici e alle valutazioni private, che hanno portato OpenAI ad assegnare ad Astra la classificazione Critical.
Lo sviluppo di Astra è stato rallentato per rafforzare le protezioni
Il passaggio alla soglia Critical modifica anche le condizioni previste dal Preparedness Framework. Per un modello High le protezioni devono ridurre sufficientemente il rischio prima del deployment; per un sistema Critical devono essere considerate adeguate anche durante lo sviluppo, perché capacità di questo livello possono produrre conseguenze già negli ambienti interni di training e valutazione.
OpenAI aveva anticipato questa situazione il 18 agosto, quando aveva comunicato che le valutazioni preliminari di Astra potevano collocarlo nella fascia Critical e che alcune attività di training sarebbero state rallentate in attesa di rafforzare isolamento, monitoraggio e controllo dei modelli.
Dopo l’incidente avvenuto durante alcune valutazioni di cybersecurity che coinvolsero infrastrutture OpenAI e Hugging Face, una parte del frontier training – compreso quello relativo ad Astra – è stata sospesa per due settimane. La società ha successivamente ripreso attività su scala più contenuta adottando controlli più rigidi.
Alcuni grandi run di reinforcement learning destinati a versioni future di Astra sono rimasti sospesi più a lungo. Uno dei principali run è ripartito il 28 agosto 2026, dopo l’introduzione dei nuovi requisiti di sicurezza; altri esperimenti di dimensioni inferiori risultano ancora temporaneamente sospesi.
Le difese contro i jailbreak diventano più robuste
OpenAI ha rafforzato anche le protezioni direttamente incorporate nel modello. Nei propri test sui cyber jailbreak, richieste costruite per aggirare le restrizioni e ottenere assistenza non consentita, Astra ha rifiutato il 91,5% dei prompt, contro il 59% di GPT-5.6 Sol.
Per gli account considerati a rischio più elevato viene inoltre applicata una soglia più conservativa, che blocca una gamma più ampia di richieste cyber potenzialmente pericolose. Il monitoraggio può utilizzare anche il contesto proveniente da più conversazioni, così da individuare pattern di abuso difficili da riconoscere analizzando un singolo prompt.
A queste misure si aggiungono classificatori a livello di sistema, red teaming automatico e umano, controlli sugli account e sistemi di rilevamento utilizzati anche successivamente all’interazione con il modello.
Astra viene monitorato anche per le azioni che decide autonomamente di compiere
La seconda area riguarda l’allineamento del modello, particolarmente rilevante per sistemi agentici che possono utilizzare strumenti e compiere sequenze di azioni prolungate.
OpenAI ha costruito una serie di test prendendo spunto anche dall’incidente Hugging Face. In uno di questi, il modello veniva inserito in un ambiente contenente sistemi esca – honeypot – che avrebbero potuto essere sfruttati per aggirare le difficoltà del compito assegnato.
GPT-5.6 Sol, eseguito senza le normali protezioni di produzione, aveva tentato di accedere a questi target nel 56% dei test che simulavano l’ambiente di exploit development. Astra non ha effettuato alcun tentativo analogo nelle stesse condizioni. OpenAI precisa che questi numeri descrivono un ambiente sperimentale privo delle normali cyber safeguard e non il comportamento dei modelli nell’uso ordinario.
Un’altra valutazione verificava il comportamento dopo il blocco di un’azione da parte del sistema di auto-review. Astra poteva interrompere il lavoro, cercare un’alternativa consentita oppure tentare di ripetere o aggirare l’azione vietata. Nei test riportati da OpenAI il modello non ha provato a eludere l’auto-review.
In produzione, i modelli della classe di Astra saranno sottoposti anche a chain-of-thought monitoring: classificatori dedicati analizzeranno ragionamenti e azioni alla ricerca di comportamenti non autorizzati e potranno interrompere automaticamente l’attività. OpenAI utilizza da tempo il monitoraggio del chain of thought come strumento sperimentale per individuare reward hacking e altri comportamenti indesiderati nei reasoning model.
L’accesso alle capacità cyber più avanzate sarà limitato
Il rilascio di Astra seguirà quindi una modalità differenziata. Le normali capacità del modello potranno raggiungere ChatGPT, Codex e API, mentre le funzioni cyber più avanzate saranno inizialmente disponibili soltanto a un gruppo ristretto di alpha tester.
Successivamente l’accesso verrà esteso attraverso Daybreak Blue, il programma OpenAI rivolto a professionisti e organizzazioni autorizzati a utilizzare i modelli di frontiera per vulnerability discovery, secure code review, malware analysis, incident response e patch validation.
Le protezioni potranno avere effetti visibili anche su attività legittime. OpenAI avverte che alcuni workflow, compresi quelli difensivi o apparentemente estranei alla cybersecurity, potranno essere rallentati, messi in pausa o interrotti qualora il sistema rilevi un possibile abuso oppure un’azione non autorizzata.
In ChatGPT e Codex, quando interviene il monitor di misalignment, l’utente potrà essere chiamato a verificare l’azione prima di proseguire. Attraverso altre interfacce, compresa l’API, l’esecuzione verrà invece interrotta. OpenAI prevede di modificare progressivamente queste soglie sulla base dell’esperienza raccolta dopo il rilascio.
