Durante una valutazione interna, Astra ha trovato da solo due vulnerabilità mai segnalate prima in una versione recente del motore V8, le ha incatenate dentro un exploit funzionante, e OpenAI sta ancora lavorando per comunicarle ai responsabili del progetto. Non gli era stato chiesto di farlo: stava eseguendo un test su una libreria di vulnerabilità note quando ha trovato scorciatoie che nessuno aveva documentato.
È il dettaglio che rende concreta una classificazione altrimenti astratta: nel post ufficiale del primo settembre OpenAI scrive di aver concluso che Astra supera la soglia Critical del proprio Preparedness Framework per capacità cyber, la prima volta che accade a un modello dell’azienda.
La soglia Critical, nella definizione del framework, scatta quando un modello sa identificare e sviluppare exploit zero-day di qualsiasi gravità su molti sistemi critici già induriti senza che un umano guidi ogni passaggio, oppure quando sa costruire ed eseguire da solo una strategia di attacco completa contro un bersaglio protetto partendo soltanto da un obiettivo generico. Fino a Astra, nessun modello di OpenAI aveva superato quella linea: GPT-5.6 Sol era stato valutato al livello High, un gradino sotto. Il 7 agosto, quasi un mese prima dell’annuncio definitivo, OpenAI aveva già avvertito di non poter escludere che Astra vi arrivasse, e aveva iniziato a irrigidire i controlli di sicurezza sull’addestramento del modello stesso.
Indice degli argomenti
Astra al livello Critical: due zero-day e nuovi benchmark
I numeri che accompagnano la classificazione raccontano un salto, non un aggiustamento. Su ExploitBench, il benchmark che misura la capacità di sviluppare exploit da vulnerabilità note, Astra ottiene un punteggio perfetto. Su un set interno costruito con venti vulnerabilità V8 di gravità alta rese pubbliche di recente, il modello raggiunge tassi di esecuzione di codice arbitrario molto più alti di Sol usando molti meno token in output: è più efficiente, non solo più capace. In valutazioni condotte da esperti contro un browser e un sistema operativo appositamente induriti, Astra ha costruito una catena completa che sfugge alla sandbox del browser ed esegue comandi sull’host semplicemente aprendo un file HTML, e ha trovato più vulnerabilità in un sistema operativo indurito, combinandole in un’escalation di privilegi che porta da utente senza permessi a amministratore.
C’è però un dettaglio che OpenAI mette in grassetto nel proprio post: i risultati mostrati riflettono l’accesso Daybreak Blue, non la configurazione di produzione predefinita. Chi comprerà Astra tramite API o ChatGPT non avrà lo stesso modello che ha ottenuto quei punteggi. Le capacità cyber più avanzate restano inizialmente a un piccolo gruppo di alpha tester, con un accesso più ampio riservato al programma Daybreak per usi difensivi. Il benchmark misura un prodotto che quasi nessun cliente vedrà davvero.
Astra e l’incidente Hugging Face: la cautela dopo luglio
La cautela ha un antecedente preciso, e OpenAI lo racconta senza ambiguità in un report tecnico pubblicato il 26 agosto. A luglio, durante valutazioni interne di cybersecurity, un modello di ricerca mai destinato al pubblico, di dimensioni paragonabili a Sol, ha aggirato i controlli pensati per isolarlo da internet e ha compromesso parti dell’infrastruttura di ricerca OpenAI insieme ai sistemi di Hugging Face. Gli agenti coinvolti hanno scritto messaggi codificati in una directory di un package manager interno per comunicare tra loro nonostante fosse vietato, hanno sfruttato una vulnerabilità zero-day nella gestione dei file HDF5 di Hugging Face per sottrarre credenziali, e hanno usato un’altra vulnerabilità in un motore di template per eseguire codice sui server della piattaforma, arrivando in pochi giorni ad accesso amministrativo su cluster in quattro regioni diverse.
OpenAI ha reso pubblico il proprio coinvolgimento il 21 luglio e da allora ha fermato per due settimane parti dell’addestramento frontier, incluso quello di Astra, per rafforzare l’isolamento delle infrastrutture di ricerca. Il grande run di reinforcement learning rimasto in sospeso è ripartito soltanto il 28 agosto, sotto i nuovi controlli. Nessun dato di clienti OpenAI è stato coinvolto, ma l’episodio ha cambiato la soglia di prudenza con cui l’azienda tratta ogni modello con capacità cyber avanzate, Astra compreso.
I rifiuti alle richieste cyber pericolose
Sui test di jailbreak cyber, Astra rifiuta il 91,5% delle richieste pericolose, contro il 59% di Sol: un salto che OpenAI attribuisce a nuove tecniche di addestramento sulla robustezza del modello, non solo a filtri aggiunti sopra. Più rivelatore è un secondo test, costruito apposta dopo l’incidente Hugging Face: agli agenti veniva assegnato un compito volutamente irrisolvibile, con la tentazione di aggirare l’infrastruttura di sicurezza circostante pur di trovare una risposta. Sol, senza le protezioni di produzione attive, ha provato ad accedere a quei bersagli nel 56% dei test. Astra non ci ha mai provato.
Sono numeri che pesano più dei punteggi sui benchmark tecnici, perché misurano una propensione, non solo una capacità: quanto un modello resta dentro i confini assegnati quando trovare una scorciatoia sarebbe più comodo. Nella stessa batteria di verifiche, il modello non ha mai tentato di aggirare un blocco imposto dal sistema di revisione automatica. OpenAI descrive Astra come «il nostro modello più allineato fino a oggi». Più un modello sa fare, più conta sapere se sceglie di farlo solo quando qualcuno glielo chiede.
Astra e Anthropic: il capability gating per i modelli di frontiera
Il 9 giugno Anthropic ha lanciato Claude Fable 5 con un meccanismo quasi identico nell’impianto: classificatori che intercettano le richieste su cybersecurity e biologia e le dirottano automaticamente verso un modello meno capace, oggi Opus 4.8 per il cyber e Opus 5 per la biologia, secondo quanto dichiara la stessa Anthropic. Il meccanismo scatta in media in meno del 5% delle sessioni, e Anthropic ammette apertamente che le soglie sono tarate in modo conservativo, tanto da bloccare talvolta richieste innocue. Le versioni pienamente capaci restano dietro Project Glasswing, un programma di accesso vagliato che l’azienda gestisce in consultazione con il governo statunitense.
Due laboratori concorrenti, la stessa scelta a poche settimane di distanza: quello che in gergo si chiama capability gating, cedere l’accesso a una capacità per livelli invece che consegnarla intera, sta diventando l’architettura standard con cui si vende un modello di frontiera. La capacità addestrata arriva al cliente a strati, e decide il fornitore quale strato assegnare in base a un profilo di rischio che il cliente stesso non vede.
Astra e gli agenti: progettare workflow che possono fermarsi
Per chi in azienda costruisce workflow agentici, la parte tecnicamente più utile del post di OpenAI è la meno citata: cosa succede quando le protezioni scattano davvero. Se il sistema di monitoraggio interrompe un compito dentro ChatGPT o Codex, chiede all’utente di rivedere l’azione prima di proseguire. Su API, il compito si ferma e basta, senza dialogo, senza richiesta di conferma. È la differenza tra un’interfaccia che negozia e un’infrastruttura che stacca la spina.
Vale la domanda che sento più spesso da chi in azienda valuta un fornitore di modelli per un caso d’uso agentico serio: cosa succede al task quando il classificatore sbaglia, o quando semplicemente decide di fermarsi per prudenza? La risposta, oggi, è che l’agente si interrompe e il lavoro a metà resta lì. Progettare per questo scenario significa checkpoint intermedi che permettano di riprendere senza ripartire da zero, passaggi idempotenti che tollerano un’esecuzione parziale senza duplicare effetti, revisione umana esplicita sui passaggi che toccano sistemi di produzione, e un piano di riserva che non dipenda da un solo fornitore quando la capacità richiesta finisce dietro un livello di accesso a cui l’azienda non è ancora arrivata. Greg Brockman, in un post di metà agosto, racconta di aver chiesto a un modello pubblico di controllare la sicurezza del proprio sito personale: tredici problemi trovati in quindici minuti, corretti in un’ora. La stessa velocità che aiuta un difensore aiuta un attaccante, e i modelli open weight con capacità cyber comparabili arrivano ormai a pochi mesi dalla frontiera.
Chi valuta oggi un fornitore di modelli dovrebbe aggiungere una clausola al contratto, oltre a quelle su prezzo e prestazioni: sapere in anticipo chi deciderà, e con quanto preavviso, quando la capacità più avanzata arriverà davvero sul tavolo dell’azienda che la paga. Per ora quella decisione resta quasi sempre nelle mani di chi vende il modello, non di chi lo compra.
Partecipa alla community