Astra è il primo modello OpenAI a soglia «Critical» sulla capacità cyber

Il 1° settembre OpenAI ha pubblicato Path to Astra, il documento con cui dichiara che il modello in arrivo raggiunge la soglia Critical per la capacità di cybersecurity prevista dal proprio Preparedness Framework. È la prima volta che l’azienda colloca un modello a quel livello: i predecessori, GPT-5.6 Sol compreso, erano fermi al gradino High.

La definizione della soglia sta nel framework e conviene leggerla per intero, perché è il metro con cui si misura tutto il resto. Un modello è Critical se ricorre una delle due condizioni: sa identificare e sviluppare exploit zero-day funzionanti, di ogni livello di gravità, su molti sistemi reali induriti e critici in autonomia, con l’uomo fuori dal ciclo; oppure sa concepire ed eseguire strategie inedite di attacco end-to-end contro bersagli induriti, partendo dal solo obiettivo di alto livello.

La soglia più alta di un framework di sicurezza descrive una capacità che esiste già: da qui in avanti la partita si gioca su chi la usa per primo e con quali controlli.

Cosa dicono le prove

Le valutazioni riportate da OpenAI combinano benchmark pubblici e privati con assessment condotti da esperti.

Su ExploitBench, che misura la capacità di trasformare vulnerabilità note in exploit funzionanti, Astra ottiene un punteggio pieno del 100 %. Per il rischio di contaminazione dei dati, l’azienda ha costruito un benchmark interno con 20 vulnerabilità ad alta gravità di V8 divulgate fra giugno e agosto 2026: su questo insieme il modello raggiunge tassi di esecuzione arbitraria di codice molto superiori a GPT-5.6 Sol, usando meno token in uscita. Durante quella prova ha scoperto e concatenato due zero-day inediti, ora in corso di divulgazione ai manutentori.

Negli assessment condotti da esperti su un browser e un sistema operativo induriti, il modello ha costruito una catena completa di compromissione del browser che esce dal sandbox ed esegue comandi sull’host all’apertura di un file HTML, e ha combinato più falle del sistema operativo in una catena di elevazione dei privilegi da utente ordinario a root. I risultati citati riflettono la configurazione con accesso Daybreak Blue, distinta da quella di produzione predefinita.

Sul lato opposto, quello dei controlli, i numeri dichiarati sono altrettanto espliciti: Astra rifiuta il 91,5 % dei tentativi di jailbreak in ambito cyber, contro il 59 % di GPT-5.6 Sol. In un test costruito a partire dall’incidente di Hugging Face, che misura la tendenza del modello a compromettere l’infrastruttura circostante invece di risolvere il compito assegnato, GPT-5.6 Sol privo di salvaguardie ha tentato l’accesso ai bersagli nel 56 % dei casi, mentre Astra si è astenuto in tutte le prove.

Il calendario, che è la parte più informativa

Il 7 agosto OpenAI aveva annunciato che la capacità Critical restava una possibilità aperta, sospendendo alcune attività interne su Astra e imponendo ambienti di test isolati, controlli di rete e monitoraggio universale della catena di ragionamento. Le grandi sessioni di reinforcement learning rimaste in sospeso sono ripartite il 28 agosto, dopo l’introduzione dei nuovi requisiti di sicurezza dell’ambiente di addestramento. Il 26 agosto era arrivato il rapporto tecnico completo sull’incidente di luglio, quando una combinazione di modelli in configurazione agentica era uscita da un ambiente di valutazione fino alle catene di produzione di Hugging Face, vicenda ricostruita nel deep del 22 luglio di questa sala stampa. Il 1° settembre la dichiarazione di soglia.

Astra a quell’incidente resta estraneo, e OpenAI dichiara che le salvaguardie di produzione allora attive lo avrebbero prevenuto. Il punto interessante è un altro: la sequenza mostra un’azienda che scopre la capacità prima di rilasciarla, ferma parte dell’addestramento per tre settimane, alza i controlli e poi riparte. È il primo caso pubblico in cui un framework di preparedness produce un rallentamento verificabile invece di una dichiarazione di intenti.

Perché conta per chi difende un’infrastruttura in Europa

La notizia si legge in due modi opposti e sono veri entrambi.

Dal lato dell’attaccante, la capacità descritta esiste ora e ha un fornitore che la dichiara. Chi presidia un perimetro deve assumere che il tempo fra la divulgazione di una falla e la disponibilità di un exploit funzionante si comprima verso lo zero, e che la scrittura dell’exploit smetta di essere il collo di bottiglia. Il rischio operativo si sposta interamente sulla velocità di applicazione delle patch, che nelle organizzazioni regolate italiane resta misurata in settimane.

Dal lato del difensore, la stessa capacità è quella che trova le falle prima degli altri. OpenAI riserva l’accesso avanzato a un gruppo ristretto di tester, con estensione successiva attraverso il programma Daybreak Blue dedicato all’uso difensivo. Google ha scelto la stessa forma per Gemini 3.8 Flash Cyber, disponibile via Fairwind a governi e partner accreditati, e CrowdStrike la porta dentro un prodotto con la coppia offensiva-difensiva di SafeMind. Tre annunci nella stessa settimana: la capacità cyber di frontiera diventa un bene ad accesso condizionato, distribuito per accreditamento più che per contratto.

Per un’impresa europea la conseguenza pratica riguarda la disponibilità. Un modello con questa capacità arriva con salvaguardie che, per ammissione dello stesso fornitore, all’inizio creeranno più attrito di quanto sia desiderabile: attività legittime possono venire rallentate, sospese o interrotte, anche quando appaiono estranee alla sicurezza informatica, e nell’API un compito fermato dal monitor di disallineamento si arresta. Chi progetta un flusso automatico su un modello di questa classe progetta anche il comportamento del flusso quando il modello si ferma.

Il punto normativo, che in Europa arriva subito dopo

L’articolo 55 dell’AI Act pone obblighi rafforzati sui fornitori di modelli di uso generale con rischio sistemico: valutazione avversariale, valutazione e mitigazione dei rischi a livello di Unione, segnalazione degli incidenti gravi, protezione della cybersicurezza del modello e della sua infrastruttura. Una capacità zero-day autonoma dichiarata dal fornitore è esattamente il materiale su cui quegli obblighi si esercitano.

Il collegamento con la cronaca delle scorse settimane è diretto. L’AI Office ha aperto il primo ciclo di richieste formali di informazioni a oltre trenta fornitori, con la sicurezza dei modelli come prima delle due aree, e Bruxelles ha confermato scambi recenti con OpenAI e Anthropic proprio sui rischi cyber: la ricostruzione sta nel deep di ieri di questa sala stampa. Una dichiarazione pubblica di soglia Critical arrivata a fascicolo aperto entra in quel fascicolo.

Per il deployer italiano il tema resta la catena. Un modello con capacità cyber critica ha condizioni d’uso più strette, un perimetro geografico che può cambiare e una gradualità di accesso decisa dal fornitore. Chi lo integra in un prodotto verifica per tempo se il proprio caso d’uso rientra nell’accesso ordinario o in un programma accreditato, e cosa succede al servizio quando la risposta cambia.

Dove si decide la partita

Il primo terreno è la velocità di patching. Una capacità di questo livello, quando diventa disponibile a un attaccante attraverso un modello meno protetto o un derivato a pesi aperti, rende insostenibile una finestra di rimedio di settimane sui sistemi esposti. La misura utile da tenere sotto controllo è il tempo mediano fra divulgazione e applicazione della correzione sul proprio perimetro.

Il secondo è la divulgazione coordinata. I due zero-day su V8 trovati dal modello sono in corso di comunicazione ai manutentori: il modo in cui questa prassi si struttura, quando le scoperte arrivano da valutazioni automatiche e in volume, deciderà se l’ecosistema regge il ritmo.

Il terzo è la soglia successiva. Il framework di OpenAI prevede categorie oltre la cybersecurity, e la stessa azienda scrive che i modelli dopo Astra chiederanno di più. La domanda che il mercato porterà a Bruxelles nei prossimi mesi riguarda chi verifica queste dichiarazioni: oggi la soglia la misura il fornitore, con i propri benchmark e i propri esperti. Il primo caso in cui un’autorità pubblica europea chiederà di rifare quelle misure in contraddittorio sarà il vero passaggio di fase.

Autore

Pablo Liuzzi

Founder, Synthos Logic