OpenAI ha presentato GPT-6 Astra come il proprio modello di intelligenza artificiale più avanzato. Ma il dato destinato probabilmente a pesare di più nel dibattito sulla sicurezza non riguarda i record nei benchmark, la capacità di programmare o la velocità con cui riesce a utilizzare un computer.
Riguarda quello che succede quando Astra viene messo nelle condizioni di cercare una vulnerabilità informatica.
Il nuovo modello raggiunge infatti per la prima volta la soglia “Critical” prevista dal Preparedness Framework di OpenAI per la cybersecurity. È una classificazione che fotografa una capacità concreta: Astra può individuare vulnerabilità precedentemente sconosciute e arrivare a sviluppare modalità per sfruttarle contro sistemi protetti. Durante le valutazioni condotte prima del lancio, il modello ha persino scoperto e utilizzato due vulnerabilità zero-day che OpenAI afferma di avere successivamente comunicato ai rispettivi sviluppatori.
Ed è proprio qui che emerge il paradosso. Mentre le capacità aumentano, OpenAI riconosce che uno degli strumenti utilizzati finora per capire cosa stia facendo un modello avanzato sta diventando meno affidabile.
Dal 78,5 al 100% nei test sugli exploit
I numeri pubblicati dall’azienda rendono evidente la dimensione del salto.
Su ExploitBench, utilizzato per valutare la capacità di trasformare vulnerabilità software note in exploit funzionanti, Astra raggiunge il 100%, contro il 78,5% di GPT-5.6 Sol. Su ExploitGym arriva al 42,4%, rispetto al 30,3% del predecessore.
OpenAI ha cercato anche di affrontare un’obiezione inevitabile: un modello potrebbe conoscere alcune vulnerabilità semplicemente perché sono presenti nei dati utilizzati durante l’addestramento.
Per questo è stato predisposto un test basato su vulnerabilità molto recenti, risalenti al periodo giugno-agosto 2026. Anche qui Astra ha mostrato capacità nettamente superiori a GPT-5.6 Sol e, durante la valutazione, ha individuato le due vulnerabilità zero-day che non erano precedentemente note. Nei test condotti senza le protezioni previste per il prodotto commerciale, secondo OpenAI il modello è stato inoltre capace di utilizzare vulnerabilità sconosciute per ottenere l’esecuzione arbitraria di codice in browser sottoposti a protezioni avanzate e di creare exploit per l’escalation dei privilegi nei sistemi operativi.
È una differenza sostanziale. Un sistema capace di spiegare come funziona una vulnerabilità conosciuta è uno strumento avanzato di assistenza. Un sistema che può contribuire autonomamente alla scoperta di una vulnerabilità sconosciuta entra in un territorio differente.
Non è un hacker automatico lasciato senza controlli
La distinzione è importante anche per evitare di trasformare i risultati dei test in uno scenario più estremo di quello documentato.
Il modello distribuito agli utenti non viene lasciato operare con le stesse libertà utilizzate nelle valutazioni delle capacità. OpenAI afferma di avere rafforzato le protezioni contro gli abusi e Astra rifiuterà alcune richieste cyber avanzate, compresa la creazione di proof-of-concept exploit per vulnerabilità.
L’azienda utilizza inoltre classificatori e sistemi automatici capaci di analizzare ragionamento e azioni dell’agente e interrompere attività considerate non autorizzate. In ChatGPT o Codex una procedura può quindi essere rallentata o sospesa in attesa dell’intervento dell’utente; attraverso API, in determinate circostanze, l’attività viene fermata.
Il problema, tuttavia, diventa più interessante proprio osservando il funzionamento di questi sistemi di sicurezza.
Astra è più allineato, ma il suo ragionamento è meno leggibile
OpenAI sostiene che Astra sia complessivamente più sicuro e più rispettoso dei limiti imposti dall’utente rispetto ai modelli precedenti. In una valutazione citata dall’azienda, GPT-5.6 Sol, senza le protezioni di produzione, aveva oltrepassato il bersaglio autorizzato nel 48% dei casi; Astra non lo avrebbe fatto in nessuno dei test.
Contemporaneamente emerge però un segnale apparentemente opposto.
OpenAI scrive che il ragionamento testuale di Astra è risultato più difficile da monitorare rispetto a quello di GPT-5.6 Sol, in particolare nelle prove progettate espressamente per verificare la capacità del modello di eludere il monitoraggio.
L’azienda attribuisce il risultato al maggiore controllo che Astra esercita sul proprio ragionamento scritto nei compiti più semplici e alla capacità di risolvere problemi utilizzando meno passaggi espliciti. Nei compiti complessi, secondo OpenAI, il modello continuerebbe invece ad avere difficoltà a nascondere il ragionamento necessario alla soluzione. Ma il deterioramento della monitorabilità viene considerato abbastanza significativo da essere indicato come una priorità di ricerca.
È probabilmente questo il punto più importante dell’intero lancio.
Se non possiamo leggere le tracce, bisogna controllare ciò che il modello può fare
Per anni una delle ipotesi della sicurezza dei sistemi avanzati è stata che osservare le loro tracce di ragionamento potesse contribuire a individuare comportamenti indesiderati prima che producessero conseguenze.
Astra mostra quanto questa strategia rischi di diventare fragile.
Più un modello diventa capace di comprimere i passaggi intermedi, selezionare ciò che rende esplicito e controllare le informazioni presenti nel proprio ragionamento scritto, meno è prudente considerare quelle tracce come una finestra affidabile sulle sue intenzioni.
La conseguenza pratica è importante: la sicurezza deve spostarsi sempre più dal tentativo di capire che cosa il modello “sta pensando” al controllo verificabile di ciò che gli viene materialmente consentito di fare.
Significa delimitare accesso alla rete, strumenti utilizzabili, credenziali, database, capacità di eseguire codice, risorse economiche e numero di operazioni effettuabili. Significa soprattutto mantenere sistemi di registrazione e controllo esterni al modello stesso.
In altre parole, se l’intelligenza artificiale diventa meno trasparente mentre aumenta la propria autonomia operativa, il vero interruttore di sicurezza deve trovarsi fuori dall’intelligenza artificiale.
Astra arriva in ChatGPT, API, Azure e AWS
La distribuzione iniziale è limitata a un gruppo di organizzazioni, ma OpenAI prevede di estendere Astra nei prossimi giorni agli utenti ChatGPT Plus, Pro, Business ed Enterprise e di renderlo disponibile tramite API, Microsoft Azure e Amazon Bedrock. Per gli amministratori Enterprise l’accesso sarà disattivato per impostazione predefinita al momento del lancio.
Il prezzo standard annunciato per le API è di 10 dollari per milione di token in input e 50 dollari per milione di token in output. OpenAI prevede inoltre una modalità più veloce con un costo doppio.
Per l’Europa si apre una questione che va oltre il singolo modello
Il salto delle capacità cyber pone inevitabilmente anche una questione europea.
Il regolamento europeo sull’intelligenza artificiale prevede obblighi specifici per i modelli di IA per finalità generali con rischio sistemico. Astra rende particolarmente concreta una domanda destinata ad accompagnare l’evoluzione dei modelli di frontiera: quando un sistema acquisisce capacità operative che possono incidere sulla sicurezza informatica, quanto possono bastare le protezioni predisposte dal fornitore?
Per imprese e pubbliche amministrazioni europee il punto dovrebbe essere ancora più concreto. L’arrivo di modelli di questa classe non dovrebbe tradursi automaticamente nel collegamento diretto dell’IA a sistemi di produzione, archivi sensibili o infrastrutture critiche.
Ambienti isolati, privilegi minimi, autorizzazioni granulari, registri indipendenti delle operazioni e possibilità di interrompere localmente l’attività dell’agente diventano elementi centrali dell’architettura di sicurezza.
Astra, insomma, racconta molto più dell’ennesima corsa ai benchmark.
Per la prima volta OpenAI porta sul mercato un modello che la stessa azienda colloca sulla soglia critica delle capacità cyber e, nello stesso momento, documenta un peggioramento nella possibilità di sorvegliarne il ragionamento scritto.
Il progresso dell’intelligenza artificiale sta così producendo una nuova equazione: più i modelli diventano capaci di agire, meno possiamo permetterci di affidare la loro sicurezza alla capacità di osservarli mentre ragionano.
