OpenAI no pudo descartar una capacidad cibernética crítica en Astra y solo pausó parte de su trabajo

El viernes 7 de agosto de 2026, OpenAI publicó una entrada en la que decía que sus últimas evaluaciones internas de Astra, uno de sus próximos modelos, indicaban "avances significativos en codificación agéntica y ciberseguridad", y que no podía descartar que el modelo alcanzara Critical — el nivel de ciberseguridad más alto de su Preparedness Framework. La conclusión se alcanzó "anoche", dice la entrada, tras varios días de pruebas. Nada resultó dañado: la entrada describe evaluaciones, no una intrusión, y OpenAI afirmó que Astra "no estuvo involucrado en la explotación de Hugging Face". Lo que cambió fue interno: se pausó el desarrollo que no cumplía los controles de seguridad reforzados, mientras que el trabajo que sí los cumplía continuó. Las personas más directamente afectadas son los desarrolladores de OpenAI, junto con los probadores y defensores que acabarían obteniendo acceso. El registro de la decisión es una entrada en el archivo de incidentes de IA, que contiene las fuentes, la calificación y las entradas vecinas de este incidente.

Para tratarse de un evento de gobernanza, lo llamativo es lo poco que afirma la publicación. No informa de ninguna puntuación, ningún resultado de prueba, ninguna transcripción y ningún evaluador externo nombrado. Informa de un juicio: que, según la evidencia disponible, OpenAI no pudo descartar un nivel de capacidad que nunca antes había asignado a ninguno de sus modelos. Eso hace que el registro merezca leerse como dos cosas a la vez: una revelación sobre un modelo y una prueba de si el propio marco de seguridad de una empresa cambia lo que hace la empresa.

Qué significa «Critical» en el framework de OpenAI

El Preparedness Framework, publicado por primera vez en diciembre de 2023 y revisado en la versión 2 el 15 de abril de 2025, da seguimiento a tres categorías: capacidades biológicas y químicas, ciberseguridad y auto-mejora de la IA. Cada una tiene dos niveles de capacidad, Alto y Crítico. El umbral de ciberseguridad aparece con palabras casi idénticas tanto en el marco como en la publicación de OpenAI de agosto: un modelo alcanza el nivel Crítico si puede "identificar y desarrollar exploits funcionales de día cero de todos los niveles de gravedad en muchos sistemas críticos reales reforzados sin intervención humana", o si puede "idear y ejecutar estrategias novedosas de extremo a extremo para ciberataques contra objetivos reforzados contando únicamente con un objetivo deseado de alto nivel".

Alto es el nivel inmediatamente inferior. La publicación de OpenAI indica que los modelos anteriores, «incluido GPT-5.6 Sol», fueron evaluados por sus capacidades cibernéticas de frontera y clasificados como Alto en lugar de Crítico. La distinción importa porque el marco asigna obligaciones diferentes a cada uno. Para un modelo que alcanza el nivel Crítico, el marco exige salvaguardias que «minimicen suficientemente los riesgos asociados durante el desarrollo, independientemente de los planes de despliegue». Su tabla de ciberseguridad es más contundente: «Hasta que hayamos especificado salvaguardias y estándares de controles de seguridad que cumplan con un estándar Crítico, detengan el desarrollo adicional».

La redacción del 7 de agosto no es una designación. La publicación afirma que sus «evaluaciones preliminares indican un rendimiento suficientemente sólido como para que no podamos descartar el nivel de capacidad Critical en este momento». La empresa todavía estaba realizando evaluaciones comparativas, y así lo dijo.

Lo que hizo OpenAI y lo que abarcó la pausa

La publicación enumera cinco medidas internas, todas planteadas como condiciones para continuar el trabajo en lugar de como razones para detenerlo:

• Controles de seguridad más estrictos para los modelos de mayor capacidad y las actividades relacionadas: "entornos de pruebas aislados, acceso restringido a la red y a las herramientas, protecciones y cifrado reforzados de los pesos de los modelos, capacidades adicionales de monitorización y detección, y ejecución en sandbox".

• Una pausa en "las actividades internas que involucran a Astra y que aún no cumplen estos requisitos reforzados de controles de seguridad". El trabajo que los cumplía podría continuar.

• "Monitoreo universal de acciones riesgosas y desalineación en todas las aplicaciones agénticas de Astra, incluyendo el entrenamiento y la evaluación", con monitores que leen la cadena de pensamiento del modelo y activan una respuesta de seguridad para revisar e interrumpir la actividad de alto riesgo.

• Pruebas con "organismos gubernamentales relevantes y determinadas organizaciones de seguridad de la IA".

• Controles de seguridad recomendados para socios externos de pruebas que ejecutan evaluaciones y cargas de trabajo de mayor riesgo.

OpenAI describió el propio precedente. «En junio de 2025, cuando nuestros modelos se acercaban al umbral de alta capacidad para biología bajo el Marco de Preparación», señala la publicación, la empresa esbozó medidas para reforzar las salvaguardas, ampliar las pruebas, trabajar con expertos externos y añadir controles de seguridad, y estaba «aplicando el mismo principio aquí». El detalle que merece la pena conservar es el nivel: el propio relato de OpenAI sitúa ese caso de biología de junio de 2025 en Alto, un nivel por debajo de la evaluación de ciberseguridad que ahora estaba divulgando.

La lectura inmediata de la prensa fue que un laboratorio había pisado el freno. The Next Web, al publicar a las 17:36 UTC del 7 de agosto, describió una pausa de parte del trabajo interno mientras las pruebas continuaban, e informó que Axios lo calificó como "posiblemente la primera vez que un laboratorio de frontera ha frenado uno de sus propios modelos por riesgo cibernético". Esa es una descripción justa del anuncio. No es lo mismo que una paralización, y la publicación no afirma que lo sea.

Lo que no establece la publicación del 7 de agosto

La diferencia entre «no se puede descartar» y «ha alcanzado» constituye toda la incertidumbre del registro, y la publicación no intenta cerrarla. No ofrece ningún nombre de benchmark, ninguna tasa de éxito, ningún número de vulnerabilidades encontradas, ninguna descripción de los sistemas probados, ninguna transcripción, ninguna evaluación independiente y ninguna fecha de publicación. No dice cuál de las dos condiciones Críticas estaba alcanzando Astra, ni por cuánto. Solo dice que la evidencia era lo suficientemente sólida como para que la empresa no pudiera excluir el nivel superior.

Así que el registro, a esa fecha, establece una divulgación y una respuesta, no una capacidad medida. El juicio sobre la capacidad es del propio OpenAI, formulado a partir de evaluaciones internas que no había publicado; OpenAI no nombró a ningún evaluador externo, y ningún laboratorio externo había probado públicamente a Astra conforme a la definición Crítica. La entrada está calificada con el nivel de confianza más alto, marcada como indiscutida y registrada sin daños reales, lo que encaja con lo que la publicación contiene en realidad: una declaración de la empresa, no un informe de incidente.

¿Qué pasó después?

Para el 1 de septiembre de 2026 el lenguaje provisional había cambiado. En un seguimiento titulado "Camino a Astra: capacidades críticas y salvaguardas de frontera," OpenAI escribió: "Ahora consideramos que Astra cumple el umbral de capacidad de ciberseguridad Crítica según nuestro Preparedness Framework... Es el primer modelo que designamos en este nivel."

La misma publicación proporcionó los detalles concretos que la divulgación de agosto había omitido. Vale la pena separarlos por tipo:

• Benchmarks. Astra obtuvo un 100 % en ExploitBench, un benchmark público para convertir vulnerabilidades conocidas en exploits. Debido a inquietudes por contaminación, OpenAI también creó una versión interna que contiene 20 vulnerabilidades de alta gravedad en V8 divulgadas entre junio y agosto de 2026; en ese conjunto, según la publicación, Astra descubrió y utilizó "dos vulnerabilidades de día cero como parte de una cadena de exploits", que OpenAI dijo que estaba en proceso de divulgar a los mantenedores.

• Evaluaciones dirigidas por expertos.Frente a un navegador reforzado, Astra construyó una cadena que escapó del sandbox y ejecutó comandos en el host; la ficha del sistema registra que el éxito inicial tomó 29 horas contra una compilación que, según determinaron los expertos, carecía de algunas mitigaciones de producción, y que adaptar el exploit a la versión estable oficial tomó 12 horas más. Frente a un sistema operativo reforzado, combinó vulnerabilidades para lograr una escalada de privilegios local desde un usuario sin privilegios hasta root en 12 horas.

• Tasas de rechazo. En las evaluaciones de jailbreak cibernético de OpenAI, Astra rechazó el 91,5% de las solicitudes, frente al 59% de GPT-5.6 Sol — una cifra que reproduce la tarjeta del sistema.

• Una verificación independiente, con un límite. La ficha del sistema, publicada el 3 de septiembre de 2026 para el modelo que OpenAI lanzó ese día como GPT-6 Astra, incluye una evaluación externa del laboratorio de seguridad Irregular. Irregular descubrió que Astra resolvió 86 de los 226 desafíos de FrontierCyber, frente a 34 de 226 de GPT-5.6 Sol, incluidos zero-days que afectan a navegadores, teléfonos móviles y bases de datos en la nube. También «no observó ningún ataque exitoso contra objetivos totalmente reforzados», y ninguno de los dos modelos resolvió ninguno de los siete desafíos Elite.

La publicación del 1 de septiembre también reveló la forma de la pausa. OpenAI dijo que había "retrasado partes del desarrollo y lanzamiento de Astra" durante las últimas semanas, y que había "reiniciado la gran ejecución de RL de frontera que se había pausado previamente" el 28 de agosto de 2026, después de que los nuevos requisitos de seguridad y protección estuvieran implementados. El acceso estaba escalonado: el trabajo avanzado en ciberseguridad iría primero a un pequeño grupo de probadores, y después seguiría el programa Daybreak Blue.

Establecido, provisional y no establecido

• Confirmado.OpenAI publicó la divulgación el 7 de agosto de 2026 y señaló que no podía descartar una capacidad cibernética crítica en Astra; enumeró los controles y la pausa parcial descritos anteriormente. The Next Web informó sobre la publicación ese mismo día, y Axioslo cubrió como una desaceleración por riesgo cibernético.

• Establecido posteriormente. El 1 de septiembre de 2026, OpenAI designó a Astra como cumpliendo el umbral Crítico —el primer modelo que había designado en ese nivel— y publicó los resultados de benchmarks y de evaluaciones de expertos. La tarjeta de sistema del 3 de septiembre recoge la misma cifra de rechazos y la evaluación externa de Irregular.

• Provisional y autoevaluado. El hallazgo sobre capacidades es de OpenAI, basado en las evaluaciones de OpenAI. A 7 de agosto, ningún laboratorio externo había probado públicamente el modelo frente a la definición Crítica, y la publicación no mencionaba a ningún evaluador externo. La comprobación externa posterior, realizada por Irregular, es más limitada que la designación y encontró explícitamente que no se produjeron ataques exitosos contra objetivos completamente endurecidos.

• No se ha establecido. Que Astra alcanzara realmente el umbral Crítico el 7 de agosto; la publicación solo dice que la empresa no podía descartarlo. Que se comprometiera algún sistema real: el registro no consigna ningún daño, y OpenAI declaró que Astra no estuvo involucrada en el incidente de Hugging Face. Tampoco está establecido que la pausa parcial satisficiera la propia frase del marco «detener el desarrollo ulterior» — OpenAI continuó el trabajo que cumplía sus nuevos controles, y la empresa, no un organismo externo, juzgó la suficiencia de esos controles.

La cuestión de gobernanza que el registro deja abierta

El marco es un instrumento de autovinculación. Compromete a OpenAI con umbrales y salvaguardias, y deja la evaluación y la decisión sobre la suficiencia en manos de OpenAI, con revisión interna por parte de su Grupo Asesor de Seguridad y supervisión del consejo. La publicación del 7 de agosto describe una consulta —agencias gubernamentales y "determinadas organizaciones de seguridad de IA" probarían el modelo— pero no nombra a ningún regulador, no publica ningún criterio ni fija ninguna fecha. Nada en el registro muestra que una parte externa esté verificando esa decisión.

Lo que el registro sí muestra es que la maquinaria se movió. Una evaluación de capacidades cambió la práctica interna en el plazo de un día: se reforzaron los controles, se detuvo parte del trabajo, la supervisión se amplió al entrenamiento y la evaluación, y posteriormente se restringió a los encargados de pruebas el acceso a las funciones más capaces. Eso es más que un comunicado de prensa y menos que una verificación externa.

La parte no resuelta es la que el marco no puede resolver por sí solo. “No se puede descartar” es una afirmación sobre la evidencia, no sobre la capacidad, y deja en manos de la empresa decidir cuánta evidencia es suficiente antes de reanudar. OpenAI reinició la gran ejecución de entrenamiento el 28 de agosto, designó el modelo como Crítico el 1 de septiembre y lo lanzó como GPT-6 Astra el 3 de septiembre. Cada paso está documentado. Si cada paso debería haber ocurrido cuando ocurrió es un juicio que el registro recoge, pero no responde.