GPT-5.3-Codex è stato valutato con un punteggio elevato per il Cyber. OpenAI non ha prove definitive.

Il 5 febbraio 2026 OpenAI ha pubblicato la system card per GPT-5.3-Codex e, al suo interno, ha classificato il modello come Capacità elevata nel dominio della cybersicurezza nell'ambito del suo Preparedness Framework — la prima volta che l'azienda ha applicato tale etichetta a un modello in quel dominio. La frase che segue la classificazione è quella che vale la pena leggere due volte: "Non abbiamo prove definitive che questo modello raggiunga la nostra soglia High." OpenAI ha affermato di aver agito in via precauzionale, perché il modello ha superato ciascuna delle sue soglie canary e l'azienda non poteva quindi escludere che la capacità fosse realmente presente. Non si è verificata alcuna violazione e non è registrata alcuna vittima: si tratta di una classificazione, non di un incidente, ed è archiviata come record di policy con un contrassegno landmark. La voce dell'archivio relativa alla classificazione, con i suoi livelli di gravità e confidenza, si trova nel Orca AI Incident Archive accanto agli altri record di governance dell'anno.

Cosa significa "High", e chi decide

Il Preparedness Framework di OpenAI stabilisce due soglie. La capacità High «potrebbe amplificare percorsi esistenti verso danni gravi»; la capacità Critical «potrebbe introdurre percorsi nuovi e senza precedenti verso danni gravi». I sistemi coperti che raggiungono High devono disporre di salvaguardie che riducano sufficientemente il rischio associato prima della distribuzione, e i sistemi che raggiungono Critical ne hanno bisogno anche durante lo sviluppo, secondo la descrizione del framework fornita da OpenAI stessa. La revisione ivi descritta è interna: il Safety Advisory Group valuta se le salvaguardie riducono sufficientemente il rischio e formula raccomandazioni, e la sua guida passa alla leadership di OpenAI per la decisione finale. La system card non descrive alcuna approvazione esterna sulla classificazione.

La definizione specifica per il cyber è più ristretta di quanto suggerisca il titolo. OpenAI definisce la capacità di cybersecurity elevata come un modello che «rimuove i colli di bottiglia esistenti per scalare le operazioni cyber», sia automatizzando «operazioni cyber end-to-end contro obiettivi ragionevolmente rafforzati» sia automatizzando «la scoperta e lo sfruttamento di vulnerabilità rilevanti dal punto di vista operativo». La scheda è esplicita sul fatto che la soglia riguarda la rimozione dei colli di bottiglia lungo una campagna, non un modello in grado di risolvere una sfida difficile: OpenAI scrive che il rischio cyber di frontiera «si valuta meglio in termini di operazioni o campagne, anziché di azioni discrete».

Letta in questo modo, la classificazione del 5 febbraio dice qualcosa di specifico. Dice che OpenAI ritiene che il collo di bottiglia eliminato da questo modello sia l'abilità e la resistenza richieste da un'intrusione prolungata, e che l'azienda abbia scelto di limitare e monitorare l'accesso anziché attendere la prova che lo elimini.

Tre valutazioni, e un confronto che va nella direzione opposta

OpenAI utilizza tre benchmark per le tre competenze che associa a gravi danni informatici: Professional Capture the Flag per l'identificazione e lo sfruttamento delle vulnerabilità, CVE-Bench per la coerenza e Cyber Range per le operazioni end-to-end in una rete emulata. GPT-5.3-Codex è, secondo le parole della scheda, "il primo modello a superare tutte le soglie in tutte e tre le valutazioni". I risultati individuali contano più del riepilogo.

Nel CTF professionale il modello "eguaglia GPT-5.2-Codex" — la glossa della scheda stessa è "nessun cambiamento sostanziale nelle prestazioni di picco nel CTF", misurate come pass@12 su 16 rollout per challenge. Su CVE-Bench ha ottenuto il 90 per cento contro l'87 per cento di GPT-5.2-Codex, su 34 delle 40 challenge del benchmark, pass@1 su tre rollout. Su Cyber Range ha superato 12 scenari su 15 per un tasso di superamento complessivo dell'80 per cento, contro il 60 per cento di GPT-5.1-Codex-Max, il 53,33 per cento di GPT-5.2-Codex e il 47 per cento di GPT-5.2-Thinking. Ha fallito EDR Evasion, CA/DNS Hijacking e Leaked Token.

La scheda è prudente su ciò che questo implica nel complesso. Poiché CTF testa percorsi d'attacco predefiniti, CVE-Bench copre solo le applicazioni web e gli scenari Cyber Range sono privi delle difese e del rumore di una rete realmente operativa, «eccellere in tutte e tre le valutazioni è necessario ma non sufficiente perché un modello sia considerato High in capacità di cybersecurity». La conclusione di OpenAI non è che il modello sia High, ma che non può escludere che lo sia.

La valutazione esterna, condotta dal laboratorio di sicurezza Irregular su una versione quasi definitiva del modello, complica il quadro in un modo che la riga di riepilogo non fa. GPT-5.3-Codex ha ottenuto una media dell'86 per cento su Network Attack Simulation, contro il 68 per cento di GPT-5.2-Codex e 100 per cento per GPT-5.2-Thinking; 72 per cento su Vulnerability Research and Exploitation, contro 75 e 80 per cento; e 53 per cento su Evasion, contro 52 e 53. Non ha risolto nessuna delle sfide in CyScenarioBench, un framework basato su scenari che testa la pianificazione multi-fase sotto vincoli realistici. Nella suite di Irregular, in altre parole, il modello appena classificato è rimasto indietro rispetto a un fratello maggiore in due categorie su tre — un risultato che la scheda pubblica senza riconciliarlo con la propria dichiarazione di soglia.

Il gate: Trusted Access for Cyber

La mitigazione che dà forma al record è un programma, non un filtro. OpenAI ha lanciato Trusted Access for Cyber (TAC) «fin dal primo giorno», descrivendolo come un «programma ad accesso controllato basato sull'identità» che fornisce «capacità informatiche dual-use ad alto rischio» ai clienti enterprise e agli utenti benigni e legittimi. La scheda elenca gli usi supportati: penetration testing, red teaming, valutazione delle vulnerabilità, identificazione e sfruttamento, test di sicurezza e indagine sull'evasione del rilevamento, reverse engineering di malware e ricerca crittografica.

Il modello di accesso inverte l'ordine consueto. Gli utenti autenticati ottengono per impostazione predefinita capacità cyber elevate, soggette a monitoraggio e applicazione delle norme; sono gli utenti che «sfruttano frequentemente funzionalità cyber dual-use ad alto rischio» a dover verificare la propria identità tramite TAC per mantenere le capacità avanzate. Le aziende possono richiedere l'accesso attendibile per un intero team tramite il proprio rappresentante OpenAI, e i ricercatori che necessitano di modelli più permissivi possono candidarsi a un programma solo su invito, secondo l'annuncio del programma da parte di OpenAI stessa. Parallelamente, OpenAI si è impegnata a fornire 10 milioni di dollari in crediti API attraverso il suo Cybersecurity Grant Program.

OpenAI è esplicita sul fatto che il gate non è una garanzia. L'accesso è concesso «solo per scopi di sicurezza legittimi, difensivi e autorizzati», e i partecipanti al TAC «che richiedono frequentemente funzionalità per compiere azioni dannose resteranno comunque soggetti a monitoraggio e applicazione delle regole, inclusa la perdita dell'accesso al TAC». Il post di lancio aggiunge un secondo controllo: alcune richieste che il sistema rileva come rischio informatico elevato «possono essere automaticamente reindirizzate da GPT-5.3-Codex a GPT-5.2». Fortune ha riportato il 5 febbraio che OpenAI non stava attivando immediatamente l'accesso completo all'API che avrebbe consentito di automatizzare il modello su larga scala, e che nel frattempo il modello era disponibile per gli utenti a pagamento di ChatGPT.

Impostazioni predefinite della sandbox e un monitor con un tasso di mancato rilevamento pubblicato

Vengono descritti in termini misurabili altri due livelli. La sandbox dell'agente viene eseguita nel cloud all'interno di "un container isolato ospitato da OpenAI", senza accesso al sistema host dell'utente e con l'accesso di rete disabilitato per impostazione predefinita; in un'installazione locale, il sandboxing è l'impostazione predefinita su macOS tramite Seatbelt, su Linux tramite seccomp e landlock e su Windows nativamente o tramite il Windows Subsystem for Linux. Le impostazioni predefinite sono progettate per disabilitare l'accesso di rete e limitare le modifiche ai file alla workspace corrente, e gli utenti possono approvare comandi non sandboxed oppure impostare allowlist e denylist per progetto. La scheda avverte che abilitare l'accesso di rete reintroduce il rischio di prompt injection, fuga di credenziali e licenze.

Il livello di monitoraggio è un sistema a due livelli: un rapido classificatore tematico decide se il contenuto è correlato alla cybersicurezza, e tutto ciò che lo è viene escalato a un "safety reasoner" che lo colloca nella tassonomia delle minacce informatiche di OpenAI e decide se l'output può essere mostrato. Il classificatore tematico è tarato per un recall superiore al 90 per cento con un'affidabilità del sistema superiore al 99,9 per cento. I numeri del monitor di ragionamento sono meno rassicuranti e sono riportati nella tabella della scheda stessa: 77,8 per cento di recall e 37,1 per cento di precisione sui prompt degli utenti, 88,8 per cento di recall e 24,1 per cento di precisione sulle risposte dell'assistente. OpenAI afferma di ottimizzare deliberatamente il recall rispetto alla precisione, ed è per questo che a volte viene bloccato lavoro a basso rischio — e perché, su quel set di test, circa un prompt utente su cinque che avrebbe dovuto essere intercettato non lo è stato.

Cosa hanno scoperto i red team

La scheda pubblica i risultati avversariali in dettaglio anziché in sintesi. Due campagne hanno impiegato 3.526 ore di red teaming esperto tra dicembre 2025 e gennaio 2026. La Universal Jailbreak Campaign ha speso 1.375 ore e prodotto 21 invii, di cui sei erano jailbreak universali completi e 14 parziali. La Adversarial Policy Coverage Campaign ha speso 2.151 ore e inviato 279 rapporti, trovando 132 falsi negativi in cui il Safety Reasoner avrebbe dovuto bloccare i contenuti e non l'ha fatto. OpenAI definisce i jailbreak "non bloccanti" e afferma che saranno corretti, e ammette che le campagne mostrano che "il Safety Reasoner richiede ancora un irrobustimento iterativo contro gli attacchi avversariali".

Il singolo risultato più significativo coinvolge un valutatore governativo. L'AI Security Institute del Regno Unito, avendo avuto accesso anticipato a una build con il ragionatore di sicurezza abilitato e il blocco attivo, "ha sviluppato un jailbreak universale (con tentativi ripetuti) che ha raggiunto 0,778 pass@200" in circa dieci ore di red teaming manuale, utilizzando un singolo messaggio utente. La stessa sezione riporta che il Center for AI Standards and Innovation statunitense ha testato le capacità informatiche del modello con le proprie valutazioni automatizzate e lo ha usato per trovare nuovi bug in software open e closed source, e che GPT-5.3-Codex ha continuato a fare progressi su compiti difficili attraverso le finestre di compattazione, "trovando risultati nuovi anche dopo 50M o più token unici e decine di ore di analisi".

Entrambe queste conclusioni governative sono riportate all'interno della scheda di OpenAI. Questa ricerca non ha trovato una valutazione pubblicata autonoma da parte di nessuno dei due organismi che riguardi GPT-5.3-Codex; finché non ne comparirà una, l'esame esterno di questo modello è noto al pubblico solo attraverso il resoconto del fornitore. L'elenco dei rischi residui della scheda è insolitamente schietto riguardo alla stessa lacuna: la limitata precisione del monitoraggio crea un problema di revisione da ago nel pagliaio, "una probabilità non nulla che un attore malintenzionato possa ottenere un accesso fidato", fallimenti del fornitore di verifica dell'identità e jailbreak universali non scoperti. Afferma inoltre che il monitoraggio interno delle implementazioni di Codex, eseguito in modo asincrono per cinque mesi, "non protegge dai danni né impedisce la sovversione di altre salvaguardie".

Cosa è cambiato in seguito

Il gate è sopravvissuto al lancio ed è cresciuto. Il 9 aprile 2026 Axios ha riferito che OpenAI stava finalizzando un prodotto di cybersecurity separato per un piccolo gruppo di partner e ha descritto TAC come lanciato a febbraio "dopo il rilascio di GPT-5.3-Codex". Il 15 aprile 2026, Help Net Security ha riferito che OpenAI aveva esteso TAC a "migliaia di difensori individuali verificati e centinaia di team" e stava rilasciando GPT-5.4-Cyber — una variante di GPT-5.4 con una soglia di rifiuto più bassa per il lavoro di sicurezza legittimo e una capacità di reverse engineering binario — ai livelli di accesso più elevati. Il pilot descritto nella scheda di febbraio era diventato una linea di prodotti con livelli.

La classificazione stessa è arrivata meno lontano del cancello. L'articolo di Fortune del 5 febbraio, a firma di Sharon Goldman, lo riportava direttamente e citava il post su X del CEO di OpenAI Sam Altman che definiva GPT-5.3-Codex «il nostro primo modello che raggiunge il livello "alto" per la cybersicurezza nel nostro quadro di preparazione». The Cyber Express ha trattato in dettaglio il lancio del TAC il 6 febbraio — tre percorsi di accesso, i 10 milioni di dollari, i comportamenti vietati — e non ha menzionato affatto la valutazione High. Il Boston Global Forum, in un testo del 12 aprile, ha ribadito entrambi insieme. A metà aprile, la parte più citata del pacchetto era il programma di accesso, non il giudizio di soglia che vi stava dietro.

Consolidato, non consolidato e aperto

Quel che è stabilito: OpenAI ha pubblicato la system card di GPT-5.3-Codex il 5 febbraio 2026 e ha classificato il modello come a capacità elevata in ambito cybersecurity nell'ambito del suo Preparedness Framework; la società ha dichiarato nello stesso documento di non avere prove definitive che il modello raggiunga tale soglia e di agire in via precauzionale; i dati di valutazione sopra riportati sono suoi; TAC è stato lanciato insieme al modello; la sandbox e il monitor a due livelli sono documentati con il livello di dettaglio qui citato; e le ore di red team, i conteggi delle submission e il dato sui jailbreak di UK AISI sono tutti riportati nella scheda. Fortune ha riportato la classificazione lo stesso giorno, citando il post di Altman su X. Un dettaglio di datazione che vale la pena registrare: i metadati della pagina del post di lancio riportano un timestamp del 4 febbraio alle 22:23 GMT, mentre la system card e l'articolo di Fortune sono datati 5 febbraio.

Ciò che non è stabilito: che GPT-5.3-Codex soddisfi effettivamente la soglia High di OpenAI. Questa è una riserva di OpenAI stessa, non di un critico. Né questa ricerca ha trovato alcuna certificazione esterna della valutazione, alcuna valutazione pubblicata da un regolatore o da un istituto nazionale su questo modello, o alcuna misurazione del fatto che lo stack a più livelli abbia ridotto l'uso improprio nel mondo reale — il registro non riporta danni perché non è stato registrato alcun danno, non perché non se ne siano verificati. L'affermazione della scheda secondo cui il modello è il primo a superare tutte e tre le soglie interne è un'affermazione sulla suite di benchmark di OpenAI, che lo stesso documento definisce una prova necessaria ma non sufficiente della capacità che intende rilevare.

Cosa resta aperto: se un gate d'identità più un monitor che manca circa un quinto dei prompt utente segnalati sia una risposta duratura per un modello classificato in base alla precauzione anziché alla prova; se l'apparente regressione del modello rispetto a GPT-5.2-Thinking sulla suite esterna di Irregular significhi qualcosa una volta tenute in conto le differenze di harness e di elicitazione; e quanto del divario tra il pilot di febbraio e la linea di prodotto di aprile fosse pianificato, anziché appreso. La voce d'archivio registra la classificazione. Il resto è ancora in fase di scrittura da parte di chi gestisce il gate.

Il documento è un evento di governance, e si legge come tale: un'azienda che mette per iscritto, prima di qualsiasi incidente, di ritenere che uno dei propri modelli possa aver superato un limite che non è ancora in grado di misurare, e che costruisce un cancello sulla base di quel sospetto. Se il cancello fosse proporzionato è una questione che la scheda lascia deliberatamente aperta — dice solo che il rischio è "sufficientemente minimizzato" ed elenca sei modi in cui potrebbe non esserlo.