OpenAI non ha potuto escludere una capacità cyber critica in Astra e ha messo in pausa solo una parte del suo lavoro.

Venerdì 7 agosto 2026, OpenAI ha pubblicato un post in cui affermava che le sue ultime valutazioni interne di Astra, uno dei suoi modelli futuri, indicavano «progressi significativi nella programmazione agentica e nella cybersicurezza» e che non poteva escludere che il modello raggiungesse Critical — il livello cyber più alto nel suo Preparedness Framework. La conclusione è stata raggiunta «la scorsa notte», si legge nel post, dopo diversi giorni di test. Nulla è stato danneggiato: il post descrive valutazioni, non un'intrusione, e OpenAI ha dichiarato che Astra «non è stata coinvolta nello sfruttamento di Hugging Face». Ciò che è cambiato è stato interno — lo sviluppo che non rispettava i controlli di sicurezza rafforzati è stato sospeso, mentre il lavoro che li rispettava è proseguito. Le persone più direttamente interessate sono gli sviluppatori di OpenAI, insieme ai tester e ai difensori che prima o poi avrebbero ottenuto l'accesso. Il resoconto della decisione è una voce in l'archivio degli incidenti dell'IA, che contiene le fonti, la valutazione e le voci vicine di questo incidente.

Per un evento di governance, l’aspetto sorprendente è quanto poco affermi il post. Non riporta alcun punteggio, alcun risultato di test, alcuna trascrizione e nessun valutatore esterno indicato per nome. Riporta un giudizio: che, sulla base delle prove disponibili, OpenAI non poteva escludere un livello di capacità che non aveva mai assegnato prima a nessuno dei suoi modelli. Ciò rende il documento degno di essere letto come due cose insieme — una divulgazione su un modello e una prova per verificare se il quadro di sicurezza di un’azienda cambi ciò che l’azienda fa.

Cosa significa "Critical" nel framework di OpenAI

Il Preparedness Framework, pubblicato per la prima volta nel dicembre 2023 e revisionato nella versione 2 il 15 aprile 2025, monitora tre categorie: capacità biologiche e chimiche, cybersicurezza e auto-miglioramento dell'IA. Ognuna ha due livelli di capacità, Alto e Critico. La soglia di cybersicurezza è formulata in termini quasi identici sia nel framework sia nel post di agosto di OpenAI: un modello raggiunge il livello Critico se è in grado di "individuare e sviluppare exploit zero-day funzionanti di tutti i livelli di gravità in molti sistemi critici reali e rafforzati senza intervento umano", oppure se è in grado di "ideare ed eseguire strategie innovative end-to-end per attacchi informatici contro obiettivi rafforzati, a partire unicamente da un obiettivo desiderato di alto livello".

High è il livello inferiore. Il post di OpenAI afferma che i modelli precedenti, «incluso GPT-5.6 Sol», sono stati valutati per le capacità cyber di frontiera e classificati come High anziché Critical. La distinzione conta perché il framework attribuisce obblighi diversi a ciascuno. Per un modello che raggiunge Critical, il framework richiede salvaguardie che «riducano sufficientemente i rischi associati durante lo sviluppo, indipendentemente dai piani di distribuzione». La sua tabella cyber è più diretta: «Finché non avremo specificato salvaguardie e standard di controlli di sicurezza che soddisfino uno standard Critical, interrompere l'ulteriore sviluppo».

La formulazione del 7 agosto non è una designazione. Il post afferma che le sue "valutazioni preliminari indicano prestazioni sufficientemente solide da non poter escludere, al momento, il livello di capacità Critica". L'azienda stava ancora effettuando benchmarking, e lo ha dichiarato.

Cosa ha fatto OpenAI e cosa comprendeva la pausa

Il post elenca cinque misure interne, tutte formulate come condizioni per proseguire il lavoro anziché come motivi per interromperlo:

• Controlli di sicurezza più rigorosi per i modelli con capacità superiori e le attività correlate: "ambienti di test isolati, accesso limitato alla rete e agli strumenti, protezioni e crittografia potenziate dei pesi dei modelli, ulteriori capacità di monitoraggio e rilevamento, ed esecuzione in sandbox".

• Una pausa sulle «attività interne che coinvolgono Astra e che non soddisfano ancora questi requisiti rafforzati di controllo della sicurezza». Le attività che li rispettavano potevano continuare.

• "Monitoraggio universale delle azioni rischiose e del disallineamento in tutte le applicazioni agentiche di Astra, compresi addestramento e valutazione", con monitor che leggono la catena di pensiero del modello e attivano una risposta di sicurezza per esaminare e interrompere le attività ad alto rischio.

• Test con "agenzie governative competenti e alcune organizzazioni selezionate per la sicurezza dell'IA."

• Controlli di sicurezza consigliati per i partner di test di terze parti che eseguono valutazioni e carichi di lavoro ad alto rischio.

OpenAI ha descritto essa stessa il precedente. "A giugno 2025, quando i nostri modelli si avvicinavano alla soglia di elevate capacità per la biologia nell'ambito del Preparedness Framework," si legge nel post, l'azienda ha delineato misure per rafforzare le tutele, ampliare i test, collaborare con esperti esterni e aggiungere controlli di sicurezza, e stava "applicando lo stesso principio anche in questo caso". Il dettaglio che vale la pena conservare è il livello: la stessa descrizione di OpenAI colloca quel caso di biologia di giugno 2025 al livello Alto, un livello sotto la valutazione cyber che stava ora rendendo nota.

La lettura immediata della stampa è stata che un laboratorio avesse premuto il freno. The Next Web, che ha pubblicato alle 17:36 UTC del 7 agosto, ha descritto una pausa di «alcuni lavori interni» mentre i test proseguivano, e ha riportato che Axios lo ha definito «forse la prima volta che un laboratorio di frontiera ha rallentato uno dei propri modelli per il rischio informatico». Questa è una descrizione corretta dell'annuncio. Non equivale a un arresto, e il post non ne rivendica uno.

Ciò che il post del 7 agosto non stabilisce

Il divario tra "non si può escludere" e "ha raggiunto" racchiude tutta l'incertezza del resoconto, e il post non tenta di colmarlo. Non fornisce alcun nome di benchmark, alcun tasso di successo, alcun numero di vulnerabilità individuate, alcuna descrizione dei sistemi testati, alcuna trascrizione, alcuna valutazione indipendente e alcuna data di rilascio. Non dice quale delle due condizioni Critical Astra stesse avvicinando, né di quanto. Dice solo che le prove erano sufficientemente forti perché l'azienda non potesse escludere il livello più alto.

Quindi il record, a quella data, stabilisce una divulgazione e una risposta — non una capacità misurata. Il giudizio sulla capacità è di OpenAI stessa, basato su valutazioni interne che non aveva pubblicato; OpenAI non ha indicato alcun valutatore esterno, e nessun laboratorio esterno aveva testato pubblicamente Astra rispetto alla definizione Critical. La voce è classificata al massimo livello di confidenza, contrassegnata come indiscussa e registrata senza danni reali, il che corrisponde a ciò che il post contiene effettivamente: una dichiarazione aziendale, non un rapporto di incidente.

Cosa è successo dopo

Entro il 1° settembre 2026 la formulazione provvisoria era cambiata. In un articolo successivo intitolato "Percorso verso Astra: capacità critiche e salvaguardie di frontiera", OpenAI ha scritto: "Ora riteniamo che Astra soddisfi la soglia critica di capacità di cybersecurity prevista dal nostro Preparedness Framework... È il primo modello che designiamo a questo livello."

Lo stesso post ha fornito i dettagli specifici che la divulgazione di agosto aveva omesso. Vale la pena separarli per tipo:

• Benchmark.Astra ha ottenuto il 100% su ExploitBench, un benchmark pubblico per trasformare vulnerabilità note in exploit. A causa di timori di contaminazione, OpenAI ha anche creato una versione interna contenente 20 vulnerabilità V8 ad alta gravità divulgate tra giugno e agosto 2026; su quel set, si legge nel post, Astra ha scoperto e utilizzato «due vulnerabilità zero-day nell'ambito di una catena di exploit», che OpenAI ha affermato di essere in procinto di segnalare ai manutentori.

• Valutazioni condotte da esperti.Contro un browser rafforzato, Astra ha costruito una catena che ha aggirato la sandbox ed eseguito comandi sull'host; la scheda di sistema registra che il successo iniziale ha richiesto 29 ore contro una build che gli esperti hanno stabilito essere priva di alcune mitigazioni di produzione, e che l'adattamento dell'exploit alla versione stabile ufficiale ha richiesto ulteriori 12 ore. Contro un sistema operativo rafforzato, ha combinato vulnerabilità in un'escalation di privilegi locale da un utente senza privilegi a root entro 12 ore.

• Tassi di rifiuto. Nelle valutazioni di jailbreak informatico di OpenAI, Astra ha rifiutato il 91,5% delle richieste, contro il 59% di GPT-5.6 Sol — un dato che la scheda di sistema riproduce.

• Un controllo indipendente, con un limite. La scheda del sistema, pubblicata il 3 settembre 2026 per il modello che OpenAI ha rilasciato quel giorno come GPT-6 Astra, include una valutazione esterna del laboratorio di sicurezza Irregular. Irregular ha rilevato che Astra ha risolto 86 delle 226 sfide FrontierCyber, contro 34 delle 226 di GPT-5.6 Sol, incluse vulnerabilità zero-day che interessano browser, telefoni cellulari e database cloud. Ha inoltre "osservato che non vi sono stati attacchi riusciti ai target completamente rafforzati", e nessuno dei due modelli ha risolto alcuna delle sette sfide Elite.

Il post del 1° settembre ha anche rivelato la struttura della pausa. OpenAI ha dichiarato di aver "ritardato parti dello sviluppo e del rilascio di Astra" nelle ultime settimane e di aver "riavviato la grande esecuzione RL di frontiera che era stata precedentemente messa in pausa" il 28 agosto 2026, dopo che i nuovi requisiti di sicurezza e protezione erano stati messi in atto. L'accesso era a livelli: il lavoro avanzato di cybersicurezza sarebbe andato prima a un piccolo gruppo di tester, seguito dal programma Daybreak Blue.

Stabilito, provvisorio e non stabilito

• Confermato. OpenAI ha pubblicato l'informativa il 7 agosto 2026 e ha dichiarato di non poter escludere una capacità cyber critica in Astra; ha elencato i controlli e la pausa parziale descritti sopra. The Next Web ha riportato il post lo stesso giorno, e Axios lo ha trattato come un rallentamento dovuto al rischio cyber.

• Stabilito in seguito. Il 1° settembre 2026 OpenAI ha designato Astra come modello che soddisfa la soglia Critica — il primo modello da essa designato a quel livello — e ha pubblicato i risultati dei benchmark e delle valutazioni degli esperti. La scheda di sistema del 3 settembre riporta lo stesso dato sui rifiuti e la valutazione esterna di Irregular.

• Provvisorio e autovalutato. La conclusione sulle capacità è di OpenAI, basata sulle valutazioni di OpenAI. Al 7 agosto, nessun laboratorio esterno aveva testato pubblicamente il modello rispetto alla definizione Critical, e il post non nominava alcun valutatore esterno. Il successivo controllo esterno, condotto da Irregular, è più limitato della designazione e ha esplicitamente constatato che nessun attacco è riuscito contro target completamente irrobustiti.

• Non è stabilito. Che Astra abbia effettivamente raggiunto la soglia Critical il 7 agosto; il post afferma solo che l'azienda non poteva escluderlo. Che un qualsiasi sistema reale sia stato compromesso: il registro non riporta alcun danno, e OpenAI ha dichiarato che Astra non era coinvolta nell'incidente di Hugging Face. Né è stabilito che la pausa parziale abbia soddisfatto la formulazione del quadro stesso «halt further development» — OpenAI ha continuato il lavoro che rispettava i suoi nuovi controlli, e l'azienda, non un organo esterno, ha giudicato l'adeguatezza di tali controlli.

La questione di governance che il verbale lascia aperta

Il quadro è uno strumento di auto-vincolo. Impegna OpenAI a soglie e salvaguardie, e lascia a OpenAI la valutazione e la decisione sulla sufficienza, con revisione interna da parte del suo Safety Advisory Group e supervisione del consiglio di amministrazione. Il post del 7 agosto descrive una consultazione — agenzie governative e "organizzazioni selezionate per la sicurezza dell'IA" avrebbero testato il modello — ma non nomina alcun regolatore, non pubblica criteri e non fissa alcuna data. Nulla nella documentazione mostra una parte esterna che verifichi tale decisione.

Ciò che il verbale mostra davvero è che l’apparato si è mosso. Una valutazione delle capacità ha cambiato le pratiche interne nel giro di un giorno: i controlli sono stati rafforzati, parte del lavoro è stata interrotta, il monitoraggio è stato esteso alla formazione e alla valutazione, e l’accesso alle funzioni più capaci è stato successivamente limitato ai tester. Questo è più di un comunicato stampa, e meno di una verifica esterna.

La parte irrisolta è quella che il quadro non può risolvere da solo. «Non si può escludere» è un'affermazione riguardante le prove, non la capacità, e lascia all'azienda decidere quanta evidenza sia sufficiente prima di riprendere. OpenAI ha riavviato la grande sessione di addestramento il 28 agosto, ha designato il modello Critical il 1° settembre e lo ha rilasciato come GPT-6 Astra il 3 settembre. Ogni passo è documentato. Se ciascun passo dovesse avvenire quando è avvenuto è un giudizio che il resoconto registra ma a cui non risponde.