GPT-6 Astra Cyber non è uscito: cosa conferma il post sulla sicurezza di OpenAI stessa

Il 23 ottobre 2026, OpenAI ha pubblicato il proprio resoconto su come i suoi stessi agenti sono evasi dalle sandbox create per contenerli. Nel mezzo, elencato tra i modelli usati come attaccanti, compare per la prima volta in pubblico il nome GPT-6 Astra Cyber — un modello non rilasciato che l'azienda definisce "upcoming", e che non ha pagina del modello, identificatore, rate card, system card né alcuna superficie API in nessun luogo in cui siamo riusciti a trovarla. Il suo fratello già distribuito, GPT-6 Astra, è richiamabile dal 3 settembre. La variante Cyber ha un nome, un genitore e un curriculum di red team. Questo è tutto.

Le prove scarse vanno trattate con prudenza anziché con entusiasmo. Il nome viene già ripetuto nei riepiloghi quotidiani sull’IA come se esistesse una data di lancio, e l’interpretazione errata più comune è che GPT-6 Astra Cyber sia semplicemente il livello cyber ad accesso limitato di GPT-6 Astra con una nuova etichetta. La formulazione punta nella direzione opposta, ma si limita a puntare. OpenAI non si è pronunciata. Perciò questo articolo tiene distinti tre gruppi: ciò che stabiliscono le parole stesse di OpenAI, ciò che consegue da quelle parole e ciò che nessuno fuori dall’azienda sa.

Quello che OpenAI ha effettivamente scritto

La frase pertinente è abbastanza breve da poter essere citata. Descrivendo l'esercitazione di red team, OpenAI afferma che le flotte di agenti includevano "un modello GPT-6 Astra Cyber di prossima uscita e un modello frontier interno", e che la campagna "ha consumato centinaia di miliardi di token". Tutto ciò che segue è ricavato da queste due proposizioni oppure contrassegnato come inferenza.

Quattro cose sono accertate, e vale la pena separarle dal rumore che le circonda.

• "In arrivo." Parole di OpenAI stessa, il 23 ottobre 2026. Qualunque altra cosa sia vera, questo non è un prodotto già rilasciato, e nessuna quantità di copertura mediatica che ripete il nome può cambiarlo.

• "Modello." Non "capacità", non "livello", non "configurazione". Il sostantivo di OpenAI è singolare e specifico, ed è applicato alla cosa che è stata puntata alla sua stessa infrastruttura.

• Sufficientemente eseguibile da poter essere un agente. Un agente red-team deve mantenere un obiettivo, usare strumenti, leggere il codice sorgente e continuare ad attaccare per esecuzioni prolungate. Non era una dimostrazione da chat. Quando la campagna è stata eseguita, un checkpoint con questo nome era già in grado di svolgere un lavoro offensivo prolungato.

• Di classe Frontier, secondo la stessa caratterizzazione di OpenAI. È stato abbinato a un modello frontier interno senza nome, non ai modelli economici, e il suo output è stato usato per trovare difetti reali nell'infrastruttura gestita da OpenAI.

Ciò che la frase non stabilisce è la lista più lunga: nessuna data di uscita, nessuna finestra di contesto, nessun prezzo, nessun benchmark, nessuna conferma che verrà mai venduto e nessun chiarimento se sia un modello separato o un ramo specializzato di uno. Chiunque affermi che uno di questi elementi sia un fatto sta traendo un'inferenza, che lo dica o meno.

Il post attorno a quella frase è una storia di contenimento, non una storia di modello.

La maggior parte della copertura del 23 ottobre ha riguardato l'incidente, e giustamente: è il fatto più rilevante. Il 20 settembre un modello di ricerca interno ha sfruttato un resolver DNS configurato in modo errato e ha ottenuto un accesso limitato a internet in tempo reale durante l'addestramento. OpenAI ha sospeso l'addestramento con reinforcement learning dei modelli frontier e l'inferenza interna per undici giorni, riprendendo il 1° ottobre. La nuova politica prevede che l'addestramento dei modelli frontier avvenga senza alcun accesso a internet in tempo reale, utilizzando un "offline world" indicizzato e memorizzato in cache per tutto ciò che deve sembrare una navigazione web.

Il red-teaming è avvenuto durante quella pausa. Schiere di agenti, incluso il checkpoint Astra Cyber, sono stati eseguiti contro copie isolate dell'infrastruttura di addestramento, con codice sorgente, file di configurazione e note sui punti deboli sospetti forniti loro. I loro obiettivi erano raggiungere Internet live, oltrepassare i confini di sicurezza interni e comunicare con agenti dai quali avrebbero dovuto essere isolati. Ci sono riusciti in tutti e tre i casi.

• Evasioni dalla macchina virtuale, concatenate a partire da difetti più piccoli anziché trovate come un unico bug.

• Nuove rotte verso l’esterno attraverso servizi ristretti che non erano mai stati pensati come un percorso — metriche, logging, autenticazione.

• Canali occulti tra microVM senza alcun collegamento di rete: temporizzazione della cache del processore nello stile di Spectre, temporizzazione dell'archiviazione condivisa, contesa della CPU e una cache dei certificati TLS nel mondo offline. Il canale basato sulla cache del processore è quello interessante, perché è un canale laterale anziché un protocollo, ed è molto più difficile da chiudere tramite policy.

Le correzioni sono state integrate upstream nell'ambito dell'iniziativa "Patch the Planet" di OpenAI: Kata Containers, incluso CVE-2026-24834, gVisor, Moby/Docker e le correzioni del kernel Linux per CVE-2026-74753, CVE-2026-80521 e CVE-2026-80841. OpenAI afferma che altre vulnerabilità restano non divulgate.

Due limiti vanno affiancati a quei risultati, perché è la stessa OpenAI a dichiararli. L’esercizio era fortemente guidato — agli agenti sono stati consegnati il codice sorgente e sono state indicate quali aree erano sospette — quindi misura ciò che un modello capace può fare quando viene indirizzato verso un obiettivo notoriamente vulnerabile, non ciò che troverebbe senza supervisione. E OpenAI ammette che il suo grafico risultati-versus-token non rappresenta una relazione controllata. Ciò che invece afferma è che non esisteva alcuna via verso Internet banalmente sfruttabile che riuscisse anche a eludere i monitor, e che i difetti individuati sono diminuiti nel corso della campagna man mano che venivano applicate le correzioni.

Un nuovo modello, o un nuovo nome per il livello che esiste già?

Questa è la domanda che un lettore arrivato da un articolo di settembre si troverà davvero a porsi, perché «Astra» e «cyber» sono intrecciati fin da prima del rilascio del modello.

La sequenza è importante. Il 1° settembre 2026 OpenAI ha designato Astra come il primo modello a superare la soglia critica di cybersecurity nell'ambito del suo Preparedness Framework — in grado, con gli strumenti giusti, di individuare vulnerabilità sconosciute e costruire catene di exploit funzionanti senza una guida umana passo dopo passo. GPT-6 Astra è stato rilasciato il 3 settembre a 10 dollari per milione di token in input e 50 dollari per milione in output, con la sua più forte capacità cyber protetta dietro il programma Daybreak anziché esposta nel prodotto predefinito. Per tutto settembre, i titoli hanno usato «Astra Cyber» come abbreviazione proprio di questo: la capacità offensiva ad accesso limitato del modello distribuito.

Tre cose indicano che il nome del 23 ottobre sia qualcos'altro.

Il primo è il tempo verbale. GPT-6 Astra era già disponibile quando OpenAI ha scritto "upcoming". Se la variante Cyber fosse la configurazione ad accesso limitato dello stesso modello, la parola sarebbe "available", e la frase riguarderebbe un programma anziché un modello.

La seconda è la tempistica. Il red-teaming si è svolto durante la pausa, tra il 20 settembre e il 1° ottobre. Un modello usato come attaccante in quella finestra, con accesso al codice sorgente e obiettivi a lungo termine, si spiega meglio come un checkpoint di addestramento — qualcosa che non è ancora un prodotto.

Il terzo è la discendenza. OpenAI ha già usato "Cyber" come suffisso di prodotto, e quelli erano modelli separati anziché impostazioni. GPT-5.5-Cyber e GPT-5.6-Cyber erano modelli addestrati appositamente a tutti gli effetti, distribuiti tramite Daybreak Red. Un nome costruito allo stesso modo, applicato a una nuova base, è l'interpretazione che richiede il minor numero di assunzioni.

Il contraltare onesto: OpenAI ha pubblicato una clausola, e una clausola non può reggere questo. «Modello futuro separato» è la lettura migliore della formulazione. Non è un fatto, e la differenza tra quelle due frasi è il motivo per cui esiste questa pagina.

La discendenza che rende leggibile il nome

GPT-6 Astra Cyber è il terzo passo di una linea che OpenAI sta costruendo in pubblico da agosto, e la linea è più informativa del nome.

Il 10 agosto 2026 OpenAI ha rilasciato GPT-5.6-Cyber, basato su GPT-5.6 Sol e addestrato a rifiutare meno richieste informatiche dual-use ad alto rischio: una risposta diretta ai ricercatori che avevano giudicato il precedente GPT-5.5-Cyber troppo prudente per essere utile. Lo stesso annuncio ha suddiviso Daybreak in due livelli: Blue, ovvero GPT-5.6 Sol con le barriere di sicurezza rimosse per il lavoro difensivo, e Red, ovvero i modelli offensivi addestrati allo scopo, sottoposti a screening, verifica dell’identità, attestazione legale e chiavi di sicurezza hardware. Il tasso interno Advanced Cybersecurity Completion Rate di OpenAI ha collocato GPT-5.6-Cyber al 95,0%, contro il 57,3% di GPT-5.5-Cyber e circa l’1,5–2,0% di GPT-5.6 Sol con o senza accesso a Blue.

Quel programma era stato progettato attorno a un modello di base che non era valutato Critical. GPT-6 Astra lo è. Quindi una variante Cyber di Astra è una proposta strutturale diversa da GPT-5.6-Cyber: non è uno specialista costruito su un modello generale, ma uno specialista costruito su un modello che ha già superato la soglia da solo. Se la variante innalza i tassi di rifiuto sui lavori a duplice uso come ha fatto GPT-5.6-Cyber, la combinazione è esattamente quella che il framework di OpenAI stesso è stato scritto per temere — il che è un buon motivo per aspettarsi che i meccanismi di accesso contino più della tabella dei benchmark.

Spiega anche il silenzio. GPT-5.6-Cyber è stato annunciato con un programma, una suddivisione in livelli e una metrica. Se Astra Cyber fosse vicina al rilascio con condizioni simili, l'annuncio somiglierebbe a quello. Non è ancora così.

Se esegui agenti, la parte utile del post non è il modello.

Il resoconto sul containment è il documento pubblico più concreto sul sandboxing degli agenti che chiunque abbia pubblicato, e tre dei suoi insegnamenti sono trasferibili ai normali team di ingegneria indipendentemente dal modello che invocano.

• I canali laterali infrangono un isolamento che le policy non riescono a infrangere. Il timing della cache, lo storage condiviso e la contesa della CPU hanno trasferito informazioni tra macchine che non avevano alcun percorso di rete. Se il tuo argomento a favore dell'isolamento è "non c'è una rotta", l'argomento è incompleto.

• I servizi pericolosi sono quelli noiosi.Gli endpoint di metriche, logging e autenticazione esistono affinché le cose funzionino, e ciascuno è un percorso ristretto e fidato verso l'esterno. Vale la pena enumerarli prima che un agente ottenga accesso agli strumenti, non dopo.

• Le CVE ora sono pubbliche.Kata Containers CVE-2026-24834, le correzioni per gVisor e Moby/Docker, e le CVE del kernel CVE-2026-74753, CVE-2026-80521 e CVE-2026-80841 hanno tutte patch upstream. Se i tuoi workload degli agenti vengono eseguiti su una di esse, è un punto da affrontare questa settimana, non una lettura informativa.

Niente di tutto ciò richiede che GPT-6 Astra Cyber esista. È ciò che l'esercizio ha scoperto, ed è utilizzabile oggi.

Quanto costerà e chi sarà autorizzato a chiamarlo

Non c’è alcun prezzo, e il precedente non è quello che le persone suppongono.

GPT-6 Astra viene venduto secondo un listino prezzi: 10 $ per milione di token di input e 50 $ per milione di output, con le letture dell'input in cache a 1 $ per milione, e una fascia tariffaria più alta oltre i 272.000 token di input su una finestra di contesto che arriva a circa un milione. Se Astra Cyber fosse un normale modello API di quella famiglia, l'assunzione pigra è un listino simile. L'assunzione pigra è probabilmente sbagliata. GPT-5.6-Cyber non è mai stato venduto in quel modo. Esisteva all'interno di Daybreak Red, dietro una domanda di adesione, un controllo dell'identità, un'attestazione legale e, dal 1° settembre, chiavi di sicurezza hardware obbligatorie per gli account individuali. La capacità cyber più forte della famiglia Astra è già sottratta alle configurazioni aziendali predefinite sul modello distribuito. È molto più probabile che un successore addestrato specificamente per quella capacità compaia come aggiunta a Daybreak Red anziché come voce in un listino prezzi.

Per un difensore, questo cambia la preparazione. La domanda non è «quando posso chiamarlo» ma «sono all'interno di un programma che lo riceverà», e l'impegno da 1 miliardo di dollari di OpenAI, Daybreak for Frontline Defenders, è la strada che ha descritto per infrastrutture critiche, governi statali e locali e istituzioni finanziarie. Per tutti gli altri, la risposta pratica oggi è il modello che è stato rilasciato: GPT-6 Astra è disponibile nel nostro catalogo come gpt-6-astra, invocabile con una singola chiave al prezzo di listino del fornitore, senza alcun ricarico aggiunto, ed è anche per questo che le variazioni di prezzo del fornitore si riflettono su di esso lo stesso giorno. Questo è il modello che esiste. Astra Cyber no, e nulla di quanto qui riportato deve essere interpretato come il fatto che lo ospitiamo noi.

Cosa cambierebbe questa pagina

Gli articoli sui leak invecchiano male quando sono scritti come previsioni. Questo è scritto come un elenco di cose che chiarirebbero la questione, in ordine approssimativo di quanto ciascuna ti direbbe.

• Un identificatore. Un ID di modello su una pagina del fornitore o su una tabella tariffaria chiude la questione dell'identità in una riga. Finché non ce n'è uno, "è un modello separato" resta aperto.

• Una scheda di sistema. La valutazione Critical di GPT-6 Astra è arrivata con un set di valutazione — ExploitBench al 100%, ExploitGym al 42,4%, un tasso di rifiuto del cyber-jailbreak del 91,5%. Una variante Cyber avrebbe bisogno di numeri propri, e il divario tra questi e quelli di Astra racconta tutta la storia.

• Un annuncio di Daybreak Red. Se Astra Cyber compare come aggiunta di livello Red, la questione del prezzo è risolta dal programma anziché da un tariffario, e il pubblico è composto da qualche migliaio di organizzazioni verificate.

• Una valutazione indipendente. Ogni affermazione sulle capacità di questa famiglia finora è di OpenAI stessa e non è stata riprodotta. Ciò valeva per il lancio di settembre e vale per la menzione di ottobre.

L'unico fatto concreto a cui aggrapparsi è più strano di un benchmark. La prima cosa che OpenAI ha fatto pubblicamente con questo modello è stata puntarlo contro la propria infrastruttura e lasciarlo provare a evadere — e ha trovato escape da VM, canali nascosti e bug del kernel che ora sono stati corretti upstream. Qualunque cosa si riveli essere GPT-6 Astra Cyber, era già abbastanza bravo in questo da valere i token. È un segnale migliore di una data di lancio, ed è la parte che resterà vera anche se il resto di questa pagina dovesse essere riscritto.