OpenAI Astra alcanza el nivel «Critical»: el modelo puede encontrar zero-days y completar cadenas de ataque

OpenAI ha clasificado Astra, su modelo más reciente, en el nivel de capacidades de ciberseguridad «Critical» contemplado por su Preparedness Framework. Es la primera vez que un modelo de la compañía alcanza este umbral.

La noticia, conocida el 2 de septiembre de 2026, no está relacionada con una vulnerabilidad de Astra, sino con sus capacidades ofensivas. Según las evaluaciones comunicadas por OpenAI, el sistema puede identificar y explotar de forma autónoma vulnerabilidades zero-day o llevar a cabo un ataque completo contra un objetivo adecuadamente protegido a partir de una instrucción de alto nivel.

Las pruebas también describen la evasión de una sandbox del navegador, el encadenamiento de varias vulnerabilidades y la obtención de privilegios root. Por ello, OpenAI no pondrá de inmediato a disposición de todo el mundo las capacidades completas de ciberseguridad del modelo.

Los resultados fueron comunicados por la compañía. No se ha proporcionado una verificación independiente de las pruebas.

Qué significa la clasificación «Critical»

El nivel «Critical» no mide únicamente la capacidad de generar código, analizar logs o sugerir técnicas de seguridad. Identifica un sistema capaz de ejecutar secuencias ofensivas autónomas contra objetivos protegidos.

En el Preparedness Framework de OpenAI, el umbral puede alcanzarse mediante al menos uno de dos escenarios. El primero consiste en descubrir y explotar de forma autónoma vulnerabilidades zero-day en numerosos sistemas adecuadamente protegidos. El segundo, en completar un ataque contra un objetivo hardened a partir de indicaciones genéricas.

Astra habría demostrado capacidades coherentes con estos escenarios. El salto cualitativo se refiere sobre todo a la autonomía: el modelo no se limita a prestar asistencia durante una única fase, sino que puede enlazar reconocimiento, búsqueda de vulnerabilidades, explotación, evasión del aislamiento y escalada de privilegios.

Esto reduce el nivel de supervisión humana necesario para transformar un fallo de software en una intrusión efectiva. También puede acortar el tiempo entre la identificación de una debilidad y la creación de un exploit utilizable.

Sin embargo, no se han atribuido campañas maliciosas a Astra. El modelo no ha sido asociado con grupos criminales, operadores estatales ni otros actores de amenazas.

Puntuación perfecta en ExploitBench y dos zero-days identificados

Astra obtuvo la puntuación máxima en ExploitBench, un benchmark que evalúa la capacidad de convertir vulnerabilidades conocidas en exploits funcionales. El resultado indica competencia operativa en explotación, no únicamente en la explicación teórica de un fallo.

Una puntuación perfecta en este tipo de prueba sugiere que el modelo puede interpretar la información disponible, identificar las condiciones necesarias para el ataque y producir un procedimiento capaz de explotar el problema. Sin embargo, por sí sola no demuestra la capacidad de descubrir nuevas vulnerabilidades.

Por este motivo, OpenAI realizó una evaluación independiente basada en vulnerabilidades divulgadas más recientemente. En ese contexto, Astra habría identificado de forma autónoma dos zero-days.

No se han comunicado los productos afectados, las versiones implicadas, los fabricantes ni los identificadores CVE. Por tanto, no es posible determinar la naturaleza técnica de los dos fallos, comprobar si se han corregido o evaluar la exposición de sistemas reales.

Tampoco se conocen detalles sobre la metodología: no se han especificado el tamaño de la muestra, las condiciones operativas, las herramientas permitidas al modelo ni la posible existencia de supervisión. Esta información sería necesaria para reproducir los resultados y compararlos con los de otros sistemas.

De la sandbox a los privilegios root

Las pruebas más relevantes se refieren a una cadena de ataque compuesta por varios pasos. Astra habría conseguido escapar de una sandbox del navegador y ejecutar comandos en la máquina subyacente.

Una sandbox sirve para aislar el código del navegador e impedir que una intrusión en el proceso se extienda al sistema operativo. Superar este límite significa convertir una vulnerabilidad de la aplicación en un punto de acceso más amplio.

El modelo también habría encadenado varios fallos dentro de un sistema operativo hardened, es decir, configurado con medidas de seguridad y restricciones adicionales. La cadena habría culminado en un acceso con privilegios de nivel root.

OpenAI no ha indicado el navegador, el sistema operativo, las configuraciones de hardening ni las vulnerabilidades utilizadas. Por tanto, no es posible determinar si el ataque aprovechó errores de memoria, fallos lógicos, configuraciones débiles u otras clases de problemas.

El aspecto relevante es la combinación de acciones. En las intrusiones reales, una sola vulnerabilidad rara vez garantiza el control completo de un entorno bien protegido. Con frecuencia, un atacante debe encadenar varias debilidades para escapar del aislamiento, superar los controles y elevar privilegios. Astra habría automatizado precisamente esta secuencia.

Mayor resistencia a los jailbreaks que GPT-5.6 Sol

A las capacidades ofensivas se suma una mejora declarada en el comportamiento de seguridad. Astra habría rechazado el 91,5 % de los intentos de jailbreak relacionados con la ciberseguridad utilizados en las evaluaciones internas.

El modelo anterior, GPT-5.6 Sol, alcanzaba el 59 % en el mismo tipo de prueba. La diferencia es de 32,5 puntos porcentuales.

OpenAI también informa de una menor tendencia de Astra a eludir deliberadamente las restricciones, atacar honeypots preparados durante las pruebas o continuar con operaciones ofensivas cuando el entorno había sido diseñado para detectar desviaciones de los controles.

Sin embargo, la tasa de rechazo no equivale a una garantía absoluta. Un porcentaje del 91,5 % implica que algunos intentos considerados hostiles no son bloqueados en las condiciones de prueba. Además, un modelo con capacidades más avanzadas puede causar consecuencias mayores cuando un control falla.

Por tanto, la evaluación del riesgo depende de la interacción entre dos elementos: la dificultad para inducir al modelo a comportarse de forma peligrosa y el daño que puede causar una vez superadas las protecciones.

Distribución limitada y acceso a través de Daybreak Blue

OpenAI considera necesarias salvaguardas adicionales antes de la distribución. Las capacidades completas de ciberseguridad de Astra estarán inicialmente disponibles únicamente para un grupo de probadores, con una posible ampliación posterior mediante el programa Daybreak Blue.

No se ha indicado una fecha para la disponibilidad general. Tampoco se han especificado los criterios de admisión al programa ni los límites técnicos aplicados a los usuarios autorizados.

Los controles declarados incluyen pruebas específicas contra jailbreaks, monitorización de los intentos de eludir las restricciones, uso de honeypots y evaluaciones en entornos controlados. La compañía también contempla retrasar el despliegue cuando las protecciones no aporten evidencias suficientes de un comportamiento seguro.

La principal medida de mitigación es, por tanto, un lanzamiento progresivo, no un parche ni una actualización que los usuarios puedan instalar. OpenAI sostiene que los controles deben acompañar todo el ciclo de vida del modelo, desde el entrenamiento y la evaluación hasta la distribución.

Mientras tanto, casi 130 empresas tecnológicas y de ciberseguridad habrían respaldado una iniciativa liderada por OpenAI para reforzar las defensas informáticas. No se han proporcionado más detalles sobre la contribución de cada organización.

El riesgo para defensores, empresas e investigadores

Un sistema capaz de automatizar la explotación puede ayudar a los equipos defensivos a verificar con mayor rapidez parches, aplicaciones y configuraciones. Sin embargo, esa misma capacidad puede aumentar la velocidad y la escala de las operaciones ofensivas.

Para las empresas, la consecuencia más concreta es una posible reducción del tiempo disponible para corregir una vulnerabilidad. Si un modelo puede generar rápidamente exploits a partir de información pública, el periodo entre la divulgación y la explotación puede acortarse.

La capacidad de encontrar zero-days introduce un riesgo adicional: es posible que los defensores aún no dispongan de firmas, actualizaciones ni indicadores de compromiso. En estas condiciones cobran mayor importancia la segmentación, el principio de mínimo privilegio, la monitorización basada en el comportamiento y el control de actividades anómalas entre el navegador y el sistema operativo.

Por ahora no existen indicadores técnicos públicos vinculados a las pruebas de Astra. No están disponibles hashes, dominios, comandos, CVE ni patrones de red que buscar.

La clasificación «Critical» sigue siendo una evaluación interna de OpenAI, respaldada por resultados que no han sido verificados públicamente. Aun así, muestra el umbral que están alcanzando los sistemas de inteligencia artificial: ya no son únicamente asistentes para analistas y desarrolladores, sino potenciales operadores autónomos a lo largo de una cadena completa de compromiso.