GPT-6 Astra completa ExploitBench, ma OpenAI blocca la creazione di exploit PoC

OpenAI ha presentato GPT-6 Astra, un modello capace di ottenere il 100% su ExploitBench, il test che valuta la trasformazione di vulnerabilità note in exploit funzionanti. La notizia, emersa il 4 settembre 2026, arriva mentre l’azienda limita l’accesso alle funzioni offensive più sensibili.

Astra ha raggiunto il livello di capacità cybersecurity “Critical” previsto dal Preparedness Framework di OpenAI. Per questo motivo, la versione iniziale può assistere nella revisione sicura del codice e nella preparazione delle patch, ma rifiuta le richieste dirette a produrre exploit proof-of-concept.

Il modello sarà distribuito gradualmente attraverso ChatGPT, OpenAI API e infrastrutture cloud di terze parti. In parallelo, OpenAI ha stanziato un miliardo di dollari per favorirne l’impiego difensivo presso organizzazioni con risorse di sicurezza limitate.

Dal 78,5% al 100% nella generazione di exploit

ExploitBench misura se un modello riesce a partire da vulnerabilità software già note e arrivare a un exploit effettivamente funzionante. Non valuta quindi soltanto la capacità di spiegare una falla o proporre codice plausibile: il risultato dipende dal successo operativo dell’exploit nell’ambiente di prova.

GPT-6 Astra ha completato il benchmark con un punteggio del 100%. Il precedente modello di frontiera di OpenAI rivolto alla cybersecurity, GPT-5.6 Sol, si era fermato al 78,5%.

Il divario è rilevante perché lo sviluppo di un exploit richiede più passaggi coordinati. Il modello deve comprendere la causa della vulnerabilità, individuare le condizioni necessarie per attivarla e costruire un input capace di controllare il comportamento del programma. Deve poi adattare il codice alle protezioni presenti e correggere gli errori emersi durante i test.

OpenAI riferisce inoltre che Astra raggiunge tassi di esecuzione arbitraria di codice sensibilmente superiori a quelli di GPT-5.6 Sol. Le prove hanno riguardato vulnerabilità divulgate nei tre mesi precedenti, inclusi i mesi da giugno ad agosto 2026, oltre a due vulnerabilità zero-day.

Non sono stati indicati i software coinvolti nei test sugli zero-day. Mancano anche identificativi CVE, versioni interessate e nomi dei produttori. Di conseguenza, amministratori e responsabili della sicurezza non hanno indicatori specifici da cercare né prodotti particolari da aggiornare sulla base di queste valutazioni.

Il punteggio massimo resta inoltre un risultato riferito a ExploitBench. Non dimostra che Astra possa sfruttare qualsiasi vulnerabilità in qualunque ambiente, configurazione o architettura.

Attacchi contro browser e sistemi operativi hardened

Le valutazioni descritte da OpenAI vanno oltre lo sfruttamento di falle già documentate. Senza salvaguardie, Astra sarebbe in grado di individuare vulnerabilità precedentemente sconosciute e utilizzarle per ottenere l’esecuzione di codice in browser sottoposti a hardening.

Il modello avrebbe mostrato anche la capacità di sviluppare exploit per l’escalation dei privilegi su sistemi operativi hardened. Un attacco di questo tipo parte normalmente da un accesso con autorizzazioni limitate e tenta di raggiungere privilegi più elevati, necessari per modificare il sistema, sottrarre credenziali o compromettere altri utenti.

Il riferimento all’hardening è significativo. Indica ambienti nei quali sono state applicate configurazioni e protezioni pensate per ridurre la superficie d’attacco. Tuttavia, OpenAI non ha precisato quali mitigazioni fossero attive, quali browser e sistemi operativi siano stati esaminati o quale fosse il livello iniziale di accesso.

Non è quindi possibile valutare autonomamente la portata tecnica delle vulnerabilità, riprodurre i risultati oppure stabilire se le falle siano state corrette. Le informazioni disponibili descrivono le capacità del modello, non costituiscono un avviso di sicurezza utilizzabile per applicare una patch.

Il rilascio iniziale esclude gli exploit proof-of-concept

La prima distribuzione di GPT-6 Astra riguarda un gruppo ristretto di organizzazioni. In questa fase il modello è limitato ad attività come l’analisi sicura del codice e l’applicazione di correzioni.

Le richieste finalizzate alla creazione di exploit PoC per vulnerabilità vengono rifiutate. La restrizione mira a evitare che una capacità progettata per accelerare la verifica delle falle riduca anche il costo operativo degli attacchi.

La distinzione non è sempre netta. Un proof-of-concept può essere necessario a un difensore per confermare una vulnerabilità, verificare una patch o costruire una regola di rilevamento. Lo stesso codice, però, può essere adattato per colpire sistemi esposti.

OpenAI riconosce che i controlli possono bloccare anche attività legittime. Quando un’operazione difensiva viene interrotta, l’utente deve riesaminarla prima di continuare. Negli ambienti considerati sensibili, il comportamento del modello viene modulato in base al rischio associato alle azioni richieste.

Con l’iniziativa OpenAI Daybreak, l’azienda prevede di estendere l’accesso e introdurre salvaguardie meno restrittive nelle settimane successive. Le funzioni previste comprendono la validazione delle vulnerabilità e dei PoC, l’analisi del malware e la progettazione di sistemi di rilevamento.

Monitoraggio, jailbreak e controllo delle azioni

OpenAI dichiara di avere rafforzato Astra contro i jailbreak, cioè i tentativi di aggirare le regole operative attraverso istruzioni manipolative, contesti costruiti ad arte o sequenze di richieste apparentemente innocue.

È stato ampliato anche il contesto a disposizione dei sistemi di monitoraggio. Questo dovrebbe consentire ai controlli di valutare non soltanto l’ultima istruzione, ma una porzione più estesa dell’attività svolta dal modello e dell’ambiente nel quale opera.

Ulteriori meccanismi sono destinati a individuare e contenere eventuali condizioni di disallineamento. Astra dovrebbe rispettare con maggiore regolarità sia i limiti espressamente impostati dall’utente sia quelli impliciti nell’ambiente operativo, come autorizzazioni, ambito del test e sistemi sui quali è consentito intervenire.

In una valutazione costruita con attività selezionate per indurre comportamenti scorretti, Astra ha evitato più efficacemente gli esiti indesiderati. L’attivazione predefinita di misure di sicurezza aggiuntive ha migliorato ulteriormente i risultati.

Non sono stati pubblicati numeri dettagliati su falsi positivi, tentativi di jailbreak riusciti o confronti quantitativi con altri modelli. Resta quindi da verificare come questi controlli si comporteranno nelle attività reali, dove richieste difensive e offensive possono avere struttura tecnica quasi identica.

Accesso tramite ChatGPT, API e piattaforme cloud

Dopo la fase iniziale, OpenAI prevede di rendere GPT-6 Astra disponibile agli utenti dei piani:

• ChatGPT Plus;
• ChatGPT Pro;
• ChatGPT Business;
• ChatGPT Enterprise.

Il modello sarà accessibile anche tramite OpenAI API, Microsoft Azure e Amazon Web Services Bedrock. Non sono stati comunicati il calendario dettagliato della distribuzione, i prezzi, le quote di utilizzo o eventuali requisiti di verifica per accedere alle capacità di cybersecurity.

Oltre alla sicurezza informatica, Astra viene presentato come modello di punta per uso del computer, navigazione web, ingegneria del software, ricerca scientifica e attività professionali. OpenAI dichiara un risultato del 98% su FrontierMath Tier 4 e del 99,9% su ARC-AGI-3.

Per le organizzazioni, la disponibilità attraverso API e cloud pone anche un problema di governance. Prima dell’adozione serviranno autorizzazioni precise, registrazione delle azioni, isolamento degli ambienti di prova e revisione umana dei risultati. Un modello capace di intervenire sul codice e usare strumenti esterni non dovrebbe ricevere automaticamente accesso a sistemi di produzione.

Un miliardo di dollari per i difensori in prima linea

Contestualmente al lancio, OpenAI ha annunciato Daybreak for Frontline Defenders, programma globale sostenuto da un impegno finanziario dichiarato di un miliardo di dollari.

L’iniziativa offrirà accesso sovvenzionato ai modelli, formazione pratica e assistenza tecnica. I destinatari includono sistemi idrici, fornitori di elettricità, amministrazioni statali e locali, banche, organizzazioni non profit e manutentori di progetti open source.

Sono realtà spesso esposte ad attacchi complessi ma prive del personale necessario per analizzare rapidamente vulnerabilità, malware e grandi quantità di log. In questo contesto Astra potrebbe accelerare la revisione del codice, la preparazione delle correzioni e la costruzione di meccanismi di rilevamento.

È stato inoltre annunciato un progetto pilota con lo U.S. Multi-State Information Sharing and Analysis Center (MS-ISAC). Una prima componente di difensori del settore pubblico e dei sistemi idrici riceverà accesso a Daybreak, formazione guidata e supporto operativo.

La questione centrale sarà mantenere il vantaggio dalla parte dei difensori. Il 100% su ExploitBench mostra che la generazione automatizzata di exploit ha superato una soglia tecnica concreta; il rifiuto iniziale dei PoC mostra, allo stesso tempo, che distribuire questa capacità richiede controlli diversi da quelli applicati a un normale assistente software.