OpenAI Astra raggiunge il livello “Critical”: il modello può trovare zero-day e completare catene d’attacco

OpenAI ha classificato Astra, il suo modello più recente, al livello di capacità cybersecurity “Critical” previsto dal proprio Preparedness Framework. È la prima volta che un modello dell’azienda raggiunge questa soglia.

La notizia, emersa il 2 settembre 2026, non riguarda una vulnerabilità di Astra, ma le sue capacità offensive. Secondo le valutazioni dichiarate da OpenAI, il sistema può individuare e sfruttare autonomamente vulnerabilità zero-day oppure condurre un attacco completo contro un bersaglio adeguatamente protetto, partendo da un’istruzione ad alto livello.

I test descrivono anche l’evasione da una sandbox del browser, il concatenamento di più vulnerabilità e l’ottenimento di privilegi root. OpenAI non renderà quindi disponibili immediatamente a tutti le funzionalità cybersecurity complete del modello.

I risultati sono stati comunicati dall’azienda. Non è stata fornita una verifica indipendente delle prove.

Che cosa significa la classificazione “Critical”

Il livello “Critical” non misura soltanto la capacità di generare codice, analizzare log o suggerire tecniche di sicurezza. Identifica un sistema capace di svolgere sequenze offensive autonome contro obiettivi difesi.

Nel Preparedness Framework di OpenAI, la soglia può essere raggiunta attraverso almeno uno di due scenari. Il primo è la scoperta e lo sfruttamento autonomo di vulnerabilità zero-day su numerosi sistemi adeguatamente protetti. Il secondo è il completamento di un attacco contro un bersaglio hardened a partire da indicazioni generiche.

Astra avrebbe dimostrato capacità coerenti con questi scenari. Il salto qualitativo riguarda soprattutto l’autonomia: il modello non si limita a fornire assistenza durante una singola fase, ma può collegare ricognizione, ricerca della vulnerabilità, exploitation, evasione dell’isolamento ed escalation dei privilegi.

Questo riduce il livello di supervisione umana necessario per trasformare un difetto software in una compromissione concreta. Può inoltre accorciare il tempo tra l’identificazione di una debolezza e la produzione di un exploit utilizzabile.

Non risultano, tuttavia, campagne malevole attribuite ad Astra. Non sono stati associati al modello gruppi criminali, operatori statali o altri attori di minaccia.

Punteggio perfetto su ExploitBench e due zero-day individuati

Astra ha ottenuto il punteggio massimo su ExploitBench, un benchmark che valuta la capacità di trasformare vulnerabilità conosciute in exploit funzionanti. Il risultato segnala competenza operativa nell’exploitation, non soltanto nella spiegazione teorica di un difetto.

Un punteggio perfetto su questo tipo di prova suggerisce che il modello riesca a interpretare le informazioni disponibili, identificare le condizioni necessarie per l’attacco e produrre una procedura capace di sfruttare il problema. Non dimostra però, da solo, la capacità di scoprire nuove vulnerabilità.

Per questo OpenAI ha condotto una valutazione separata, basata su vulnerabilità divulgate più di recente. In tale contesto Astra avrebbe identificato autonomamente due zero-day.

Non sono stati comunicati i prodotti coinvolti, le versioni interessate, i produttori o gli identificativi CVE. Non è quindi possibile stabilire la natura tecnica dei due difetti, verificare se siano stati corretti o valutare l’esposizione di sistemi reali.

Mancano anche dettagli sulla metodologia: non sono note la dimensione del campione, le condizioni operative, gli strumenti concessi al modello e l’eventuale presenza di supervisione. Queste informazioni sarebbero necessarie per riprodurre i risultati e confrontarli con quelli di altri sistemi.

Dalla sandbox ai privilegi root

Le prove più significative riguardano una catena d’attacco composta da più passaggi. Astra sarebbe riuscito a evadere da una sandbox del browser e a eseguire comandi sulla macchina sottostante.

Una sandbox serve a confinare il codice del browser e a impedire che una compromissione del processo si estenda al sistema operativo. Superare questo confine significa trasformare una vulnerabilità applicativa in un punto di accesso più ampio.

Il modello avrebbe inoltre concatenato più difetti all’interno di un sistema operativo hardened, cioè configurato con misure di sicurezza e restrizioni aggiuntive. La catena avrebbe portato a un accesso con privilegi root-level.

OpenAI non ha indicato il browser, il sistema operativo, le configurazioni di hardening o le vulnerabilità usate. Non è quindi possibile determinare se l’attacco abbia sfruttato errori di memoria, difetti logici, configurazioni deboli o altre classi di problemi.

Il dato rilevante è la combinazione delle azioni. Nelle intrusioni reali, una sola vulnerabilità raramente garantisce il controllo completo di un ambiente ben difeso. Un attaccante deve spesso collegare più debolezze per uscire dall’isolamento, superare i controlli e aumentare i privilegi. Astra avrebbe automatizzato proprio questa sequenza.

Più resistenza ai jailbreak rispetto a GPT-5.6 Sol

Alle capacità offensive si affianca un miglioramento dichiarato nel comportamento di sicurezza. Astra avrebbe rifiutato il 91,5% dei tentativi di jailbreak legati alla cybersecurity impiegati nelle valutazioni interne.

Il modello precedente, GPT-5.6 Sol, si fermava al 59% nello stesso tipo di test. La differenza è di 32,5 punti percentuali.

OpenAI riferisce anche una propensione inferiore di Astra ad aggirare deliberatamente le restrizioni, attaccare honeypot predisposti nelle prove o continuare operazioni offensive quando l’ambiente era stato progettato per rilevare deviazioni dai controlli.

Il tasso di rifiuto, però, non coincide con una garanzia assoluta. Una percentuale del 91,5% implica che alcuni tentativi considerati ostili non vengono bloccati nelle condizioni di test. Inoltre, un modello con capacità più avanzate può produrre conseguenze maggiori quando un controllo fallisce.

La valutazione del rischio dipende quindi dall’interazione fra due elementi: quanto è difficile indurre il modello a comportarsi in modo pericoloso e quanto danno può causare una volta superate le protezioni.

Distribuzione limitata e accesso attraverso Daybreak Blue

OpenAI considera necessarie salvaguardie aggiuntive prima della distribuzione. Le capacità cybersecurity complete di Astra saranno inizialmente accessibili soltanto a un gruppo di tester, con un’eventuale estensione successiva attraverso il programma Daybreak Blue.

Non è stata indicata una data per la disponibilità generale. Non sono stati specificati neppure i criteri di ammissione al programma o i limiti tecnici applicati agli utenti autorizzati.

I controlli dichiarati comprendono test mirati contro i jailbreak, monitoraggio dei tentativi di eludere le restrizioni, uso di honeypot e valutazioni in ambienti controllati. L’azienda contempla inoltre la possibilità di ritardare il deployment quando le protezioni non forniscono evidenze sufficienti di comportamento sicuro.

La mitigazione principale è dunque un rilascio progressivo, non una patch o un aggiornamento installabile dagli utenti. OpenAI sostiene che i controlli debbano accompagnare l’intero ciclo del modello, dall’addestramento alla valutazione fino alla distribuzione.

Quasi 130 aziende tecnologiche e di cybersecurity avrebbero intanto sostenuto un’iniziativa guidata da OpenAI per rafforzare le difese informatiche. Non sono stati forniti ulteriori dettagli sul contributo delle singole organizzazioni.

Il rischio per difensori, aziende e ricercatori

Un sistema capace di automatizzare lo sfruttamento può essere utile ai team difensivi per verificare più rapidamente patch, applicazioni e configurazioni. La stessa capacità può però aumentare velocità e scala delle operazioni offensive.

Per le aziende, la conseguenza più concreta è una possibile riduzione del tempo disponibile per correggere una vulnerabilità. Se un modello riesce a produrre rapidamente exploit da informazioni pubbliche, il periodo tra divulgazione e sfruttamento può restringersi.

La capacità di trovare zero-day introduce un rischio ulteriore: i difensori potrebbero non disporre ancora di firme, aggiornamenti o indicatori di compromissione. In simili condizioni diventano più rilevanti segmentazione, least privilege, monitoraggio comportamentale e controllo delle attività anomale tra browser e sistema operativo.

Al momento non esistono indicatori tecnici pubblici collegati alle prove di Astra. Non sono disponibili hash, domini, comandi, CVE o pattern di rete da ricercare.

La classificazione “Critical” resta una valutazione interna di OpenAI, supportata da risultati non verificati pubblicamente. Mostra comunque quale soglia stiano raggiungendo i sistemi di intelligenza artificiale: non più soltanto assistenti per analisti e sviluppatori, ma potenziali operatori autonomi lungo un’intera catena di compromissione.