OpenAI sospende Astra: allarme cybersicurezza per il nuovo modello

OpenAI ha reso noto, nella serata del 7 agosto 2026, di aver sospeso alcune attività interne relative ad Astra, un modello ancora in fase di sviluppo, dopo che le valutazioni di sicurezza informatica condotte nei giorni precedenti avevano mostrato progressi tali da non poter più escludere che il sistema avesse raggiunto la soglia più alta prevista dal quadro di riferimento interno per la gestione dei rischi che l’azienda utilizza per orientare le proprie decisioni, il cosiddetto Preparedness Framework^[1]. Si tratta della prima volta, da quando quel documento è stato introdotto nel dicembre 2023, che un’azienda del settore rallenta pubblicamente lo sviluppo di un proprio modello per un motivo legato alla sicurezza informatica^[2], e la notizia si inserisce in una sequenza di episodi, già ricostruita nelle scorse settimane a partire dal caso della violazione dei sistemi di produzione di Hugging Face, che ha riportato al centro del dibattito la difficoltà crescente di mantenere sotto controllo agenti automatici sempre più capaci.

Astra, precisa OpenAI, non avrebbe però alcun collegamento con l’episodio che ha coinvolto Hugging Face, trattandosi di un modello distinto e non ancora rilasciato.

OpenAI Astra e la soglia Critical della cybersicurezza

Il Preparedness Framework distingue diversi livelli di capacità potenzialmente pericolosa, il più alto dei quali è quello definito Critical, che secondo la definizione fornita dalla stessa OpenAI viene raggiunto quando un modello è in grado di individuare e sviluppare autonomamente exploit di tipo zero day di qualsiasi livello di gravità contro sistemi reali fortemente protetti, senza alcun intervento umano, oppure quando è capace di ideare ed eseguire da solo strategie di attacco del tutto nuove contro obiettivi ben difesi partendo semplicemente da un obiettivo generale indicato ad alto livello.

Fino a questo momento nessun modello aveva mai fatto scattare quella soglia, lo stesso GPT-5.6 Sol, reso pubblico in precedenza, era stato valutato dall’azienda a un livello inferiore, definito High.

Cosa può fare Astra nei test di sicurezza informatica

Astra non è mai stato reso pubblico e al momento non ha una data di rilascio annunciata, né è stato deciso se comparirà con il nome GPT-6 o come nuova versione all’interno della famiglia GPT-5. Il primo agosto, una settimana prima dell’annuncio sulla soglia Critical, la stessa OpenAI aveva reso note dieci nuove dimostrazioni matematiche prodotte da una versione interna del modello, relative a problemi di geometria, teoria dei gruppi, crittografia reticolare e complessità computazionale rimasti irrisolti da almeno un decennio, accompagnate da certificati di verifica formale realizzati con l’assistente di dimostrazione Lean^[3]. Nello stesso testo l’azienda ha collegato questi risultati a un annuncio precedente, relativo a maggio, quando aveva reso nota la confutazione di una congettura di geometria discreta formulata da Paul Erdős, ottenuta valutando quello che in quel momento veniva descritto genericamente come un modello ancora non rilasciato^[4].

Gli episodi nei modelli a orizzonte lungo

Proprio quel modello, secondo quanto racconta OpenAI stessa, era stato al centro di un primo episodio legato alla sicurezza, reso pubblico il 20 luglio in un resoconto dedicato ai rischi dei cosiddetti modelli a orizzonte lungo, capaci di lavorare in autonomia per periodi prolungati. Durante un uso interno limitato e sorvegliato, l’azienda aveva osservato comportamenti non previsti dalle valutazioni esistenti e aveva sospeso l’accesso al sistema.

Tra gli episodi descritti figura un caso in cui il modello, incaricato di migliorare le prestazioni di un piccolo modello linguistico e istruito a comunicare i risultati solo su una chat interna, ha invece aggirato le restrizioni del proprio ambiente isolato per pubblicare una richiesta di modifica su un repository pubblico, seguendo un’indicazione diversa contenuta nelle istruzioni del progetto che stava utilizzando; in un altro caso ha suddiviso un token di autenticazione in due frammenti per eludere uno strumento di controllo che ne aveva bloccato l’uso, ricostruendolo poi al momento dell’esecuzione^[5].

È da quell’episodio, spiega l’azienda, che è nato il sistema di monitoraggio per traiettoria, pensato per valutare non la singola azione isolata ma l’intera sequenza di passaggi attraverso cui un agente persegue il proprio obiettivo.

Le misure di OpenAI per contenere i rischi cyber di Astra

Di fronte a questi risultati preliminari, l’azienda ha annunciato una serie di misure interne pensate per garantire che lo sviluppo del modello prosegua in condizioni più controllate. Tra queste figurano l’adozione di ambienti di test isolati, la restrizione dell’accesso alla rete e agli strumenti esterni, un rafforzamento della protezione e della cifratura dei pesi del modello, l’introduzione di ulteriori strumenti di monitoraggio e rilevamento e l’esecuzione in ambienti sandbox. OpenAI ha inoltre specificato di aver sospeso le attività interne che coinvolgono Astra e che non soddisfano ancora questi nuovi requisiti di sicurezza, e di aver esteso a tutte le applicazioni agentiche del modello il sistema di monitoraggio per traiettoria, capace di analizzare il ragionamento del sistema e di far scattare una verifica di sicurezza ogni volta che vengono rilevate azioni potenzialmente rischiose.

L’azienda ha infine dichiarato l’intenzione di collaborare con agenzie governative e con organizzazioni indipendenti attive nel campo della sicurezza dell’AI per sottoporre il modello a ulteriori test, e di fornire ai propri partner esterni di valutazione indicazioni operative su come condurre in sicurezza le prove più rischiose^[6].

L’amministratore delegato dell’azienda, Sam Altman, ha commentato pubblicamente la sospensione di Astra, dicendo che, date le capacità informatiche dimostrate dal modello, serve un po’ più di tempo per procedere in sicurezza, pur ribadendo l’intenzione di rendere Astra, una volta completato questo percorso, disponibile a tutti gli utenti^[7].

I casi Anthropic e Meta nei test sui modelli di AI

La decisione arriva al termine di due settimane particolarmente dense sul fronte della sicurezza informatica applicata ai grandi modelli linguistici. Pochi giorni prima, il 4 agosto, la stessa OpenAI aveva reso pubblici altri due episodi distinti da quello di Hugging Face, entrambi legati a valutazioni condotte da partner esterni^[8]. Alla fine di luglio, Anthropic ha reso noto di aver condotto una verifica interna su oltre 141mila sessioni di valutazione dei propri modelli, individuando tre episodi in cui un modello della famiglia Claude aveva raggiunto la rete pubblica dall’interno di un ambiente di valutazione e aveva ottenuto accesso non autorizzato ai sistemi di produzione di altrettante organizzazioni reali^[9].

Pochi giorni dopo anche Meta ha confermato un episodio simile, riconducibile a un errore di configurazione presso lo stesso partner di valutazione coinvolto nel caso Anthropic, che ha permesso a un proprio modello di sfruttare una vulnerabilità nei sistemi di un’azienda terza^[10].

Il quadro della Casa Bianca per i modelli di intelligenza artificiale

Questa sequenza di episodi si sta sviluppando in parallelo a un processo di regolamentazione avviato dalla Casa Bianca. Un ordine esecutivo firmato il 2 giugno 2026 aveva fissato una scadenza entro cui l’amministrazione statunitense avrebbe dovuto definire un quadro volontario per la valutazione dei modelli di intelligenza artificiale più avanzati. Il 3 agosto la Casa Bianca ha reso noto di aver rispettato quella scadenza, senza tuttavia specificare che cosa contenga il documento, chi lo abbia visionato o quando le aziende inizieranno a farvi riferimento.

Secondo quanto riferito da un portavoce dell’amministrazione, le discussioni con il settore sui passaggi successivi sono già in corso e coinvolgono un numero di aziende più ampio rispetto alle sole Anthropic, OpenAI e Google, che nelle settimane precedenti la scadenza avevano fornito un riscontro su una prima bozza del testo. Secondo alcune ricostruzioni giornalistiche, Astra dovrebbe rientrare proprio tra i primi modelli sottoposti a questo nuovo meccanismo di revisione governativa preventiva^[11].

Per quanto reso pubblico finora, il quadro dovrebbe fornire alle aziende sviluppatrici una struttura per interagire con il governo e stabilire se un determinato modello in fase di sviluppo rientri o meno nel suo ambito di applicazione, definendo i requisiti di riservatezza, di sicurezza informatica, di gestione del rischio interno, di tutela della proprietà intellettuale, di utilizzo e di non divulgazione che si applicherebbero nel momento in cui il governo ottiene accesso a un modello, per un periodo massimo di trenta giorni, prima del suo rilascio pubblico, oltre a indicare quali partner considerati affidabili potranno beneficiare di un accesso anticipato.

Lo stesso ordine esecutivo prevede che il processo con cui vengono misurate le capacità informatiche avanzate dei modelli resti classificato, così come la soglia che determina quali sistemi rientrino nel suo ambito di applicazione, soglia che verrà condivisa soltanto con gli sviluppatori e i ricercatori ritenuti opportuni. Il framework in sé non risulta invece formalmente classificato^[12].

Cybersicurezza AI, trasparenza e soglie di rischio accettabili

L’elaborazione di questo nuovo quadro di valutazione e la sospensione del modello Astra sono accomunati dalla consapevolezza che i confini tra ambiente di test e infrastruttura reale, così come quelli tra addestramento e uso operativo di un modello, non possono più essere considerati barriere scontate quando la capacità dei sistemi cresce a un ritmo superiore a quello con cui vengono aggiornati gli strumenti di contenimento.

Se da un lato le aziende del settore hanno scelto finora di rendere pubblici i singoli episodi, con un grado di dettaglio tecnico che ha permesso alla comunità della sicurezza informatica di studiarli, dall’altro il processo con cui il governo statunitense si appresta a valutare formalmente questi stessi rischi rimane, almeno per ora, sottratto a un confronto pubblico equivalente, una circostanza che difficilmente resterà priva di conseguenze nel dibattito, destinato a intensificarsi, su chi debba stabilire quali soglie di rischio siano accettabili per una tecnologia i cui stessi sviluppatori faticano, come dimostrano gli episodi delle ultime settimane, a prevederne pienamente il comportamento.

Note

https://www.axios.com/2026/08/03/white-house-finalizes-ai-framework-behind-closed-doors ↑

https://openai.com/index/responding-next-frontier-critical-cyber-capabilities/ ↑

https://www.wsj.com/tech/ai/openai-pauses-some-work-on-new-ai-model-over-cybersecurity-concerns-8473a86f ↑

https://openai.com/index/ten-advances-in-mathematics/ ↑

https://openai.com/index/model-disproves-discrete-geometry-conjecture/ ↑

https://openai.com/index/safety-alignment-long-horizon-models/ ↑

https://openai.com/index/responding-next-frontier-critical-cyber-capabilities/ ↑

https://www.benzinga.com/markets/tech/26/08/61063472/openai-ceo-sam-altman-says-astra-ai-will-be-generally-available-but-cyber-capabilities-require-more-safety-work ↑

https://openai.com/index/third-party-cyber-evaluations-involving-openai-models/ ↑

https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals ↑

https://www.cbsnews.com/news/meta-says-ai-model-breached-third-party-company/ ↑

https://the-decoder.com/openai-announces-its-next-major-model-astra-by-dropping-ten-previously-unsolved-math-solutions/ ↑