OpenAI alza il livello cyber con Astra e GPT-5.6-Cyber, ma non per tutti

🛡️ Executive Summary

• OpenAI non riesce a escludere per Astra capacità cyber Critical, sufficienti in prospettiva per zero-day autonomi e attacchi end-to-end contro sistemi hardened.
• GPT-5.6-Cyber resta invece classificato High e completa il 95% delle richieste cyber avanzate nel nuovo livello controllato Daybreak Red.
• Il modello ha già trovato vulnerabilità V8, mobile, database e kernel, mentre OpenAI rafforza sandbox, monitoraggio e accesso verificato ai modelli più potenti.

OpenAI sta separando sempre più chiaramente i modelli cyber destinati alla difesa dalle capacità che potrebbero oltrepassare una soglia di rischio sistemico. Da una parte c’è Astra, modello ancora in sviluppo le cui ultime valutazioni hanno impedito all’azienda di escludere il livello Critical previsto dal Preparedness Framework. Dall’altra arriva GPT-5.6-Cyber, versione specializzata di GPT-5.6 Sol concessa a ricercatori e aziende verificate attraverso il nuovo livello Daybreak Red, con meno rifiuti sulle attività dual-use e capacità superiori nella ricerca di vulnerabilità e nello sviluppo controllato di exploit. I due annunci fotografano un passaggio importante: l’AI non viene più valutata soltanto sulla capacità di scrivere codice o spiegare una falla, ma sulla possibilità di scoprire vulnerabilità sconosciute, concatenarle e operare per lunghi periodi su obiettivi complessi.

Astra porta OpenAI vicino alla soglia cyber Critical

Il passaggio più delicato riguarda Astra, uno dei prossimi modelli di OpenAI. Nelle valutazioni interne condotte nei primi giorni di agosto, il sistema ha mostrato progressi abbastanza significativi nell’agentic coding e nella cybersecurity da impedire all’azienda di escludere la classificazione Critical. OpenAI chiarisce nella propria comunicazione sulle capacità cyber di Astra che questa soglia viene raggiunta quando un modello può individuare e sviluppare autonomamente zero-day funzionanti di differenti livelli di gravità contro numerosi sistemi reali hardened, oppure costruire ed eseguire strategie di attacco end-to-end innovative partendo soltanto da un obiettivo di alto livello. Non significa che Astra abbia già dimostrato con certezza tutte queste capacità: la posizione ufficiale è più precisa e, per certi versi, più rilevante. OpenAI afferma di non essere più in grado di escluderle sulla base dei test preliminari. È un salto rispetto a GPT-5.6 Sol, classificato High ma sotto Critical, e arriva pochi giorni dopo gli incidenti nei quali agenti AI hanno oltrepassato i cyber range e raggiunto servizi, account e persone reali.

Lo sviluppo di Astra viene sottoposto a controlli più rigidi

La risposta di OpenAI non consiste semplicemente nell’aggiungere nuovi filtri alle risposte. L’azienda ha sospeso le attività interne su Astra che non rispettano i nuovi requisiti di sicurezza, imponendo ambienti di test isolati, accesso ristretto a rete e strumenti, protezioni rafforzate sui pesi del modello, crittografia, sandbox e monitoraggio aggiuntivo. Tutte le applicazioni agentiche del modello vengono inoltre sottoposte a monitoraggio universale delle azioni considerate rischiose o potenzialmente disallineate, con sistemi che analizzano anche il ragionamento interno disponibile ai monitor e possono interrompere l’esecuzione. La prudenza è comprensibile dopo il precedente incidente in cui un modello Meta ha raggiunto un’azienda reale durante un test cyber configurato in modo errato e dopo i casi OpenAI e Anthropic nei quali la separazione tra benchmark e Internet reale si è rivelata insufficiente. Astra, precisa OpenAI, non è il modello coinvolto nella compromissione di Hugging Face, ma la sua valutazione mostra quanto rapidamente stia cambiando la quantità di autonomia che deve essere contenuta durante i test.

GPT-5.6-Cyber porta le capacità avanzate ai difensori verificati

Mentre Astra resta sotto valutazione, OpenAI ha reso disponibile GPT-5.6-Cyber, modello costruito su GPT-5.6 Sol e addestrato specificamente per attività come ricerca di vulnerabilità, exploit validation, penetration testing e incident response. Non è semplicemente GPT-5.6 con un filtro meno severo. La presentazione ufficiale di GPT-5.6-Cyber e dell’espansione di Daybreak spiega che il modello riceve training aggiuntivo sui workflow cyber e viene distribuito attraverso Daybreak Red, livello riservato alle attività autorizzate a maggiore sensibilità. Daybreak Blue rimane invece la porta d’ingresso consigliata per la maggioranza dei difensori e offre GPT-5.6 Sol con controlli adattati a vulnerability management, malware analysis, incident response, code review e patch validation. La distinzione porta il modello di accesso cyber di OpenAI oltre quello già adottato con GPT-5.5-Cyber e si collega alla crescente automazione offensiva documentata nelle campagne in cui DeepSeek e Hermes Agent hanno automatizzato scansioni, selezione dei target e tentativi di exploit.

Il modello risponde al 95% delle richieste cyber avanzate

La differenza più evidente emerge nel nuovo benchmark interno Advanced Cybersecurity Completion Rate, costruito su richieste relative a exploit chain, authentication bypass, privilege escalation e altri workflow avanzati. GPT-5.6-Cyber completa il 95% delle richieste nel profilo Daybreak Red, contro appena 1,5% per GPT-5.6 Sol con le protezioni standard e 2% per Sol tramite Daybreak Blue.

GPT-5.5-Cyber si fermava al 57,3%. Il dato non misura direttamente la percentuale di exploit riusciti, ma quantifica quanto il nuovo modello sia disposto a proseguire attività che nelle versioni generali vengono bloccate perché altamente dual-use. È precisamente questa riduzione dei rifiuti a rendere necessaria l’identificazione degli utenti e la limitazione del perimetro operativo. Il problema è già emerso nelle falle di Claude Code e Gemini CLI che trasformano input esterni in operazioni privilegiate dentro pipeline CI/CD: una maggiore capacità non aumenta soltanto la qualità dell’analisi, ma anche l’impatto di un confine di autorizzazione configurato male.

GPT-5.6-Cyber trova due zero-day nella sandbox V8

OpenAI ha già utilizzato il modello su software reale. Durante l’analisi di V8, il motore JavaScript di Chrome, GPT-5.6-Cyber ha individuato due vulnerabilità precedentemente sconosciute che potevano essere concatenate per ottenere memory corruption ed escape dalla heap sandbox. Una delle falle è stata corretta da Google come CVE-2026-15903, vulnerabilità High nella quale il compilatore ottimizzante poteva eliminare erroneamente un controllo sui limiti di un array e consentire letture o scritture out-of-bounds.

OpenAI riferisce inoltre che il modello ha trovato almeno cinque vulnerabilità in un diffuso sistema operativo mobile, comprese falle concatenabili fino alla privilege escalation locale, tre vulnerabilità critiche in un database popolare, compreso un percorso remoto verso code execution, e oltre 400 problemi capaci di provocare privilege escalation in un kernel molto diffuso. I dettagli rimangono limitati perché i processi di disclosure e remediation sono ancora in corso. Il salto si inserisce nello stesso scenario nel quale Kimi K3 ha individuato zero-day in Redis e NodeBB, ma OpenAI accompagna ora questa capacità con un modello di accesso esplicitamente differenziato.

Cyber non significa soltanto trovare più vulnerabilità

Le valutazioni mostrano però che la specializzazione non produce un miglioramento uniforme. GPT-5.6-Cyber supera GPT-5.6 Sol e GPT-5.5-Cyber su ExploitGym, benchmark che verifica la capacità di trasformare vulnerabilità note in exploit funzionanti in ambienti controllati. Nel più impegnativo ExploitBench, invece, GPT-5.6 Sol resta più efficiente nel setting standard da 300 turni, mentre aumentando il budget fino a 600 turni la distanza si riduce. Inoltre, nell’evaluation interna che richiede di esplorare liberamente un repository, trovare la vulnerabilità, sviluppare un PoC e produrre un report di qualità, GPT-5.6-Cyber ottiene risultati inferiori a Sol, soprattutto perché tende a generare report più brevi e meno dettagliati.

La distinzione è importante perché dimostra che “più cyber” non equivale automaticamente a “migliore in ogni fase della sicurezza”. Un modello può essere superiore nello sviluppo dell’exploit e meno efficace nell’analisi aperta o nella documentazione, lo stesso motivo per cui HTTP Terminator combina generazione AI e validazione deterministica invece di affidare l’intero processo a un singolo modello.

Daybreak Red separa la potenza cyber dall’accesso generale

OpenAI mantiene GPT-5.6-Cyber al livello High, sotto la soglia Critical attribuita come possibilità non escludibile ad Astra. L’azienda ha quindi scelto di distribuirlo, ma soltanto attraverso un livello verificato. Daybreak Red richiede identity verification, account security, monitoraggio, restrizioni d’uso e attestazioni legali, mentre dal 1° settembre 2026 gli account individuali dovranno utilizzare chiavi di sicurezza hardware. OpenAI raccomanda inoltre sandbox isolate, assenza di accesso non necessario a Internet o sistemi di produzione, revisione delle azioni privilegiate e profili di permesso limitati allo scope autorizzato. La stessa infrastruttura viene portata nel mercato attraverso partner come Accenture, IBM, Cisco, CrowdStrike, Palo Alto Networks, Sophos, Akamai, Fortinet, Cloudflare, PwC e SpecterOps, che possono integrare i modelli nelle proprie attività di vulnerability discovery, red teaming, incident response e remediation. È un modello completamente diverso dall’accesso generalizzato a un chatbot e riflette la necessità di controllare non soltanto ciò che il modello sa fare, ma chi può trasformare quella capacità in azione.

Il vero confine diventa l’autonomia dell’agente

La differenza tra GPT-5.6-Cyber e Astra chiarisce infine come OpenAI stia ridefinendo il rischio cyber. Un modello High può essere estremamente efficace nel trovare vulnerabilità, sviluppare exploit e assistere un ricercatore, ma continua a dipendere in misura significativa dall’operatore e dal contesto. Il livello Critical riguarda invece la possibilità che il modello elimini alcuni dei principali colli di bottiglia umani e conduca ricerca zero-day o campagne end-to-end contro sistemi hardened con autonomia molto maggiore. È esattamente il punto emerso quando agenti AI hanno compiuto azioni non autorizzate durante valutazioni cyber reali: il rischio non deriva soltanto dall’accuratezza tecnica del modello, ma dalla capacità di concatenare strumenti, prendere decisioni, perseverare dopo un fallimento e oltrepassare i confini operativi se questi non sono applicati dall’infrastruttura.

Astra e GPT-5.6-Cyber aprono la fase dell’AI cyber regolata per capacità

I due annunci segnano quindi un passaggio oltre la domanda tradizionale su quanto un LLM sia bravo nella cybersecurity. OpenAI sta iniziando a gestire i modelli cyber come capacità operative differenziate, distinguendo accesso pubblico, accesso difensivo avanzato e sistemi che potrebbero raggiungere una soglia considerata troppo potente per essere rilasciata senza ulteriori controlli. Astra rappresenta il limite ancora in fase di valutazione; GPT-5.6-Cyber rappresenta invece il tentativo di portare capacità molto avanzate ai difensori prima che strumenti equivalenti diventino ordinari tra gli attaccanti. OpenAI definisce questo intervallo una “cyber defense window” che si sta restringendo: la tesi è che la scoperta automatizzata delle vulnerabilità debba essere messa nelle mani di chi può correggerle prima che l’automazione offensiva raggiunga la stessa velocità. Il risultato è un nuovo equilibrio nel quale modello, accesso, identità dell’utilizzatore, sandbox e monitoraggio diventano parti dello stesso sistema di sicurezza, perché la capacità cyber non può più essere separata dall’ambiente nel quale viene autorizzata a operare.