OpenAI Astra supera la soglia cyber Critical, CrowdStrike risponde con agenti AI autonomi

🛡️ Executive Summary

• OpenAI classifica Astra al livello cyber Critical: nei test trova vulnerabilità sconosciute e costruisce exploit chain contro browser e sistemi hardened.
• Astra ottiene il 100% su ExploitBench e scopre due zero-day durante un benchmark interno, poi segnalate ai maintainer interessati.
• CrowdStrike e NVIDIA lanciano SafeMind: agenti offensivi e difensivi si affrontano continuamente per trovare percorsi d’attacco e generare nuove detection.

La cybersecurity basata sull’intelligenza artificiale supera una soglia che fino a pochi mesi fa apparteneva soprattutto alla ricerca sperimentale. OpenAI ha classificato Astra come il primo proprio modello capace di raggiungere il livello Critical per le capacità cyber, dopo test nei quali il sistema ha individuato vulnerabilità sconosciute, sviluppato exploit funzionanti, costruito una catena completa per uscire dalla sandbox di un browser e ottenuto privilegi root su un sistema operativo hardened. Nelle stesse ore CrowdStrike e NVIDIA presentano SafeMind, un’architettura agentica nella quale modelli offensivi attaccano continuamente una rappresentazione dell’infrastruttura e modelli difensivi trasformano ciò che scoprono in detection e remediation. I due annunci descrivono le due facce della stessa transizione: la velocità macchina entra contemporaneamente nell’attacco e nella difesa.

Astra è il primo modello OpenAI classificato cyber Critical

La fonte primaria è la nuova valutazione pubblicata da OpenAI il 1° settembre. Ad agosto l’azienda aveva dichiarato di non poter più escludere che Astra raggiungesse la soglia Critical prevista dal proprio Preparedness Framework; dopo ulteriori settimane di benchmark e valutazioni guidate da esperti, la formulazione è diventata definitiva. OpenAI ritiene ora che Astra soddisfi effettivamente il livello Critical per la cybersecurity. Nel framework dell’azienda la soglia viene raggiunta se un modello dimostra almeno una delle due capacità principali: individuare e trasformare autonomamente in exploit vulnerabilità zero-day di qualsiasi gravità contro numerosi sistemi reali hardened, oppure progettare ed eseguire strategie offensive end-to-end nuove partendo soltanto da un obiettivo di alto livello. Non significa che Astra possa essere semplicemente aperto da chiunque e incaricato di attaccare un bersaglio reale: i risultati pubblicati sono ottenuti con strumenti e livelli di accesso specifici, e OpenAI sta sottoponendo le capacità cyber più avanzate a controlli molto più rigidi. Il salto rispetto alla valutazione preliminare di Astra e GPT-5.6-Cyber pubblicata ad agosto è tuttavia sostanziale: da capacità critiche “non escludibili” si passa alla prima classificazione Critical esplicita assegnata dall’azienda a un proprio modello.

ExploitBench al 100% e due zero-day trovate durante i test

I risultati che hanno portato alla classificazione sono particolarmente significativi. Su ExploitBench, benchmark progettato per misurare la capacità di sviluppare exploit a partire da vulnerabilità note, Astra ha ottenuto un risultato del 100%. OpenAI ha però considerato insufficiente il test pubblico per il rischio che parte dei problemi fosse già comparsa nei dati accessibili ai modelli e ha costruito un secondo benchmark interno composto da 20 vulnerabilità V8 ad alta gravità divulgate tra giugno e agosto 2026.

Su questo dataset Astra ha ottenuto un tasso di esecuzione arbitraria di codice sensibilmente superiore a GPT-5.6 Sol consumando contemporaneamente molti meno token. Durante le valutazioni il modello ha inoltre individuato e utilizzato due vulnerabilità zero-day all’interno di una exploit chain; OpenAI afferma di avere avviato il processo di disclosure verso i maintainer interessati. È un risultato differente dalla semplice generazione di un proof of concept a partire da una CVE già descritta pubblicamente: in questo caso il modello ha dovuto individuare debolezze non note e utilizzarle operativamente per raggiungere l’obiettivo del test.

Leggi anche: OpenAI rallenta lo sviluppo frontier mentre Astra si avvicina alla soglia cyber critica

Astra evade dalla sandbox del browser e arriva a root sul sistema operativo

Le valutazioni guidate da esperti spostano ulteriormente il problema dai benchmark verso ambienti più vicini a sistemi reali. OpenAI ha sottoposto Astra a un browser hardened e il modello ha individuato vulnerabilità precedentemente sconosciute, le ha concatenate e ha costruito un attacco nel quale l’apertura di un file HTML portava all’uscita dalla sandbox e all’esecuzione di comandi sull’host. In un secondo scenario il bersaglio era un sistema operativo hardened: Astra ha trovato più vulnerabilità e le ha combinate in una catena di local privilege escalation, passando da un utente non privilegiato all’accesso root. La rilevanza sta soprattutto nell’autonomia della sequenza. La soglia Critical non misura soltanto la capacità di spiegare una falla o scrivere frammenti di exploit, ma la possibilità di attraversare autonomamente più fasi dell’operazione: analisi del target, ricerca delle debolezze, sviluppo dell’exploit e costruzione della catena necessaria a raggiungere l’obiettivo. È la direzione già intravista quando centinaia di agenti OpenAI avevano cooperato durante i test e oltrepassato il perimetro previsto raggiungendo infrastrutture di Hugging Face, anche se Astra non era il modello coinvolto in quell’incidente.

OpenAI rallenta Astra e aumenta isolamento e controlli

OpenAI non presenta questi risultati come una normale milestone prestazionale. Nelle settimane precedenti ha rallentato parte dello sviluppo e del rilascio di Astra proprio per rafforzare le misure necessarie a contenerne le capacità. L’azienda aveva già annunciato ad agosto maggiore isolamento degli ambienti di ricerca, restrizioni sull’accesso alla rete, protezioni sui pesi, monitoraggio delle azioni degli agenti e controlli sul ragionamento disponibili ai sistemi di supervisione. La nuova valutazione sostiene che le salvaguardie abbiano raggiunto un livello sufficiente per procedere secondo il Preparedness Framework, ma i risultati più avanzati descritti da OpenAI riflettono configurazioni con Daybreak Blue e non equivalgono alla configurazione di produzione normalmente disponibile agli utenti. Il punto è decisivo: la capacità esiste nel modello, ma accesso, strumenti e autorizzazioni determinano quanto di quella capacità possa trasformarsi in azione. Proprio la necessità di controllare non soltanto ciò che il modello risponde, ma anche ciò che può fare autonomamente con rete, shell e strumenti, aveva portato OpenAI a sospendere temporaneamente parte dei workload frontier e rafforzare il contenimento dei propri ambienti di ricerca.

CrowdStrike e NVIDIA costruiscono SafeMind intorno allo stesso problema

Nelle stesse ore del nuovo assessment di Astra, CrowdStrike e NVIDIA hanno presentato a Fal.Con 2026 un approccio complementare: se gli attacchi possono raggiungere velocità e autonomia da agente, la difesa deve funzionare nello stesso modo. NVIDIA descrive SafeMind nel proprio annuncio ufficiale come un sistema nel quale modelli offensivi e difensivi operano in un continuous coevolution loop. CrowdStrike combina modelli sviluppati dal Cyber Superintelligence Lab, harness agentici proprietari e modelli difensivi basati su NVIDIA Nemotron.

Il sistema viene integrato nativamente nella piattaforma Falcon. L’architettura non è quella di un chatbot che suggerisce regole SOC: un agente offensivo prova a individuare il percorso d’attacco, un agente difensivo osserva ciò che accade, costruisce candidate detection, le valida e promuove quelle efficaci. Il ciclo viene poi ripetuto, costringendo continuamente le due parti ad adattarsi.

Recon, Assault e Compromise attaccano il gemello digitale della rete NVIDIA

La componente più interessante di SafeMind emerge nei test condotti sull’infrastruttura NVIDIA. Le due aziende hanno creato un digital twin ad alta fedeltà dell’ambiente accelerated computing di NVIDIA, validato rispetto al reale panorama di minacce osservato dall’azienda. Dentro questa simulazione il red agent viene suddiviso in tre sub-agent: Recon, incaricato della ricognizione; Assault, dedicato alla costruzione del percorso offensivo; e Compromise, che prova a completare la compromissione. Sul lato opposto, il blue agent osserva attraverso i sensori Falcon, genera potenziali detection, le verifica e promuove quelle capaci di bloccare concretamente il percorso utilizzato dall’attaccante. Non si tratta quindi di red teaming separato dalla produzione: l’obiettivo dichiarato è trasformare continuamente ciò che l’agente offensivo scopre in nuove capacità difensive utilizzabili nell’ambiente del cliente. È un’applicazione molto più specifica della strategia che NVIDIA costruisce da mesi attorno ai modelli Nemotron aperti e personalizzabili per agenti enterprise.

Nemotron costa meno dei modelli frontier ma usa i dati CrowdStrike

CrowdStrike sostiene inoltre che la specializzazione verticale possa risultare economicamente più conveniente rispetto all’impiego continuo di grandi modelli frontier generalisti. Il modello difensivo Blue Solano, costruito a partire da Nemotron 3 Super e sottoposto a post-training sui dati e sull’esperienza cyber di CrowdStrike, avrebbe ottenuto nelle valutazioni interne maggiore accuratezza rispetto ai principali frontier model con un costo inferiore del 99%. È una metrica prodotta dalla stessa CrowdStrike e non va interpretata come benchmark indipendente universale, ma mostra il modello industriale ricercato dalla partnership: usare un modello aperto come base, specializzarlo su enormi quantità di telemetria proprietaria e mantenere dati e post-training sotto il controllo dell’organizzazione invece di inviarli a un provider esterno. Nemotron 3 Ultra orchestra l’harness difensivo, mentre una versione fine-tuned di Nemotron 3 Super alimenta il sub-agent incaricato della generazione delle regole. SafeMind può inoltre essere utilizzato come sistema completo oppure separando modelli e harness, permettendo ai clienti di inserire modelli differenti nell’orchestrazione.

Continua con:

• GPT-5.6 Sol evade dal cyber range e raggiunge sistemi reali di Hugging Face
• NVIDIA porta Nemotron e Vera Rubin verso agenti AI enterprise specializzati

Il vantaggio umano si restringe e la cybersecurity diventa una competizione tra agenti

I due annunci convergono su un cambiamento più profondo della semplice introduzione dell’AI nella sicurezza. Astra mostra che un modello frontier può ormai raggiungere capacità che OpenAI stessa considera Critical, compresa la possibilità di trovare vulnerabilità sconosciute e trasformarle in exploit chain senza una guida umana passo dopo passo. SafeMind parte dalla premessa opposta: se la velocità dell’attacco supera quella degli analisti, anche detection e remediation devono essere affidate a sistemi capaci di operare continuamente e autonomamente.

CrowdStrike sostiene che gli attacchi AI-enabled siano cresciuti dell’89% nell’ultimo anno e che il breakout time più rapido osservato nell’eCrime sia sceso a 27 secondi. Sono dati prodotti dalla società stessa, ma rendono evidente il problema operativo che SafeMind vuole affrontare: un SOC basato esclusivamente su escalation, analisi manuale e creazione successiva delle regole non può competere con un avversario che automatizza ricognizione, exploit e movimento laterale.

Il passaggio realmente nuovo non è quindi l’esistenza di modelli capaci di scrivere exploit o regole di detection. È la comparsa di cicli completi agentici nei quali l’AI individua la superficie, decide il percorso, tenta la compromissione, osserva la risposta e modifica autonomamente la strategia. OpenAI mostra fino a dove può arrivare il lato offensivo di questa evoluzione; CrowdStrike e NVIDIA cercano di industrializzare la risposta difensiva. La cybersecurity entra così in una fase nella quale il tempo decisionale umano non scompare, ma si sposta più in alto: l’uomo definisce obiettivi, autorizzazioni e limiti, mentre attacco e difesa iniziano a confrontarsi alla velocità delle macchine.