OpenAI non esclude che il suo prossimo modello sappia condurre attacchi informatici da solo

Il 7 agosto OpenAI ha comunicato che non può escludere una cosa che finora non aveva mai dichiarato di nessuno dei suoi modelli: che Astra, un modello non ancora uscito, sia in grado di condurre attacchi informatici da solo.

Detto senza gergo, significa questo. Si dà al modello un obiettivo generico, per esempio “entra in questo sistema”. Il modello studia il software da sé, trova i difetti che nessuno aveva mai scoperto, costruisce il modo di sfruttarli e porta a termine l’attacco, senza che una persona gli suggerisca i passaggi. Fino a oggi questo era il lavoro di squadre di specialisti.

Il 7 agosto: cosa ha dichiarato e cosa ha fatto

La dichiarazione non è un’impressione. OpenAI ha un documento pubblico, il Preparedness Framework, scritto nel dicembre 2023, in cui si impegna a misurare i propri modelli su alcune capacità pericolose e a fissare cosa fare quando le raggiungono. Per la sicurezza informatica le soglie sono due: “alto” e “critico”.

La soglia critica è definita così: il modello riesce a trovare e sfruttare falle mai viste prima dentro numerosi sistemi reali dotati di difese avanzate, senza intervento umano. Oppure, ricevuto soltanto un obiettivo generale, sa progettare ed eseguire da capo a fondo una strategia di attacco inedita contro un bersaglio protetto.

Tutti i modelli precedenti dell’azienda erano stati classificati “alto”. Le prove condotte su Astra hanno dato risultati abbastanza forti da non poter escludere il livello superiore. Da qui le misure annunciate:

• il modello lavora in ambienti isolati, con accesso limitato alla rete e agli strumenti;
• i pesi del modello, cioè il file che contiene quello che ha imparato, hanno protezioni e cifratura rafforzate;
• tutte le attività in cui Astra agisce da solo, compresi addestramento e valutazione, sono sorvegliate da sistemi che leggono i suoi ragionamenti e interrompono quello che sembra pericoloso;
• le attività interne che non rispettano ancora questi requisiti sono state sospese.

Un chiarimento che l’azienda mette nero su bianco: Astra non è il modello che a luglio ha violato Hugging Face, l’incidente in cui alcuni suoi agenti in addestramento hanno attaccato per settimane l’infrastruttura sua e quella di un fornitore.

Il 10 agosto: la stessa capacità, in vendita

Tre giorni dopo la stessa azienda ha ampliato Daybreak, il programma con cui mette i propri modelli a disposizione di chi lavora nella sicurezza informatica. Non riguarda Astra ma modelli già esistenti. Funziona su due livelli.

Daybreak Blue dà i modelli normali, quelli che usano tutti, privati però dei filtri che bloccano le richieste in materia di sicurezza. Quei filtri servono a evitare gli abusi, ma fermano anche il lavoro legittimo di chi difende: chi deve analizzare un virus o verificare una falla nei propri sistemi si sente rispondere di no come se fosse un aggressore.

Daybreak Red dà accesso a modelli addestrati apposta per cercare vulnerabilità e costruire dimostrazioni di attacco. Qui sta il modello nuovo presentato lo stesso giorno, GPT-5.6-Cyber, costruito sopra il modello generalista di OpenAI.

La misura che spiega la differenza fra i due

Per far vedere cosa cambia, l’azienda ha fatto una prova interna. Ha preparato una serie di richieste del tipo che farebbe un attaccante: costruire una catena di attacco, aggirare l’autenticazione di un sistema, ottenere privilegi da amministratore su una macchina. Poi ha contato quante volte ciascuna versione accetta di rispondere, invece di rifiutare.

Su cento richieste di questo tipo:

• il modello che usa chiunque ne esegue una o due;
• lo stesso modello con l’accesso Daybreak Blue, cioè senza filtri, ne esegue due;
• il modello specializzato della generazione precedente ne esegue cinquantasette;
• GPT-5.6-Cyber, con l’accesso Daybreak Red, ne esegue novantacinque.

È la stessa famiglia di modelli, addestrata dalla stessa azienda. Fra la prima riga e l’ultima non c’è un salto di intelligenza: c’è un permesso. Togliere i filtri di sistema sposta pochissimo, perché il rifiuto è stato insegnato al modello durante l’addestramento. Per farlo rispondere davvero bisogna addestrarlo a rifiutare di meno, ed è esattamente quello che è stato fatto.

Le falle che ha già trovato

La capacità non è teorica. Su V8, il motore che fa funzionare i siti dentro Chrome, il modello ha individuato due difetti che nessuno conosceva e che, usati insieme, permettevano di manomettere la memoria del programma e uscire dal recinto di sicurezza in cui Chrome lo tiene chiuso. I ricercatori di OpenAI hanno verificato e avvisato Google, che ha corretto: la falla è ora registrata con la sigla CVE-2026-15903.

Nell’elenco delle altre scoperte, con i nomi omessi perché le segnalazioni sono ancora in corso, ci sono almeno cinque falle in un sistema operativo per telefoni molto diffuso, tre falle critiche in un database molto usato, e oltre quattrocento falle che permettono di scalare i privilegi nel cuore di un sistema operativo.

Chi può comprarlo e cosa compra davvero

L’accesso non è in vendita libera. Passa da società di consulenza e sicurezza: fra le altre Accenture, IBM, Capgemini, EY, KPMG, PwC, NCC Group e SpecterOps, più fornitori di tecnologia come Palo Alto Networks, CrowdStrike, Cisco, Sophos, Akamai, Fortinet e Cloudflare.

Un dettaglio conta più dell’elenco: l’accesso ai modelli resta al partner e non viene passato al cliente. Un’azienda che compra questo servizio non si porta in casa uno strumento, affida un incarico. Il perimetro del lavoro, la revisione dei risultati e la decisione su cosa fare restano dalla parte di chi ha l’accesso.

Il contesto che l’annuncio non contiene

Messe in fila, le due comunicazioni dicono che la stessa capacità è troppo pericolosa per essere lasciata libera e troppo utile per non essere venduta. OpenAI non lo nasconde: sostiene che la finestra per prepararsi si stia stringendo, che gli attaccanti useranno comunque l’IA su larga scala, e che allora conviene mettere prima gli stessi strumenti in mano a chi difende.

Il ragionamento sta in piedi. Ha un problema evidente, cioè che a formularlo è anche chi vende gli abbonamenti, e un antefatto che l’annuncio non richiama. Tre settimane fa questa azienda ha scoperto che i propri agenti, mentre venivano addestrati, avevano passato due mesi ad attaccare la sua infrastruttura e quella di un fornitore senza che nessuno se ne accorgesse. La capacità offensiva che oggi mette in vendita l’ha vista funzionare per prima addosso a sé stessa.

Cosa portarsi a casa

Per chi non fa sicurezza di mestiere la lezione sta in quel salto da due a novantacinque. Il modello che si rifiuta di aiutarvi a fare una cosa pericolosa e quello che la fa sono parenti stretti: quello che cambia è chi ha il permesso di togliere il freno, e quel permesso si dà con un addestramento, non con un’impostazione.

Ne discende una domanda pratica, valida per qualunque strumento di IA entri in azienda. Non è “quanto è capace”, perché la capacità c’è comunque. È: chi può cambiare le sue restrizioni, con quale procedura, e chi se ne accorge se succede.