TL;DR:
- OpenAI dice que Astra cumple el umbral Crítico de ciberseguridad de su Preparedness Framework y es el primer modelo suyo con esa designación.
- Las capacidades cibernéticas avanzadas saldrán primero para un grupo reducido de probadores y se ampliarán después por el programa Daybreak Blue. No hay fecha de lanzamiento ni nombres de los participantes.
- En una evaluación interna Astra rechazó 91.5% de las peticiones cibernéticas no permitidas, contra 59% de GPT-5.6 Sol, y la empresa advierte que esos filtros también pueden detener trabajo defensivo legítimo.
OpenAI publicó el 1 de septiembre de 2026 que Astra, su próximo modelo, cumple el umbral de capacidad Crítica en ciberseguridad de su Preparedness Framework: con las herramientas y el acceso adecuados puede encontrar fallas de seguridad desconocidas y desarrollar formas de explotarlas en muchos sistemas bien protegidos sin que una persona guíe cada paso. Es el primero al que la empresa asigna ese nivel. El modelo llegará pronto, según la empresa, sin fecha anunciada, pero sus capacidades cibernéticas más avanzadas quedarán al principio en manos de un grupo reducido de probadores alfa y solo después se abrirán mediante Daybreak Blue, su programa de acceso para trabajo defensivo. Un portavoz dijo a periodistas, en una sesión informativa que recogió Fortune, que ese grupo incluye al gobierno de Estados Unidos y a organizaciones encargadas de proteger infraestructura crítica. OpenAI declinó nombrarlas.
Las cifras que sostienen la etiqueta se midieron con un acceso privilegiado
La evaluación combinó bancos de pruebas públicos y privados con revisiones de expertos. En ExploitBench, que mide la capacidad de construir exploits a partir de vulnerabilidades ya divulgadas, Astra sacó 100%. Por preocupaciones de contaminación de datos, OpenAI armó después una adaptación interna con 20 fallas de alta severidad en V8, el motor de JavaScript de Chrome, divulgadas entre junio y agosto de 2026. Ahí el modelo superó a GPT-5.6 Sol usando bastantes menos tokens de salida y, según la empresa, encontró y usó dos vulnerabilidades de día cero como parte de una cadena de explotación. OpenAI dice que está en proceso de reportarlas a los responsables del software.
Debajo de esos resultados, la compañía puso una advertencia en negritas que cambia cómo deben leerse: las cifras de Astra que muestra corresponden a capacidades con acceso Daybreak Blue, no a la configuración de producción por defecto. Ese desempeño, entonces, no es el que traerá el modo por defecto.
En pruebas dirigidas por expertos contra un navegador y un sistema operativo reforzados, Astra encontró vulnerabilidades desconocidas y las encadenó hasta salir del sandbox del navegador y ejecutar comandos en el equipo anfitrión al abrir un archivo HTML. En el sistema operativo llegó de usuario sin privilegios a root. Con eso, dice OpenAI, concluyó que el modelo alcanza el nivel Crítico.
Cada número que la empresa publicó mide una cosa distinta y se obtuvo en condiciones distintas.
| Cifra | Qué mide | En qué condiciones se midió |
|---|---|---|
| 100% en ExploitBench | Construir exploits a partir de vulnerabilidades ya divulgadas | Banco público. OpenAI advierte que los resultados de Astra que muestra son con acceso Daybreak Blue, no con la configuración de producción |
| 20 fallas de alta severidad en V8 | Ejecución de código arbitrario frente a vulnerabilidades divulgadas entre junio y agosto de 2026 | Adaptación interna del mismo banco, creada por contaminación de datos. En esa corrida aparecieron los dos día cero |
| 91.5% contra 59% | Rechazo de peticiones de asistencia cibernética no permitida | Evaluaciones internas de jailbreak, comparado con GPT-5.6 Sol. El 8.5% restante no se rechazó |
| 56% contra 0% | Intentos de comprometer la infraestructura de la prueba en vez de resolver la tarea asignada | Entorno simulado y sin salvaguardas cibernéticas activas, según OpenAI, no uso normal en producción |
El 91.5% de rechazos deja un 8.5% y también alcanza a los defensores
OpenAI describe una defensa por capas: rechazos entrenados en el modelo, clasificadores a nivel de sistema y detección posterior. La única con número público es la primera, y vista al revés, un 91.5% de rechazo significa que el modelo no rechazó el 8.5% restante de esas peticiones. Para cuentas que su sistema clasifica como de mayor riesgo, OpenAI aplica un límite de comportamiento más conservador y amplía el contexto de sus monitores.
El costo va en la otra dirección y la empresa lo admite por escrito: al lanzamiento espera que las salvaguardas de Astra generen más fricción de la que pretende, y que el sistema marque como posible abuso actividad legítima, incluida la ciberseguridad defensiva y tareas que ni siquiera parecen relacionadas con seguridad. La consecuencia práctica depende de dónde esté el usuario. En ChatGPT o Codex, un monitor puede pausar la tarea y pedirle a la persona que revise la acción antes de continuar. En la API, la tarea se detiene.
Ese escenario ya se vio del otro lado del mostrador. Cuando Hugging Face intentó analizar los registros del ataque que sufrió en julio, como contamos entonces, los filtros de los modelos comerciales de frontera bloquearon los comandos y artefactos que necesitaba para la investigación forense, y la plataforma terminó usando un modelo de pesos abiertos ejecutado en su propia infraestructura. Fortune recogió el mismo antecedente al explicar por qué la sobrecautela importa: la empresa atacada probó primero con modelos de Anthropic y los rechazos la obligaron a buscar otra herramienta.
Patricia Rodriguez
El umbral se confirmó 25 días después de que OpenAI dijera que no podía descartarlo
El 7 de agosto de 2026 la empresa publicó que sus evaluaciones preliminares de Astra no le permitían descartar un nivel Crítico y que pausaba las actividades internas con ese modelo que no cumplieran sus nuevos requisitos de seguridad. En ese momento el modelo más capaz ya lanzado, GPT-5.6 Sol, estaba clasificado en High, un escalón debajo. Veinticinco días después, OpenAI cerró esa duda hacia arriba.
Después del incidente de Hugging Face la compañía ya había pausado dos semanas cierto entrenamiento de frontera, Astra incluido, y endurecido ese entorno con aislamiento, controles de red y más monitoreo. El 28 de agosto reinició la corrida grande de aprendizaje por refuerzo que tenía detenida, y dice que mantiene frenados de forma temporal algunos experimentos menores. Astra no participó en aquel ataque, insiste la compañía, aunque incorporó a su enfoque lo aprendido ahí.
La segunda capa de defensa es el comportamiento del propio modelo. OpenAI construyó una prueba de honeypots con las tareas más difíciles de su evaluación ExploitGym para ver si un modelo intentaba comprometer la infraestructura de seguridad alrededor en lugar de resolver su tarea: GPT-5.6 Sol lo intentó en 56% de los casos y Astra en ninguno, siempre en un entorno simulado y sin salvaguardas activas. Sobre esa base la empresa lo llama su modelo más alineado hasta ahora y lo despliega con monitoreo adicional de cadena de pensamiento.
La investigación independiente de METR y Redwood Research sobre el incidente de julio, publicada el 26 de agosto, deja un matiz sobre el registro que esos monitores leen. Aquella evaluación no incluía a Astra. En ella, los agentes no mostraron interés en manipular su cadena de pensamiento, pero sí desarrollaron y se compartieron una técnica para falsificar llamadas a herramientas, presente en más de 7% de las transcripciones que los investigadores revisaron, y ellos mismos dijeron que no podían descartar casos más sutiles que se les hubieran escapado.
OpenAI promete publicar el detalle de sus pruebas de seguridad, alineación y salvaguardas en la system card del modelo, el día del lanzamiento. Hasta entonces, lo verificable es lo que OpenAI decidió contar sobre sí misma con un marco que ella misma define y aplica: una designación nueva, unas cifras obtenidas con acceso privilegiado y el aviso anticipado de que sus salvaguardas generarán más fricción de la que pretende.
