OpenAI ha fermato un suo modello su un «non possiamo escludere». Nella tua azienda, cosa fa scattare uno stop?

Il 10 agosto 2026 OpenAI ha scritto che le valutazioni interne del suo prossimo modello, Astra, non le permettono di escludere capacità cyber di livello critico. Ha fermato delle attività senza avere la prova, e ha potuto farlo in fretta per un motivo che riguarda ogni azienda: quella decisione era già scritta da due anni e mezzo.

Il 10 agosto 2026 OpenAI ha pubblicato una nota di poche righe su una decisione presa la sera prima. Le valutazioni interne degli ultimi giorni su Astra, uno dei modelli che deve ancora uscire, mostrano progressi tali nella programmazione autonoma e nella sicurezza informatica che l'azienda, insieme ai suoi esperti, è arrivata a una conclusione scomoda: non può escludere che quel modello abbia capacità cyber di livello «critico», la soglia più alta prevista dal suo Preparedness Framework.

La lettura che girerà è quella da titolo di giornale, con l'AI che sta per hackerare il mondo e la corsa fra laboratori che accelera. Per chi manda avanti un'azienda la cosa interessante sta altrove, e non riguarda di cosa sia capace Astra. Riguarda la forma di quella decisione, perché è stata presa su un dubbio invece che su una certezza, ed è stata presa in un giorno solo.

Cosa vuol dire «critico», detto con le loro parole

Conviene leggere la definizione per intero, perché è più stretta di come la racconteranno. Un modello raggiunge la soglia critica per la sicurezza informatica se sa individuare e sviluppare da solo, senza intervento umano, exploit zero-day funzionali di qualunque gravità su molti sistemi reali già ben protetti, oppure se sa ideare ed eseguire dall'inizio alla fine strategie nuove di attacco contro bersagli protetti avendo ricevuto soltanto un obiettivo generico.

I modelli precedenti, GPT-5.6 Sol compreso, erano stati valutati al livello «alto», che è quello sotto. Astra è il primo su cui l'azienda scrive di non potere escludere il livello sopra, e lo scrive mentre le valutazioni sono ancora in corso.

Nella nota c'è anche una precisazione secca, che serve a separare due storie: Astra non c'entra con l'intrusione in Hugging Face di luglio, quella in cui un modello di prova è uscito dall'ambiente isolato per copiare le risposte di un test.

La frase che in azienda non si dice mai

«Non possiamo escludere» è un modo elegante per dire che non si sa. In quasi tutte le aziende in cui entro, una frase così non ferma niente: si aspetta la conferma, si chiede un altro parere, si mette all'ordine del giorno del prossimo lunedì. La conferma poi arriva sempre, di solito insieme al danno. È il gemello dell'altro guasto di cui ho scritto, il controllo ripetuto che diventa un timbro: in un caso si guarda senza fermare mai niente, nell'altro non si guarda finché non c'è la prova.

Qui invece l'incertezza ha fatto scattare una lista di cose già pronte. Hanno rafforzato i controlli di sicurezza per i modelli più capaci, con ambienti di test isolati, accesso a rete e strumenti ristretto, protezione e cifratura dei pesi del modello, monitoraggio e rilevamento aggiuntivi, esecuzione in spazi chiusi. Hanno sospeso le attività interne su Astra che non rispettano ancora quei requisiti. Hanno acceso un monitoraggio su tutte le applicazioni del modello, addestramento e valutazioni compresi, che legge la catena di ragionamento e fa scattare una risposta di sicurezza per interrompere le attività a rischio. E hanno annunciato che porteranno il modello davanti ad agenzie governative e a organizzazioni scelte che si occupano di sicurezza dell'AI.

Nessuna di queste misure aspetta di sapere come è andata la valutazione. Partono sul dubbio, e questa è la parte che si può copiare anche con quaranta dipendenti.

La regola era scritta da due anni e mezzo

Il pezzo che rende possibile tutto il resto sta in una riga della nota, ed è facile scorrerla senza vederla. Il Preparedness Framework è stato pubblicato nel dicembre 2023, quando i modelli erano lontanissimi dai livelli di cui si parla adesso, e nella nota lo dicono chiaramente: era stato scritto per avere una guida su cosa fare quando quelle capacità fossero emerse.

Era già successo una volta. A giugno 2025, avvicinandosi alla soglia alta per la biologia, avevano tirato fuori lo stesso documento e applicato la stessa procedura. Una regola scritta quando il problema non c'è ancora è l'unica che al momento buono non si discute, perché nessuno ha interesse a piegarla: quando la scrivi non sai ancora chi danneggerà. Ne ho scritto anche a proposito di chi le regole le scrive di mestiere, e vale nello stesso identico modo per una carpenteria.

La regola scritta a luglio e il caso arrivato ad agosto

In un'azienda di system integration in Romagna abbiamo messo giù a fine luglio le regole interne sull'uso dell'AI. Dentro c'era una riga sulle credenziali, e diceva una cosa netta: una regola del firewall, uno schema di rete o una stringa di connessione incollati in una chat vanno considerati compromessi, quindi si cambiano. Il giorno che l'abbiamo scritta era una precauzione teorica e qualcuno l'ha pensato.

Poco dopo, in aula, è saltato fuori il primo caso vero. Uno dei presenti ha raccontato di aver lavorato dal proprio account personale, per il motivo più banale del mondo, cioè che l'accesso a quello aziendale non ce l'aveva. Nessuno ha dovuto aprire una discussione su cosa fosse grave e cosa no: c'era già scritto cosa si fa. Quella conversazione è durata cinque minuti invece di una riunione, ed è tutto il valore di aver messo giù le regole in anticipo.

L'onestà su questa storia

Va detta anche la parte che sgonfia il titolo, incluso il mio. «Non possiamo escludere» non vuol dire «abbiamo», le valutazioni sono dichiarate preliminari e i risultati non sono pubblici, quindi al momento nessuno fuori da OpenAI ha visto le prove. Il quadro con cui l'azienda si giudica se l'è scritto da sola, se lo applica da sola e decide da sola quando una soglia è superata: il coinvolgimento di agenzie e valutatori esterni è annunciato per il futuro, non è una verifica già avvenuta.

C'è poi il contesto, e conta. Questa nota arriva dopo un mese in cui i modelli di più aziende sono usciti dai recinti durante i test di sicurezza, con l'azienda sotto osservazione: mostrarsi prudenti, in quel momento, è anche comunicazione. Vale la pena tenerlo presente senza rovesciare il tavolo, perché il comportamento resta quello giusto pure quando conviene a chi lo tiene. Chi ti vende un corso partendo da questa notizia sta usando una paura che riguarda i laboratori di frontiera, non il tuo ufficio.

Cosa farei domattina

Scegli una sola cosa che in azienda può fare male davvero e che oggi si ferma soltanto se qualcuno alza la voce: un dato dei clienti che esce, una fornitura che parte senza collaudo, un pagamento sopra una certa cifra, un accesso dato a chi non doveva averlo. Scrivi in tre righe cosa deve succedere perché quella cosa si fermi, e scrivile adesso che non sta succedendo niente, perché è l'unico momento in cui riesci a essere onesto. La prima riga è la soglia, e dev'essere un numero o un fatto osservabile, non un'impressione. La seconda è chi può dire stop, con nome e cognome, e va scelto qualcuno che non abbia interesse a non dirlo. La terza è cosa succede nei primi trenta minuti dopo lo stop, perché una regola che dice solo «fermarsi» lascia tutti fermi a guardarsi. Stampale e attaccale dove quella cosa succede, poi dimenticatene. Il giorno in cui servono, il valore non sarà l'aver previsto il caso, sarà non dover discutere mentre si decide. La domanda con cui ti lascio vale per qualunque azienda, anche per una che di modelli di frontiera non ne ha mai visto uno: nella tua azienda, l'ultima volta che qualcuno ha detto «non sono sicuro», si è fermato qualcosa?

(Fonte: OpenAI, «Responding to the next frontier of critical cyber capabilities», 10 agosto 2026; Preparedness Framework, prima versione dicembre 2023.)