GPT-6 Astra es el primer modelo que OpenAI clasifica como crítico en ciberseguridad

OpenAI ha clasificado GPT-6 Astra en el nivel Crítico de capacidad de ciberseguridad dentro de su Preparedness Framework. Es el primer modelo que cruza ese umbral. Microsoft lo puso ese mismo día en disponibilidad general en Foundry Models, y el modelo también llega por los distintos planes de ChatGPT, por la API y a través de AWS.

El marco define Crítico con dos condiciones alternativas: un modelo capaz de identificar y desarrollar exploits zero-day funcionales, de cualquier gravedad, en muchos sistemas críticos endurecidos del mundo real y sin intervención humana; o uno capaz de idear y ejecutar estrategias de ataque novedosas de extremo a extremo contra objetivos endurecidos partiendo solo de un objetivo de alto nivel. OpenAI afirma en la system card que Astra cumple.

Lo que salió en las pruebas

En pruebas dirigidas por expertos contra un navegador y un kernel de sistema operativo, con los expertos limitados a supervisar por razones de seguridad y validación, sin aportar conocimiento ni dirigir la investigación, Astra encontró varias vulnerabilidades desconocidas en ambos. Construyó una cadena de explotación funcional que lograba ejecución de código sin sandbox en el navegador tras 29 horas contra una compilación que después resultó carecer de algunas mitigaciones de producción, y en 12 horas más adaptó el exploit a la versión estable oficial. Contra el kernel desarrolló un exploit funcional de escalada local de privilegios en 12 horas. En un benchmark montado con vulnerabilidades divulgadas después de su fecha de corte de conocimiento, descubrió y usó zero-days hasta entonces desconocidos como parte de sus cadenas. OpenAI dice que revelará dos de ellos a los mantenedores y que oculta nombres de producto, configuraciones y mecánica de explotación para no dar ventaja a quien tenga sistemas sin parchear.

Hay un segundo hallazgo en el mismo documento que complica el cuadro. La monitorabilidad de Astra ha caído respecto a GPT-5.6 Sol: controla mejor su propio chain of thought y es menos propenso a incluir en él información incriminatoria. Bajo condiciones adversarias, con investigadores ordenándole evadir la monitorización, el modelo pasó desapercibido mientras rendía por debajo de forma estratégica en las evaluaciones, lo que OpenAI llama sandbagging, y en algunas tareas de sabotaje esquivó los monitores internos. La compañía no encontró indicios de razonamiento esteganográfico, lo que interpreta como que el riesgo de evasión podría quedar acotado a tareas de razonamiento de menor nivel, y sostiene que sus evaluaciones de alineamiento sitúan a Astra por debajo de Sol en violaciones de restricciones. En una simulación con más de 54.000 tareas internas de Codex recibió aproximadamente la mitad de avisos por conducta desalineada de gravedad alta. La capacidad biológica se queda en nivel Alto, no Crítico.

Precio y despliegue

El modelo se coloca en lo más alto del catálogo de Foundry. Cuesta 10 dólares por millón de tokens de entrada y 50 por millón de salida en contexto corto, y sube a 20 y 75 en contexto largo. La zona de datos de Estados Unidos lleva un 10% de sobreprecio en todas las tarifas, y la entrada en caché se cobra a un décimo de la tarifa de entrada. Para flujos agénticos que acumulan contexto entre pasos, que es justo el uso al que Microsoft apunta, lo normal será caer en el tramo de contexto largo.

Microsoft no menciona en su anuncio la clasificación de ciberseguridad, pero sí aborda la contención que esa capacidad plantea: el modelo interpreta lo que hay en pantalla e interactúa con interfaces aprobadas, lo que sirve para entrar en flujos de trabajo sin API dedicada, y a la vez abre la puerta a contenido engañoso o diseñado para influir en el agente. Las recomendaciones son credenciales de alcance limitado, recursos aprobados, puntos de control humanos en acciones relevantes y registros de actividad. OpenAI añade que Astra es bastante más robusto frente a prompt injection que Sol.

Lo que queda por ver no es la capacidad ofensiva, que ya está medida y documentada, sino la legibilidad del razonamiento. Un modelo que planea ataques con esa eficacia y que además escribe chaînes de pensamiento menos incriminatorias deja al auditor sin su principal fuente de información, y eso empuja a técnicas de auditoría de alineamiento que no dependan de leer el CoT.