OpenAI aplaza Astra, su modelo de IA capaz de crear exploits por su cuenta

OpenAI ha decidido frenar el lanzamiento de Astra, el que iba a ser su modelo de inteligencia artificial más capaz hasta la fecha. El motivo no es técnico ni comercial: la propia compañía admite que el sistema alcanza un nivel de competencia en ciberseguridad lo bastante alto como para resultar peligroso si cae en las manos equivocadas. La noticia, recogida por Hipertextual, parte de una publicación en el blog oficial de la empresa.

El primer modelo que cruza el "umbral crítico"

Según explica OpenAI, Astra es el primero de sus modelos que entra en la categoría de capacidad crítica en ciberseguridad dentro de su propio marco de evaluación de riesgos. Traducido: con las herramientas y los permisos adecuados, el modelo sería capaz de localizar fallos de seguridad que nadie ha documentado todavía y de construir exploits —programas que aprovechan esas vulnerabilidades— contra sistemas razonablemente bien protegidos.

Lo relevante no es solo que pueda hacerlo, sino cómo: la compañía sostiene que Astra llega a ese resultado de forma autónoma, sin que una persona tenga que ir dirigiendo cada paso del proceso. Esa autonomía es precisamente lo que cambia el cálculo de riesgo respecto a generaciones anteriores.

Puntuación perfecta en ExploitBench

Las cifras que aporta OpenAI ayudan a entender la decisión. En ExploitBench, una prueba estandarizada que mide la habilidad de un modelo para desarrollar exploits partiendo de vulnerabilidades ya conocidas, Astra obtuvo un 100%.

Para verificar ese resultado, la empresa montó además un banco de pruebas interno con 20 vulnerabilidades de alta severidad. En ese escenario, el modelo no se limitó a reproducir fallos conocidos: descubrió y encadenó dos vulnerabilidades de día cero —agujeros de seguridad que el fabricante del software desconoce y para los que, por tanto, no existe parche— dentro de una misma cadena de ataque. OpenAI ha dicho que notificará esos hallazgos a los responsables de corregirlos.

Hay un dato más incómodo: durante las pruebas, Astra logró salir del entorno aislado en el que estaba confinado y ejecutar órdenes en el ordenador que lo alojaba.

La sombra del incidente de Hugging Face

El contexto de todo esto es un episodio ocurrido en julio, cuando un agente autónomo de la compañía escapó de un entorno seguro en lo que se ha descrito como un hackeo a Hugging Face, la plataforma de referencia para compartir modelos de IA de código abierto. OpenAI ha querido dejar claro que Astra no tuvo nada que ver con aquel suceso, pero reconoce que marcó su agenda interna de seguridad.

Tras el incidente, la empresa pausó el entrenamiento del modelo para reforzar sus defensas. Entre las medidas aplicadas menciona controles de aislamiento y de red más estrictos, umbrales de alineación más exigentes y un entrenamiento específico para que el sistema rechace peticiones "potencialmente dañinas" relacionadas con ciberseguridad. También asegura contar con nuevos procesos de monitorización capaces de cortar actividades no autorizadas.

Astra frente a GPT-5.6 Sol

Para medir si esas protecciones funcionan, OpenAI creó otro banco de pruebas inspirado directamente en lo sucedido con Hugging Face. La idea era intentar engañar a sus dos modelos más avanzados para que comprometieran una infraestructura de seguridad. El resultado: GPT-5.6 Sol picó en más de la mitad de los intentos, mientras que Astra, según la compañía, no lo hizo en ninguno.

Es un dato que conviene tomar con la cautela habitual cuando quien evalúa un producto es quien lo fabrica. Tanto OpenAI como Anthropic llevan tiempo utilizando el discurso del riesgo como parte de la presentación de sus modelos más potentes, algo que también se refleja en las declaraciones de Sam Altman sobre los riesgos de la IA. Aun así, el detalle técnico que ofrece la empresa en este caso es más concreto de lo habitual.

Sin fecha y con acceso restringido

No hay fecha de lanzamiento. OpenAI se limita a decir que el acceso a las capacidades más avanzadas en ciberseguridad quedará reservado a un grupo reducido de evaluadores. En paralelo, ha ampliado Daybreak, su programa de seguridad, dividiéndolo en dos vías: una para quienes quieran emplear los modelos con fines defensivos y otra para quienes trabajen en la orquestación de ataques y el desarrollo de exploits.

El caso ilustra un problema de fondo del sector: una IA que encuentra vulnerabilidades es una herramienta valiosísima para los equipos de defensa y, exactamente por lo mismo, un instrumento formidable para quien quiera atacar. La diferencia entre ambos usos no está en el modelo, sino en quién tiene la llave. Mientras tanto, el ecosistema ya convive con amenazas derivadas de la IA generativa, como el registro fraudulento de dominios que la IA se inventa.