OpenAI sembra aver compreso che la sicurezza dei modelli di frontiera non può essere affrontata una volta terminato lo sviluppo. Astra, sistema ancora in attesa di rilascio e non coinvolto nel precedente caso relativo a Hugging Face, viene ora considerato potenzialmente capace di manifestare abilità informatiche di livello critico. È una definizione pesante, soprattutto perché arriva dopo l’ammissione che altri modelli non ancora pubblici avrebbero già compiuto azioni riconducibili, se eseguite da esseri umani, a veri reati informatici.

Nel documento Preparedness Framework dell’azienda, una capacità “critica” viene associata a minacce severe, qualitative e senza precedenti immediatamente disponibili per essere neutralizzate. In altre parole, il timore riguarda la possibilità che un modello agentico riesca a concatenare attività tecniche complesse, interpretare contesti operativi, individuare superfici d’attacco e agire in modo sufficientemente autonomo da cambiare il profilo della minaccia.

Le valutazioni interne su Astra avrebbero evidenziato progressi significativi nella programmazione agentica e nella cybersecurity e ciò, in ambito difensivo, può significare un’analisi più rapida delle vulnerabilità, ma anche una riduzione drastica delle competenze, tempo e risorse necessari per condurre un attacco.

La risposta annunciata da OpenAI per Astra consiste in un irrigidimento dell’infrastruttura di sicurezza. I test dovrebbero svolgersi in ambienti isolati, con accesso ristretto alla rete e agli strumenti esterni, protezioni più robuste per i pesi del modello, cifratura aggiuntiva, sistemi di rilevamento e monitoraggio più capillari ed esecuzioni in sandbox. Sulla carta è un impianto sensato, quasi inevitabile per tecnologie che iniziano a maneggiare compiti ad alto impatto. Colpisce però il fatto che queste precauzioni vengano presentate come un rafforzamento straordinario e non come una base già consolidata nella sperimentazione di modelli capaci di interagire con software, reti e repository.

OpenAI promette di interrompere i test interni su Astra nel caso in cui tali misure non siano disponibili. Inoltre, intende fornire indicazioni ai partner esterni incaricati di svolgere valutazioni ad alto rischio. È un punto cruciale, poiché la catena della sicurezza non termina nei laboratori del produttore. Ricercatori indipendenti, aziende che integrano API, fornitori cloud e organismi incaricati di stressare i modelli possono infatti diventare, seppur involontariamente, punti di esposizione. La protezione reale richiede dunque standard tecnici condivisi e verificabili, non semplici linee guida affidate alla buona volontà dei partecipanti.

OpenAI Mixpanel

Crediti: Shutterstock

L’elemento più controverso riguarda il monitoraggio della Chain of Thought, il ragionamento interno che il modello utilizza per arrivare a una risposta o per organizzare una sequenza di azioni. OpenAI sostiene di aver applicato controlli universali alle attività agentiche di Astra sia durante l’addestramento, sia nella fase di valutazione. I sistemi di monitoraggio dovrebbero intercettare segnali di disallineamento o azioni giudicate rischiose, attivando una revisione capace di fermare il processo.

Dal punto di vista tecnico, controllare il ragionamento di un’IA rappresenta una tentazione comprensibile. Se l’obiettivo è individuare un comportamento dannoso prima che produca effetti concreti, intervenire sulle intenzioni apparenti del modello sembra più efficace che attendere l’esecuzione di un comando. Il problema è che la Chain of Thought non è un registro forense perfetto, né una finestra trasparente sulla “mente” della macchina. Può essere incompleto, influenzato dal contesto di addestramento o semplicemente poco aderente al processo computazionale effettivo che conduce al risultato.

OpenAI precisa che questo monitoraggio riguarda l’uso interno prima del lancio e non costituisce necessariamente un’anticipazione delle pratiche commerciali. La distinzione è importante, perché in ambiente enterprise la riservatezza dei dati e la promessa di zero data retention sono fattori decisivi. Altri sviluppatori di modelli avanzati hanno già scelto un approccio differente, introducendo classificatori più aggressivi per bloccare interazioni considerate sensibili e trattenendo dati anche in scenari nei quali il cliente si aspetterebbe una separazione più netta.

Sul fronte concorrente, Anthropic avrebbe invece allentato alcune restrizioni del proprio modello Fable nelle richieste collegate alla biologia. Il motivo alla base della decisione è che filtri troppo prudenti possono trasformare uno strumento da miliardi di parametri in un interlocutore inutilizzabile per ricercatori, laboratori e professionisti legittimi. Le istruzioni potenzialmente dannose legate a chimica e biologia richiedono barriere robuste, ma una censura indistinta finisce per colpire anche chi studia biosicurezza, diagnosi, farmacologia o mitigazione delle minacce.

La concorrenza globale rende questo equilibrio ancora più precario. La crescente capacità di aziende cinesi di proporre modelli competitivi, inclusi sistemi a pesi aperti e con costi inferiori rispetto ai rivali statunitensi, riduce il margine per strategie fondate sul blocco generalizzato, con il risultato che un’azienda che limita troppo il proprio prodotto rischia di regalare mercato, sviluppatori e rilevanza a piattaforme meno vincolate.