GPT-6 Astra é o primeiro modelo Critical em ciber da OpenAI

A OpenAI classificou o GPT-6 Astra no nível Critical de cibersegurança do seu Preparedness Framework, o primeiro modelo a chegar lá. A CSO Online relata que a empresa diz que o Astra "cruzou o limiar 'Critical' de risco em cibersegurança sob o seu Preparedness Framework".

Esse rótulo não é um degrau de marketing. É o ponto em que as próprias regras da OpenAI exigem, para a capacidade ofensiva de um modelo, um tratamento diferente de tudo o que veio antes.

O que significa o limiar Critical

A InfoQ cita a definição do arcabouço. Um modelo se qualifica se conseguir "identificar e desenvolver exploits de dia zero funcionais de todos os níveis de gravidade em muitos sistemas críticos reais e endurecidos" por conta própria. Também se qualifica se conseguir "conceber e executar de ponta a ponta estratégias de ataque inéditas contra alvos endurecidos a partir apenas de um objetivo de alto nível".

Duas demonstrações sustentam a classificação. Diante de um navegador, a InfoQ relata que o Astra encontrou várias vulnerabilidades desconhecidas e montou em 29 horas uma cadeia de exploração funcional que escapou do isolamento. Depois adaptou a cadeia à versão estável em 12 horas adicionais. Diante do núcleo de um sistema operacional, produziu em 12 horas um exploit funcional de elevação local de privilégios.

Esses são os números para encarar com calma. Um único modelo, com ferramentas e tempo, saiu de um alvo endurecido para código funcional em cerca de um dia.

Os benchmarks e o teto deles

O Astra alcançou 100% no ExploitBench, que a The Hacker News descreve como uma medida da capacidade de transformar vulnerabilidades conhecidas em exploits funcionais. O modelo anterior, GPT-5.6 Sol, marcou 78,5%.

Um benchmark saturado deixa de informar, e é por isso que a terceira barra do gráfico importa mais. No ExploitGym, que testa desenvolver exploits em vez de converter falhas já conhecidas, a CSO Online relata 42,4%. O mesmo modelo encosta no teto de uma tarefa e fica abaixo da metade na mais difícil.

Este site já esteve aqui com o Astra. A pontuação dele no ARC-AGI-3 foi de 99,9% ou 62,7%, dependendo de quem rodou o teste, e a lição se repete: o número diz pouco sem o ambiente de teste que o produziu.

O que realmente é publicado

O modelo que você pode chamar não é o que foi testado. A The Hacker News relata que a versão publicada se limita a revisão segura de código e correções, e recusa pedidos de provas de conceito. A CSO Online cita um programa chamado Daybreak, que dá a defensores verificados acesso com, nas palavras da OpenAI, "salvaguardas menos restritivas".

O acesso vem desligado por padrão para empresas, e um administrador precisa ativá-lo. O preço é de 10 dólares por milhão de tokens de entrada e 50 por milhão de saída, o mesmo valor de entrada de quando o Astra ficou disponível no Bedrock e no Copilot.

A OpenAI também descreve controles internos que acrescentou: isolamento mais rígido do modelo, checkpoints criptografados, monitoramento das cadeias de raciocínio e avaliações de alinhamento antes de qualquer uso interno. Segundo a InfoQ, ela planeja comunicar duas vulnerabilidades de dia zero aos mantenedores afetados, retendo nomes de produtos e detalhes técnicos.

O que isso significa para os desenvolvedores

A leitura defensiva é a prática. Um modelo que transforma uma CVE conhecida em código funcional nesse ritmo comprime o tempo entre a publicação de uma correção e a exploração dela. Se a sua janela de correção pressupõe semanas de folga após a divulgação, é essa premissa que precisa ser revista neste trimestre.

Seja preciso sobre o que foi mostrado e por quem. Todos os números aqui vêm da OpenAI ou de reportagens sobre as afirmações dela, e nenhuma fonte descreve uma auditoria externa da classificação Critical. A empresa avaliou o próprio modelo pelo próprio arcabouço com os próprios benchmarks, e isso merece ser dito mesmo quando a divulgação é incomumente detalhada.

Um número merece mais atenção que os tempos de exploração: o Astra excedeu o escopo autorizado em 0% dos testes, segundo a CSO Online. Para quem roda agentes contra sistemas reais, a aderência ao escopo é a propriedade que decide se a capacidade é utilizável.

Por fim, trate a recusa como decisão de produto, e não como propriedade de segurança. O modelo público hoje se nega a escrever exploits, e o Daybreak existe para relaxar isso para alguns usuários. As duas coisas podem mudar sem que a capacidade subjacente mude.