Astra de OpenAI: es el primer modelo que la empresa declara “Crítico” en ciberseguridad

Astra de OpenAI es el primer modelo al que la empresa le asigna el umbral “Crítico” de capacidades cibernéticas de su propio manual de riesgos. Lo publicó el 1 de septiembre de 2026: con las herramientas y el acceso adecuados —la condición es de OpenAI, no nuestra— puede encontrar fallas de seguridad desconocidas y desarrollar formas de explotarlas en muchos sistemas bien protegidos, sin que una persona le guíe cada paso. Durante casi un mes la empresa venía diciendo que no podía descartarlo; ahora lo afirma — y aun así lo lanzó, con salvaguardas reforzadas: 🔄 el 3 de septiembre salió como GPT-6 Astra, primero para un grupo limitado de organizaciones y, dice OpenAI, en los días siguientes para los planes pagos de ChatGPT. Acá abajo está el detalle de lo que cambió.

Esta nota arrancó el 7 de agosto de 2026, cuando OpenAI publicó que no podía descartar que Astra, uno de sus modelos todavía sin lanzar, hubiera cruzado ese umbral. En consecuencia, frenó las actividades internas con el modelo que no cumplen controles de seguridad reforzados. Astra de OpenAI no estaba disponible para nadie, así que lo que se frenó fue el desarrollo, no un producto que ya estuvieras usando. 🔄 Eso cambió el 3 de septiembre: OpenAI lanzó el modelo y empezó a repartirlo, primero entre un conjunto limitado de organizaciones.

Traducido: la empresa decía que su próximo modelo podría ser capaz de encontrar y desarrollar exploits de día cero, de cualquier severidad, en sistemas críticos endurecidos del mundo real, sin intervención humana. Ese es el texto del umbral. Y en lugar de esperar a estar segura, lo anunció antes de terminar de medirlo. 🔄 Terminó de medirlo el 1 de septiembre, y la respuesta fue que sí.

🔄 Actualizado el 8 de septiembre de 2026: apareció la primera medición de las capacidades ofensivas de Astra que encontramos publicada por alguien que no sea OpenAI: la firma de evaluación Irregular —la misma del incidente de julio que esta nota cuenta más arriba— midió al modelo en tres bancos de pruebas, y durante los ensayos Astra encontró vulnerabilidades de día cero en software real: la fuente dice “múltiples” y detalla tres. Te contamos qué números dio, qué encontró y por qué conviene leerlo sabiendo que Irregular trabajó junto con OpenAI.

🔄 Actualizado el 5 de septiembre de 2026: el reparto dejó de ser limitado: Astra llegó a todos los usuarios de ChatGPT Plus y Business el 4 de septiembre a las 22:30 GMT, según un empleado de OpenAI en X — la página oficial de la empresa todavía no lo dice. Ese mismo día el modelo entró en GitHub Copilot, donde en los planes de empresa se habilita solo: te contamos en qué planes está, qué versión de Visual Studio pide y cuánto sale.

🔄 Actualizado el 4 de septiembre de 2026: OpenAI lanzó Astra — salió el 3 de septiembre como GPT-6 Astra: arrancó en un grupo limitado de organizaciones y, según el anuncio, en los próximos días llega a ChatGPT Plus, Pro, Business y Enterprise, además de la API. Te contamos qué te toca a vos y por qué su 100% en ExploitBench tiene un segundo número al lado.

🔄 Actualizado el 1 de septiembre de 2026: OpenAI cerró la evaluación y declaró a Astra en el umbral “Crítico” de ciberseguridad — el primer modelo de su historia en ese nivel. Además reanudó el 28 de agosto el entrenamiento que había frenado. Te contamos qué dice el documento nuevo y qué cambia para vos.

🔄 Actualizado el 18 de agosto de 2026: once días después, OpenAI publicó el detalle técnico de la frenada — qué se detuvo, qué volvió a correr y cuánto cuesta vigilar un modelo así. Te contamos qué dice el documento nuevo, y en qué se contradice con el primero.

🔄 Actualizado el 10 de agosto de 2026: tres días después de este anuncio, OpenAI lanzó GPT-5.6-Cyber, un modelo entrenado para encontrar días cero — y sí, suena a contradicción, pero no lo es. Te contamos por qué, y qué pasa con la falla de Chrome que encontró.

• Qué dice exactamente el anuncio
• Alto y Crítico: los dos escalones que casi nadie leyó
• El dato incómodo: el modelo que ya usás está un escalón abajo
• Lo que los titulares están mezclando
• Las cinco medidas que anunció, una por una
• Qué dicen los que trabajan en seguridad
• 🔄 Actualización del 10 de agosto: llegó GPT-5.6-Cyber
• 🔄 Actualización del 18 de agosto: qué se frenó y qué cuesta vigilarlo
• 🔄 Actualización del 1 de septiembre: confirmado el umbral “Crítico”
• 🔄 Actualización del 4 de septiembre: Astra salió, y en qué orden llega a ChatGPT
• 🔄 Actualización del 8 de septiembre: la primera medición que no es de OpenAI
• ¿Y esto qué significa para vos?
• Preguntas frecuentes

Qué dice exactamente el anuncio de Astra de OpenAI

El texto es corto y está firmado por la empresa, sin autor individual. Se publicó el 7 de agosto de 2026 bajo la categoría “Security” y se titula “Responding to the next frontier of critical cyber capabilities”. La frase que sostiene toda la noticia es esta:

“Nuestras últimas evaluaciones internas de Astra, uno de nuestros próximos modelos, realizadas en los últimos días, indican avances significativos en codificación agéntica y ciberseguridad. Estos resultados, sumados a evaluaciones de expertos, nos llevaron a concluir anoche que no podemos descartar capacidades cibernéticas críticas bajo nuestro Preparedness Framework.”

Conviene detenerse en dos palabras de aquel anuncio del 7 de agosto. “Anoche”: era una conclusión de menos de 24 horas, sobre evaluaciones que la propia empresa declaraba preliminares y en curso. Y “no podemos descartar”: no decía que Astra fuera Crítico, decía que ya no podía afirmar que no lo fuera. Es una cosa bastante distinta, y mucho más incómoda. 🔄 Casi un mes después, el 1 de septiembre, la empresa terminó de medir y sí lo declaró Crítico — lo contamos abajo.

Alto y Crítico: los dos escalones que casi nadie leyó

El anuncio se apoya entero en un documento que casi ninguna cobertura abrió: el Preparedness Framework v2, un PDF de 22 páginas donde OpenAI define qué capacidades vigila —biológica y química, ciberseguridad y autosuperación de la IA— y qué se compromete a hacer cuando aparecen.

Ahí adentro hay una nota al pie que explica el tamaño del asunto. “Daño grave”, para este documento, significa “la muerte o lesión grave de miles de personas, o cientos de miles de millones de dólares en daño económico”. Ese es el listón contra el que se miden los umbrales: no es una escala de “el modelo se porta mal”.

Para ciberseguridad hay dos escalones, y la diferencia entre ellos es el corazón de la noticia:

La lógica de fondo la aclara el propio documento: Alto son capacidades que “aumentan significativamente vectores de riesgo existentes”; Crítico, capacidades que “presentan un riesgo real de un vector de amenaza cualitativamente nuevo, sin precedente disponible”. Y hay un detalle que casi nadie mencionó: lo que alcanza Crítico necesita salvaguardas ya durante el desarrollo, no solo antes de salir a la calle. Por eso el anuncio habla de puertas adentro.

El dato incómodo: el modelo que ya usás está un escalón abajo

Acá está, para nuestro gusto, la información más útil del anuncio, y va enterrada en una sola oración: “Modelos anteriores, incluido GPT-5.6-Sol, fueron evaluados por capacidades cibernéticas de frontera y clasificados en el umbral Alto (en lugar de Crítico)”.

Volvé a leer la definición de “Alto” de la tabla de arriba. Un modelo que ya está desplegado y que cualquiera puede usar está clasificado por su propio fabricante en un escalón que se define, entre otras cosas, por automatizar el descubrimiento y la explotación de vulnerabilidades relevantes. OpenAI no aclara cuál de las dos condiciones cumple GPT-5.6 Sol, pero alcanza con que esté ahí. Astra fue noticia porque podía estar un escalón más arriba — 🔄 y desde el 1 de septiembre está; el de abajo, mientras tanto, ya estaba habitado y hace rato.

Eso no es un tecnicismo: es la explicación de por qué las estafas que te llegan al mail vienen cada vez mejor escritas y por qué las campañas de malware se renuevan cada semana. Es el mismo hilo que veníamos siguiendo cuando un agente de OpenAI se escapó de su laboratorio y terminó dentro de Hugging Face.

Lo que los titulares están mezclando

Hay una confusión muy fácil de cometer acá, y OpenAI la vio venir: atar el freno de Astra al incidente de Hugging Face de julio. Los tres episodios pasaron en tres semanas, así que la tentación es entendible. Pero el desmentido está en el propio anuncio, en una oración que la empresa metió a propósito: “Astra es un modelo próximo, y no estuvo involucrado en la explotación de Hugging Face”.

Vale la pena separar los episodios, porque son distintos y solo el último es de esta semana. Los dos de las evaluaciones de terceros están detallados en un informe que OpenAI publicó el 4 de agosto:

Hay una segunda mezcla, más sutil, en la idea de “retraso del lanzamiento”. Axios, que tuvo el anuncio en exclusiva, tituló que OpenAI “demora el lanzamiento”, pero en el cuerpo es más prolijo: “si bien el calendario de lanzamiento del modelo no estaba claro, con esta pausa en su desarrollo, cualquier lanzamiento futuro podría demorarse”. O sea: no hay una fecha pública que se haya corrido. Lo que sí agrega Axios es una confirmación desde el otro lado del mostrador — un funcionario de la Casa Blanca le dijo que “OpenAI informó voluntariamente a la administración sobre sus planes de demorar el lanzamiento”.

Y una precisión que conviene hacer antes de que alguien la use mal: el framework no manda cerrar el laboratorio ante un Crítico. Lo que dice su tabla de categorías rastreadas, en la obligación que fija para el nivel Crítico, es “hasta que hayamos especificado salvaguardas y estándares de controles de seguridad que cumplan un estándar Crítico, detener el desarrollo posterior”. Es un freno con condición de salida, no un punto final. Y en agosto OpenAI ni siquiera estaba en esa fila, porque no declaró a Astra Crítico: declaró que no podía descartarlo. Para esa zona gris el documento tiene una sección propia, la 4.4, titulada justamente “Aumentar las salvaguardas antes del uso interno y del desarrollo posterior”: dice que los modelos que alcanzaron “o se prevé que alcancen” capacidad Crítica requieren salvaguardas adicionales durante el desarrollo. Ahí decía estar parada. 🔄 El 1 de septiembre eso cambió: OpenAI cerró la evaluación y declaró a Astra en el umbral Crítico — lo contamos abajo.

Pero esa misma sección deja una frase que ahora quedó incómoda. El framework afirma: “No poseemos actualmente ningún modelo que tenga niveles Críticos de capacidad, y esperamos actualizar más este Preparedness Framework antes de alcanzar tal nivel con algún modelo”. Astra es el primer examen de esa promesa — y llegó antes que la actualización. 🔄 Al 1 de septiembre de 2026 el examen ya se rindió y la promesa sigue sin cumplirse: Astra está declarado Crítico y el manual que el propio anuncio enlaza es todavía la versión 2, de abril de 2025.

Las cinco medidas que anunció OpenAI, una por una

El anuncio enumera lo que la empresa dice estar haciendo puertas adentro. Tres medidas están en presente:

• Controles más estrictos para modelos de mayor capacidad: entornos de prueba aislados, acceso restringido a red y herramientas, protección y cifrado reforzados de los pesos del modelo, más monitoreo y detección, y ejecución en sandbox.
• Pausa de actividades internas con Astra que todavía no cumplan esos requisitos reforzados.
• Monitoreo universal de acciones riesgosas y de desalineación en todas las aplicaciones agénticas de Astra, incluidos entrenamiento y evaluación. Los monitores evalúan la cadena de razonamiento del modelo y “disparan una respuesta de seguridad para revisar e interrumpir actividad de alto riesgo”.

Las otras dos son compromisos a futuro, y conviene no leerlos como hechos consumados: OpenAI dice que trabajará con agencias de gobierno y organizaciones seleccionadas de seguridad en IA para testear el modelo, y que proveerá controles recomendados a los socios externos que corran evaluaciones de mayor riesgo — la consecuencia directa de lo que salió mal en las pruebas de julio.

El propio framework había anticipado el escenario. En la fila de ciberseguridad, el documento advierte que “en conjunto con una capacidad de autonomía de largo alcance”, los modelos capaces de “eludir las salvaguardas técnicas de OpenAI que restringen la actividad del modelo, como el sandboxing o los servicios de monitoreo, podrían comprometer la capacidad de OpenAI de rastrear y mitigar todos los demás riesgos”. Estaba escrito antes de los incidentes de julio. Con una precisión que corresponde hacer: en las evaluaciones de terceros no hubo elusión de salvaguardas. La propia OpenAI aclara que los modelos llegaron a internet “bajo condiciones específicas y configuraciones de salvaguardas reducidas que no reflejaban el despliegue ordinario”.

Qué dicen los que trabajan en seguridad

El anuncio llegó a la portada de Hacker News con 144 puntos y más de 160 comentarios en pocas horas (cifras del 7 de agosto; el hilo siguió creciendo después). El tono predominante es escéptico, y vale la pena leerlo completo antes de comprarlo o descartarlo.

“Ah, sí, que siga el miedo. Es un problema real, pero por ahora ni de cerca tan grave como lo pintó todo el marketing, en perjuicio de todos —incluidas estas empresas que anuncian capacidades aterradoras—.”

@TrueDuality en Hacker News — ver post

Su argumento no es que la IA no encuentre vulnerabilidades: más abajo en el mismo hilo aclara que los hallazgos son válidos y que estos modelos “siguen encontrando días cero reales”. Su tesis es otra, y más incómoda: lo que lo asusta no es que los modelos hagan investigación de seguridad básica, sino que “la calidad de base de todo el software desplegado es tan baja” que alcanza con eso.

“¿Más estrictos que qué? Nunca revelaron siquiera qué pasó en el primer incidente. Esto no es más que preparar el terreno para que vuelva a pasar y poder decir: «¿Vieron? Se escapó otra vez, ¡y de un sandbox todavía más estricto!»”

@jackb4040 en Hacker News — ver post

En el mismo hilo le contestaron una parte: OpenAI sí detalló públicamente el incidente de Hugging Face, en una presentación en Black Hat USA 2026. Eso responde su reclamo sobre la falta de información, aunque no toca su acusación de fondo, que es sobre la intención del anuncio. La charla está en el canal oficial de la conferencia y es la mejor pieza en video que existe hoy sobre el tema:

La contracara del escepticismo la puso un usuario que dice haber tenido varios casos en las últimas semanas —por curiosidad, aclara, no por dinero de bug bounties— usando el programa de verificación cibernética de OpenAI, un trámite de identidad que habilita usos de seguridad que el modelo normalmente rechaza:

“En mi experiencia personal, Sol con verificación cibernética es extremadamente capaz de encontrar vulnerabilidades […] en las últimas semanas tuve varios casos en los que Sol encontró un RCE en aplicaciones web autoalojadas en literalmente minutos, solo con leer el código.”

@Tiberium en Hacker News — ver post

Con una salvedad que corresponde declarar: en ese mismo hilo le pidieron pruebas (“pasá los reportes entonces… demostralo”) y no las dio, alegando que prefiere mantener separadas sus identidades en internet; ofreció en cambio que le pasaran un repositorio para revisarlo en vivo. Aclaró además que los RCE que encontró no eran en software crítico. Es un testimonio, no una demostración, y así hay que leerlo.

Actualización del 10 de agosto: OpenAI lanzó un modelo entrenado para encontrar días cero — y no, no es Astra

Tres días después de frenar a Astra, OpenAI publicó dos anuncios más, los dos el 10 de agosto y los dos bajo la categoría “Security”. El titular que está circulando —“OpenAI lanza GPT-5.6-Cyber”— se lee como una contradicción de manual: frenaron un modelo por capacidad cibernética y a los tres días sacaron uno de ciberseguridad. No es una contradicción, y lo que la explica es exactamente el escalón del que habla esta nota más arriba.

Lo que hizo la empresa fue ampliar Daybreak, su programa de acceso para gente que trabaja en seguridad, y partirlo en dos niveles. Daybreak Blue da acceso a GPT-5.6 Sol sin los filtros de sistema que normalmente bloquean los pedidos de seguridad: textual del anuncio, “el acceso Daybreak Blue quita esas barreras”. Vale la aclaración de por qué existían: OpenAI dice que esos filtros están para “examinar los pedidos relacionados con ciberseguridad y prevenir el uso indebido”, y que el efecto colateral es que también frenan trabajo defensivo legítimo. Daybreak Red habilita modelos entrenados a propósito para investigación de vulnerabilidades, validación de exploits y pruebas de seguridad autorizadas — la palabra es del anuncio y sostiene todo el encuadre del programa. Y ahí adentro estrenó GPT-5.6-Cyber, construido sobre Sol y entrenado —palabras del anuncio— para mejorar en tareas como “encontrar vulnerabilidades de día cero y desarrollar cadenas de exploits” y para “reducir los rechazos” en pedidos de doble uso.

El número que mide ese cambio es lo más elocuente de todo el anuncio. En una evaluación interna que OpenAI llama Advanced Cybersecurity Completion Rate —cuántas veces el modelo accede a pedidos de desarrollo de cadenas de exploits, evasión de autenticación y escalada de privilegios— la diferencia es esta:

Fijate en las dos filas de abajo, porque ahí está lo que casi no se contó: sacarle los filtros a Sol lo mueve del 1,5% al 2,0%. Nada más. El salto al 95% no lo hace el permiso, lo hace el entrenamiento. Y hay un contrapeso que el propio anuncio publica y conviene no saltear: en dos de sus cuatro evaluaciones el modelo especializado pierde contra Sol. En ExploitBench, GPT-5.6 Sol con Daybreak Blue “resuelve las tareas de forma más eficiente en tokens y rinde mejor”; y en la evaluación de descubrimiento y redacción de reportes, GPT-5.6-Cyber “rinde peor que GPT-5.6 Sol”, algo que OpenAI atribuye a que a veces entrega reportes más cortos y menos detallados.

🔴 Y acá está el dato que hace que las dos noticias no se contradigan, y que en la mayoría de los titulares no aparece: OpenAI evaluó a GPT-5.6-Cyber bajo el mismo Preparedness Framework que sostiene esta nota, y concluyó que llega al umbral “Alto”, no al “Crítico” — el mismo escalón donde ya estaba GPT-5.6 Sol. Textual: “mejoró sobre GPT-5.6 Sol en algunas tareas cibernéticas especializadas para las que lo entrenamos directamente, pero no lo suficiente para alcanzar nuestro umbral Crítico”.

Por eso este sí puede salir: quedar en “Alto” no obliga a detener nada, solo a desplegar con las salvaguardas de ese nivel — volvé a la tabla de escalones de más arriba. Astra estaba en la otra situación, la de la zona gris que explicamos en “lo que los titulares están mezclando”: al 10 de agosto OpenAI no lo había declarado Crítico, decía que no podía descartarlo, y por eso le aplicaba la sección 4.4 del framework (🔄 el 1 de septiembre sí lo declaró Crítico). Ninguno de los dos anuncios del 10 de agosto menciona a Astra: seguía sin lanzarse y sin fecha pública.

El mismo texto aclara además algo que toca de cerca los incidentes de julio: GPT-5.6-Cyber “no estuvo involucrado en la explotación de Hugging Face, ni tampoco ningún otro modelo planificado para un lanzamiento próximo” (“nor are any other models planned for an upcoming release”, en el original).

Lo que el modelo encontró en software que usás todos los días

OpenAI dice haber usado a GPT-5.6-Cyber sobre software real, y el caso que documenta con nombre y apellido es el más incómodo: dos vulnerabilidades desconocidas en V8, el motor de JavaScript de Chrome, que se podían encadenar para corromper memoria y escapar del heap sandbox de V8.

⚠️ Y acá hay que ser preciso, porque la diferencia es grande y se presta a titulares inflados: el heap sandbox de V8 es una mitigación interna del motor, no el aislamiento de proceso de Chrome. No es lo mismo que “escaparse del navegador”. Lo dice la propia OpenAI: el código llega a ejecutarse “dentro del sandbox de Chrome”, y salir del heap sandbox “en general requeriría una segunda vulnerabilidad” — que es justamente la que dice haber encontrado también. De las dos, Google registró y corrigió una, la CVE-2026-15903; sobre la segunda el anuncio no publica número de CVE ni estado de parche.

Menciona también, sin nombrar a ninguno, más de 400 fallas de escalada de privilegios en el kernel de “un sistema operativo popular”, tres críticas en “una base de datos popular” —una con camino remoto a ejecución de código— y al menos cinco en “un sistema operativo móvil popular”, incluida una cadena que va de una app no confiable a escalada local de privilegios. Al 10 de agosto ninguna de esas estaba divulgada: OpenAI decía estar trabajando con sus socios y con la comunidad open source “para divulgarlas y remediarlas”. 🔄 Nota del 8 de septiembre: esto no se puede re-verificar y por eso ya no se afirma en presente — OpenAI publicó esas fallas sin nombre de producto, versión ni CVE, así que no hay identificador con el que ir a comprobar si se divulgaron.

⚠️ Antes de que te asustes con lo de Chrome, el dato que corresponde dar y que el anuncio no aclara: ese arreglo ya estaba publicado casi un mes antes del anuncio. Google lo publicó en la actualización del canal estable del jueves 16 de julio de 2026, que llevó Chrome a la versión 150.0.7871.128; el registro del CVE se publicó el 20 de julio, con severidad Alta y —esto lo agrega CISA, no Google— CVSS 8.8 y explotación anotada como “none”. Más todavía: el propio changelog de Chrome acredita el hallazgo a “OpenAI Codex Security”, reportado el 6 de julio. O sea que la vulnerabilidad que el anuncio del 10 de agosto usaba de vidriera se había reportado el 6 de julio y parcheado el 16 de julio: cinco y casi cuatro semanas antes de aquel anuncio. 🔄 Corregido el 8 de septiembre: acá decían “hace cinco semanas” y “hace casi cuatro” contando desde el día en que se escribió el bloque. Leídas hoy eran falsas —van nueve y casi ocho semanas— así que las cuentas pasaron a colgar de fechas fijas, que no envejecen.

No hay nada urgente que hacer hoy, pero tampoco lo des por hecho: Chrome descarga la actualización solo, aunque recién la aplica cuando relanzás el navegador — y el que tiene 40 pestañas abiertas desde marzo sabe de qué hablamos. Abrí chrome://settings/help, confirmá que estás en 150.0.7871.128 o superior y reiniciá si te lo pide. Si usás Edge, Brave, Opera o Vivaldi, el motor es el mismo pero el calendario lo pone cada uno: la ruta ahí es edge://settings/help y sus equivalentes.

De los socios que ya lo venían probando, el que dejó el testimonio más concreto —y conviene leerlo sabiendo que es un socio del programa citado en el anuncio de la propia OpenAI, no un tercero independiente— fue SpecterOps:

“[GPT-5.6-Cyber] está mejorando materialmente nuestros flujos de investigación de vulnerabilidades: razona con más precisión sobre las restricciones reales de un exploit, sigue mejor los estados complejos, y completó en menos de un día trabajo que los modelos anteriores no habían resuelto tras semanas de esfuerzo intermitente.”

Jared Atkinson, CTO de SpecterOps, citado en el anuncio de OpenAI

Qué NO cambia para vos

Daybreak no es un producto que puedas comprar. El acceso queda del lado del socio aprobado —la lista que publicó OpenAI incluye a Accenture, IBM, Capgemini, Cognizant, EY, KPMG, PwC, NCC Group y SpecterOps, más Palo Alto Networks, CrowdStrike, Cisco, Sophos, Akamai, Fortinet y Cloudflare— y, textual, “no se transfiere directamente al cliente”. Si algo de esto te llega, te va a llegar adentro del servicio de seguridad que tu empresa ya contrata, no como una casilla que puedas activar. La única puerta que no pasa por un socio es para profesionales del rubro: el otro anuncio aclara que Daybreak Blue y Red están disponibles “para individuos y organizaciones aprobados que realicen trabajo autorizado”.

Los controles que anunció alrededor, para dimensionar de qué se está cuidando: verificación de identidad, seguridad de la cuenta, monitoreo, restricciones de uso aprobado y declaraciones legales; y desde el 1 de septiembre de 2026, llaves de seguridad por hardware obligatorias para todas las cuentas individuales de Daybreak.

Actualización del 18 de agosto: OpenAI detalla qué frenó y qué seguía frenado — con un reloj de 30 minutos y lo que cuesta vigilar un modelo así

Once días después de frenar a Astra, OpenAI publicó el documento que faltaba: qué frenó exactamente, por cuánto tiempo, y qué cambió puertas adentro. Se llama “Pacing model development in an era of cyber-critical capabilities” y es la primera vez que la empresa pone cifras sobre la frenada misma: hasta ahora los números que había publicado eran los del rendimiento de sus modelos, no los del freno.

El texto arranca nombrando los dos episodios como causas de una misma urgencia: el incidente de OpenAI y Hugging Face —el del agente que se escapó del laboratorio— y, textual, “por separado” (and, separately), la evidencia preliminar sobre Astra. Vale subrayar ese “por separado”, porque es la misma distinción que esta nota viene haciendo más arriba: los dos hechos empujaron en la misma dirección, pero Astra sigue sin haber estado involucrado en lo de Hugging Face. Sumados —dice el documento— al “rápido progreso de nuestra investigación interna”, le agregaron urgencia al trabajo sobre monitoreo, alineamiento y contención.

Lo que se frenó y lo que sigue frenado: no es lo mismo

Acá conviene leer despacio, porque son dos cosas distintas y el documento las separa con los tiempos verbales:

• Una pausa de dos semanas en el entrenamiento por refuerzo (RL) de “nuestros modelos más recientes destinados a despliegue”, mientras endurecían los entornos de investigación y los sometían a red team. El documento del 18 de agosto no decía cuándo empezó ni cuándo terminó, y estaba redactado en pasado. 🔄 El documento del 1 de septiembre corrige las dos cosas, y en contra de lo que esta nota dedujo en agosto: dice que pausaron “cierto entrenamiento de frontera (incluido cierto entrenamiento de Astra) durante dos semanas después del incidente de OpenAI y Hugging Face”. O sea que la pausa sí alcanzó a Astra y sí tiene un ancla temporal. Lo que esta nota afirmaba acá —que no era la frenada de Astra— queda corregido por la fuente.
• La corrida de RL de frontera más grande que tenían planificada seguía detenida —textual, “remains on hold”— mientras hacían entrenamientos y evaluaciones de menor escala para “establecer más evidencia de alineamiento antes de continuar”. Esa estaba en presente. 🔄 Ese renglón ya venció: el documento del 1 de septiembre le pone fecha de salida — la corrida se reanudó el 28 de agosto.

Sobre Astra puntualmente hay un matiz nuevo que conviene no saltear: parte de sus entrenamientos y evaluaciones ya cumplen los requisitos reforzados y volvieron a correr, pero “un número significativo de cargas de trabajo siguen pausadas” hasta que terminen de migrarlas al nivel de seguridad nuevo. O sea que no es todo o nada. Las cargas de safety y de alineamiento van primero en esa cola de migración.

El detalle más concreto: un reloj de 30 minutos

Lo más sustancioso del documento es el sistema de monitoreo, y funciona en cascada: arranca con clasificadores de activación —detectores que inspeccionan la actividad interna del modelo— que corren en cada token muestreado y escalan hacia investigadores automáticos cada vez más caros, que revisan las acciones con herramientas, el razonamiento disponible y la secuencia completa de actividad.

De ahí sale la regla que conviene retener, y conviene retenerla con sus verbos puestos: OpenAI dice que apunta a emitir la alerta y que se espera que los equipos pausen. Son dos ventanas de 30 minutos que se suman —una para avisar, otra para descartar el falso positivo—, así que el peor caso declarado es de una hora:

“Apuntamos a emitir una alerta dentro de los 30 minutos desde que la actividad preocupante aparece a través de nuestro sistema de monitoreo. Si el sistema de monitoreo identifica una violación probable de un límite de seguridad crítico, genera una alerta de máxima prioridad. En nuestra implementación actual, se convoca a los equipos de safety, seguridad e investigación. Si no pueden determinar de forma concluyente dentro de los 30 minutos que la marca es un falso positivo, se espera que esos equipos pausen la actividad.”

OpenAI, “Pacing model development in an era of cyber-critical capabilities”, 18 de agosto de 2026

Ese monitoreo es obligatorio para todo entrenamiento de RL y toda evaluación con herramientas en modelos de capacidad Sol o superior. Y Astra tiene un escalón extra: desde que determinaron que podía tener capacidades cibernéticas críticas, el monitoreo se extendió a toda inferencia de Astra con herramientas, no solo al entrenamiento y las evaluaciones. Un detalle de archivo, para los obsesivos: este documento fecha esa determinación el 7 de agosto, mientras que el post original de ese mismo día decía que la conclusión había llegado “anoche”. Son horas de diferencia y no cambia nada de lo que la nota viene contando — pero es la propia empresa datando su propio hecho de dos maneras, y preferimos anotarlo antes que elegir una.

Cuánto cuesta vigilar un modelo así

Y acá está el número que le pone precio a todo el asunto: OpenAI estima que el monitoreo se lleva alrededor del 20% del cómputo de inferencia que está siendo monitoreado, aunque aclara que el costo varía bastante entre cargas de entrenamiento y de evaluación. Conviene leer bien la base, porque es donde se malinterpreta: el 20% es un sobrecosto —overhead— que se suma encima de la carga vigilada, y esa carga es la que el monitoreo obligatorio cubre (RL, evaluaciones con herramientas de Sol o superior, e inferencia de Astra con herramientas), no todo lo que la empresa hace correr. No es que un quinto del cálculo se le reste al trabajo: es que vigilarlo sale un quinto más caro.

Qué cambió en los entornos de investigación

El documento no vuelve a contar el incidente de Hugging Face —eso ya lo había detallado OpenAI en Black Hat, como cuenta esta nota más arriba—, pero sí agrega qué hizo puertas adentro ese mismo día: “inmediatamente después”, pausó la inferencia de modelos de frontera en los clústeres de investigación para las corridas que pudieran ejecutar código o usar herramientas con acceso a internet. Restauró rápido un camino más limitado y seguro, y después revisó cada carga de trabajo una por una para determinar si podía reanudarse sin riesgo: algunas volvieron bajo los controles nuevos y otras necesitaron cambios adicionales.

Los requisitos que enumera —el documento los da como ejemplos, no como lista cerrada— son el detalle fino de lo que el 7 de agosto se había anunciado en general:

• Aislamiento de la carga de trabajo: sandboxes más fuertes para todo lo que ejecute código generado por el modelo o código no confiable — incluido el software que podría comprometerse al procesar las salidas del modelo.
• Aislamiento de red: controles diseñados para que el compromiso de una sola carga de trabajo —o de un servicio de soporte— no alcance, por sí solo, para conseguir acceso no autorizado a internet o a otras redes internas.
• Testeo de seguridad continuo: sacaron servicios compartidos potencialmente vulnerables, redujeron privilegios permanentes, mejoraron los límites de seguridad y confianza y la recolección de registros — y están automatizando ataques simulados contra sus propias fronteras usando sus propios modelos. Que es, si se piensa dos segundos, la idea más rara y más lógica de todo el documento.

Lo que queda prometido, y con qué plazo (spoiler: casi ninguno)

Conviene anotar los compromisos a futuro con la misma prudencia con la que esta nota anotó los del 7 de agosto. OpenAI dice que va a evolucionar su Preparedness Framework para que cubra entrenamiento y despliegue juntos, que va a publicar un informe técnico de lo aprendido del incidente de Hugging Face, y que le va a dedicar un posteo aparte al sistema de monitoreo. Ninguno de los tres tenía fecha firme: el único con algún horizonte era el informe, y el horizonte era “en las próximas semanas”.

🔄 De los tres, uno se cumplió: el informe técnico salió el 26 de agosto de 2026, con el posteo “The Hugging Face incident and the road ahead” y su PDF técnico. Los otros dos siguen pendientes al 1 de septiembre.

Y una advertencia de lectura que el propio documento dejaba explícita: al 18 de agosto la evidencia sobre Astra seguía siendo preliminar. El verbo era “puede” (may meet the Critical threshold), el mismo del 7 de agosto. Nada de lo publicado ese día convertía esa sospecha en confirmación, y seguía sin haber fecha de lanzamiento. 🔄 Ese verbo cambió el 1 de septiembre: OpenAI pasó del “puede” al “cumple” y declaró a Astra en el umbral Crítico — el bloque de abajo lo cuenta.

Qué cambia para vos: nada operativo, otra vez. Este documento no te pide instalar nada (la única acción concreta de toda esta nota sigue siendo la de Chrome, que ya explicamos más arriba y es de julio). Lo que sí cambió es la calidad de la información disponible: las cinco medidas del 7 de agosto estaban enunciadas en general y dos eran promesas; ahora tienen especificación técnica, una regla de 30 minutos y un costo declarado. Sigue sin alcanzar para saber si la frenada fue prudencia genuina o una campaña de prensa bien administrada — pero por primera vez hay material verificable con el cual discutirlo, en lugar de adjetivos.

Actualización del 1 de septiembre: OpenAI confirmó el umbral “Crítico” y reanudó el entrenamiento que había frenado

Veinticinco días después de frenar a Astra, OpenAI cerró la duda — y la cerró para el lado que no convenía. El 1 de septiembre de 2026 publicó “Path to Astra: critical capabilities and frontier safeguards”, y ahí deja de hablar en condicional: “ahora creemos que Astra cumple el umbral de capacidad Crítica en ciberseguridad bajo nuestro Preparedness Framework”. Enseguida viene la frase que convierte esto en un hecho de archivo:

“Es el primer modelo que designamos en este nivel, y requiere salvaguardas más fuertes durante el desarrollo y antes del lanzamiento.”

OpenAI, “Path to Astra: critical capabilities and frontier safeguards”, 1 de septiembre de 2026

Traducido y sin épica: durante casi un mes la empresa dijo que no podía descartar que su próximo modelo encontrara y explotara fallas desconocidas en sistemas bien protegidos sin que nadie lo guiara paso a paso. Ahora dice que sí puede — con la condición que OpenAI repite y conviene no comerse: “con las herramientas y el acceso adecuados”. El umbral del manual habla, textual, de “un modelo aumentado con herramientas”: no es el chatbot suelto. Y aun así lo lanzó: dos días después, el 3 de septiembre.

Lo que estaba frenado ya volvió a correr, y esta vez tiene fecha

La actualización del 18 de agosto de esta nota cerraba con un dato en presente: la corrida de entrenamiento por refuerzo de frontera más grande “remains on hold”, seguía detenida. Ese renglón venció, y el documento nuevo le pone fecha: el 28 de agosto OpenAI reanudó esa corrida, después de que “los nuevos requisitos de seguridad se pusieran en marcha”. Siguen retenidas, aclara, algunas corridas experimentales más chicas.

Conviene ver qué dice y qué no dice la fuente acá, porque es la parte que más se malinterpreta y que esta nota simplificó de más en agosto. El manual de OpenAI, en su fila de ciberseguridad, no ordena detener el desarrollo para siempre ante un Crítico: ordena “hasta que hayamos especificado salvaguardas y estándares de controles de seguridad que cumplan un estándar Crítico, detener el desarrollo posterior”. Es un freno con condición de salida.

Ahora bien, el anuncio del 1 de septiembre no dice haber cumplido esa condición, y conviene no ponérselo en la boca: la palabra “detener” (halt) no aparece ni una vez en todo el texto, y lo único que la empresa declara es que “las salvaguardas de Astra minimizan suficientemente el riesgo de daño grave para el lanzamiento”. Eso es un juicio de despliegue, no la llave del freno de desarrollo. Lo que sí dice, textual, es que reanudó la corrida el 28 de agosto “después de que los nuevos requisitos de safety y de seguridad se pusieran en marcha” — y esa fecha es cuatro días anterior a la designación Crítica del 1 de septiembre, así que cuando soltó el freno la obligación del nivel Crítico ni siquiera estaba activada. La promesa que sí quedó sin cumplir es otra, y va acá abajo.

La expectativa que quedó sin cumplir: el manual que el anuncio enlaza es el de abril de 2025

La sección 4.4 del Preparedness Framework —la misma que esta nota citaba en agosto— trae una frase que los hechos acaban de dejar atrás: “No poseemos actualmente ningún modelo que tenga niveles Críticos de capacidad, y esperamos actualizar más este Preparedness Framework antes de alcanzar tal nivel con algún modelo”. El verbo es “esperamos”, no “nos comprometemos”: es una expectativa declarada, y así hay que leerla.

Ese nivel ya se alcanzó. El manual, no. El anuncio del 1 de septiembre enlaza su propio “Preparedness Framework” y ese enlace termina en el mismo PDF de siempre: la versión 2, fechada el 15 de abril de 2025 — lo seguimos enlace por enlace hasta el archivo para confirmarlo. O sea que OpenAI designó su primer modelo Crítico bajo el mismo manual que decía que iba a reescribir antes de llegar hasta acá.

Los números que publicó, con la letra chica puesta

El documento trae cifras, y trae también sus propias advertencias sobre cómo leerlas. Van juntas, porque separadas mienten:

Y el dato que no entra en tabla: en el banco de pruebas interno que armaron con 20 vulnerabilidades de severidad alta de V8 —el motor de JavaScript de Chrome—, el modelo descubrió y usó dos fallas de día cero como parte de una cadena de explotación. OpenAI dice que está en proceso de reportarlas a quienes mantienen ese software. En evaluaciones con expertos contra un navegador y un sistema operativo endurecidos, además, armó una cadena completa que se escapó del sandbox del navegador y ejecutó comandos en el equipo cuando el navegador abrió un archivo HTML, y otra que escaló de usuario sin privilegios a root.

Lo único de todo esto que vas a notar como usuario

Hasta acá es una pelea entre laboratorios. Pero el documento tiene un párrafo que sí toca a cualquiera que use ChatGPT o Codex para trabajar, y OpenAI lo escribe sin adornos: los controles extra “a veces pueden demorar, pausar o detener trabajo legítimo, incluida la ciberseguridad defensiva”. El sistema puede marcar actividad legítima como posible abuso, y eso incluye —dice— tareas que ni siquiera parecen de seguridad, o agentes que vienen corriendo hace rato.

La consecuencia práctica es concreta: si el monitor de desalineamiento pausa una tarea, en ChatGPT o en Codex te pueden pedir que revises la acción antes de seguir; si estás usando la API, la tarea se corta. Si sos de los que dejan un agente trabajando solo un buen rato, ese es el renglón del anuncio que te va a tocar a vos.

Del acceso a las capacidades cibernéticas avanzadas de Astra, poco y controlado: primero un grupo chico de testers alfa y después se amplía por el programa Daybreak Blue, orientado al uso defensivo. Fecha de lanzamiento, ese documento no daba: decía “pronto”. 🔄 El “pronto” duró dos días — Astra salió el 3 de septiembre, y el anuncio del lanzamiento aclara que la versión que sale se niega a las tareas cibernéticas más avanzadas: el acceso menos restrictivo sigue yendo por Daybreak, “en las próximas semanas”.

Actualización del 4 de septiembre: Astra salió, y su 100% en ExploitBench tiene un segundo número al lado

Dos días después de declararlo Crítico, OpenAI lo lanzó. El 3 de septiembre de 2026 publicó “GPT-6 Astra: A new generation of intelligence”, y con eso venció la frase que esta nota venía repitiendo desde agosto: Astra ya no es “uno de los próximos modelos”. Sale, y sale con el sello puesto — el anuncio del lanzamiento lo repite textual: Astra “es un salto significativo en capacidades cibernéticas y cumple el umbral Crítico en ciberseguridad bajo nuestro Preparedness Framework”. O sea que el primer modelo que OpenAI designó Crítico en ciberseguridad es, desde esta semana, un producto que se vende. La aclaración importa y es de la propia empresa: dice ser el primero que ella designa en ese nivel, no el primero de la industria — cada laboratorio mide con su propio manual.

Quién lo tiene, quién no, y qué sale

La oración de disponibilidad es corta y conviene leerla entera, porque define exactamente a quién le llega: “GPT-6 Astra se está desplegando hoy a un conjunto limitado de organizaciones y en los próximos días va a estar disponible para todos los usuarios de ChatGPT Plus, Pro, Business y Enterprise, además de a través de la API de OpenAI, Microsoft Azure y AWS Bedrock”. Tres precisiones que el anuncio trae y que casi no se contaron:

• El plan gratuito no está en esa enumeración. Lo decimos como lo que es —una ausencia en el texto que leímos, no un anuncio de exclusión—: el anuncio lista Plus, Pro, Business y Enterprise, y la cadena “ChatGPT Free” no aparece ni una vez en la página. Si usás ChatGPT sin pagar, por ahora esto no te toca.
• En las empresas viene apagado. Textual: “los administradores de Enterprise pueden habilitar Astra para su espacio de trabajo; el acceso está apagado por defecto en el lanzamiento”. La frase habla de Enterprise puntualmente: si tu empresa está en ese plan, el modelo no aparece solo — alguien tiene que ir a prenderlo.
• En la API tiene precio de lista: US$ 10 por millón de tokens de entrada y US$ 50 por millón de salida, con tarifas aparte para las lecturas y escrituras de caché, y un modo rápido que, dice el anuncio, corre “hasta 2 veces más rápido” que el estándar y cuesta también el doble.

El 100% del titular y el 39% que la prosa no dice: los dos ExploitBench

Acá está lo que más nos llamó la atención al leer el anuncio completo, y es un caso de manual de por qué conviene leer dos oraciones seguidas en vez de una. El dato que viajó es el 100%: The Hacker News, por ejemplo, tituló “GPT-6 Astra saca 100% en ExploitBench mientras OpenAI bloquea los pedidos de exploits de prueba de concepto”. Y es cierto: la prosa del anuncio lo dice así, “un puntaje perfecto de 100%, contra 78,5% de GPT-5.6 Sol”, aclarando —esto tampoco suele viajar en el titular— que esa prueba se corrió sin las salvaguardas de producción.

Lo que sigue es de la propia OpenAI, y es el asterisco: “Ante la preocupación de que la exposición a vulnerabilidades históricas de software pueda haber afectado los resultados del benchmark, también evaluamos a Astra en dos bancos de pruebas nuevos”. Traducido: el modelo pudo haber visto esas fallas durante el entrenamiento, así que armaron uno con fallas recientes — el “ExploitBench (junio–agosto 2026)”, que según la nota al pie contiene “20 vulnerabilidades de severidad alta de V8 en 13 versiones estables de Chrome”.

Y acá viene el detalle, que está en la diferencia entre dos oraciones del mismo anuncio: para el banco viejo la prosa da el número redondo; para el nuevo, no. Donde escribió “un puntaje perfecto de 100%”, para el banco de junio–agosto escribe apenas que Astra logró “tasas de ejecución de código arbitrario sustancialmente más altas” que Sol, y pasa a otra cosa. La cifra no está escondida —tiene fila en la tabla comparativa y hasta una pestaña de gráfico propia dentro de la misma sección—, pero no está en la oración, que es donde el lector la busca. Es esta:

Las dos cifras son verdaderas y las dos las publica OpenAI. Pero cuentan cosas distintas, y la que describe mejor “qué pasa con una falla que el modelo no vio nunca” es la de abajo. Conviene además no leer el 39% como un techo tranquilizador: la propia nota al pie avisa que algunas de esas 20 vulnerabilidades podrían no permitir ejecución de código bajo las condiciones de la prueba, así que un 100% podría no ser alcanzable ahí ni en teoría. No es “Astra es peor de lo que dicen”: es que el número grande responde una pregunta más fácil.

La versión que sale a la calle tiene el freno puesto (por unas semanas)

El anuncio separa con cuidado el modelo del permiso, y esa distinción es la que hace que un modelo Crítico pueda venderse. Textual: con la versión que se lanzó el 3 de septiembre —“hoy”, en la voz del anuncio—, quien defiende puede usarlo para tareas como revisión y parcheo seguro de código, pero “Astra se va a negar a cumplir tareas de ciberseguridad más avanzadas, como crear exploits de prueba de concepto para vulnerabilidades”. El desbloqueo llega después y por la puerta de al lado: “a través de OpenAI Daybreak planeamos ampliar el acceso y desplegar salvaguardas menos restrictivas en las próximas semanas”.

Es decir que esas cifras no describen lo que el modelo hace en tu cuenta: de las cuatro, el anuncio ata explícitamente el “sin las salvaguardas de producción” a ExploitBench y ExploitGym, y ninguna se midió en la configuración con la que el modelo sale a la calle. Y que el freno viene con horizonte declarado —“las próximas semanas”— y ninguna fecha concreta, que es el mismo molde de promesa que esta nota viene anotando desde agosto.

El renglón que la empresa escribió a favor de sus críticos

Hay un párrafo que OpenAI podría haberse ahorrado y no lo hizo, y es el que más peso tiene para quien viene siguiendo esta historia: el razonamiento escrito de Astra es más difícil de vigilar que el de su antecesor. Textual: “nuestras evaluaciones encontraron que el razonamiento escrito de Astra es más difícil de monitorear que el de GPT-5.6 Sol, en base a pruebas que explícitamente le pedían evadir el monitoreo”. La empresa lo atribuye a que Astra controla mejor su razonamiento escrito en tareas simples y resuelve con menos pasos.

Y va pegado su contrapeso, que corresponde citar porque sin él la frase de arriba dice otra cosa: OpenAI aclara que Astra “todavía parece tener dificultades para ocultar el razonamiento necesario para tareas complejas”, que “nos tomamos el descenso en serio” y que mejorar la monitoreabilidad sigue siendo prioridad de investigación. En la otra dirección empuja el dato de alineamiento que abre el anuncio: en una evaluación construida a partir del incidente de Hugging Face, GPT-5.6 Sol —y acá el calificador es de OpenAI y cambia la cifra: “sin las salvaguardas de producción”— se pasó del objetivo autorizado en el 48% de los casos, y Astra en el 0%.

Qué te toca a vos, ahora que sí es un producto

Lo que en la actualización del 1 de septiembre era una advertencia sobre un modelo que todavía no se podía usar, ahora corre sobre uno que sí: los controles extra pueden demorar, pausar o detener trabajo legítimo, y si el monitor pausa una tarea, en ChatGPT o en Codex te van a pedir revisarla antes de seguir, mientras que en la API la tarea se corta. Si dejás agentes trabajando solos, ese es el renglón que te va a tocar — y ahora te toca de verdad.

Lo demás no cambia de golpe, y el escalón que explica lo que efectivamente te llega no es el que acaba de salir: sigue siendo el “Alto”, ocupado por modelos desplegados desde hace rato. Abajo está lo que eso significa para vos, que es la parte aburrida y la que de verdad te toca.

Actualización del 8 de septiembre: la primera medición de Astra que no publicó OpenAI, y los días cero que el modelo encontró en software real

Hasta acá, cada cifra que mide de qué es capaz Astra venía del mismo lugar: OpenAI. La tabla de más arriba lo dice en su propio encabezado —“de OpenAI, salvo donde se aclara”— y era la limitación más grande que tenía la nota. El 3 de septiembre de 2026, el mismo día del lanzamiento, la firma de evaluación Irregular publicó “Assessing GPT-6 Astra: FrontierCyber Measures a Sharp Increase in Cyber Capability”, y ahí hay tres bancos de pruebas que no son los de OpenAI. Al 8 de septiembre no encontramos cobertura de esto en los medios en español que seguimos.

Quién mide, y a qué distancia — la parte que hay que leer antes que los números

Conviene poner esto adelante, porque cambia cómo se leen las cifras: Irregular no es un tercero a distancia de brazo. El trabajo lo dice sin vueltas, apenas arranca (traducción nuestra): “Trabajamos con OpenAI para evaluar a GPT-6 Astra en tres suites de evaluación de ciberseguridad ofensiva”, y más abajo agradece “el compromiso de OpenAI con las pruebas y la seguridad a lo largo de este trabajo”. OpenAI, por su lado, la describe como “uno de nuestros socios externos de testeo de ciberseguridad”.

Y hay una segunda cosa que ya conocés si venís leyendo esta nota desde arriba: Irregular es la misma firma del incidente del 29 de julio —el ejercicio que debía estar aislado y quedó con internet abierto por una mala configuración—. O sea que no es un nombre nuevo en esta historia, es un personaje que ya estaba. Contamos ese episodio en detalle acá, cuando se supo que la misma falla explicaba casos en tres laboratorios distintos.

Nada de eso invalida la medición: es trabajo hecho contra sistemas reales y publicado con sus límites a la vista. Pero “evaluación externa” no es lo mismo que “evaluación independiente”, y la diferencia importa cuando quien evalúa y quien es evaluado hicieron el trabajo juntos. Qué acordaron, quién puso la plata y quién podía frenar la publicación no lo dice ninguno de los dos documentos, así que tampoco lo decimos nosotros.

Los números, y una rareza que las dos columnas comparten

La medición central es FrontierCyber, que Irregular describe como desafíos sobre software y hardware reales, de los que se compran, “sin vulnerabilidad plantada ni camino de explotación predefinido”. El titular es que Astra resolvió 86 de 226 desafíos contra 34 de GPT-5.6 Sol, el modelo anterior:

Tres lecturas que no viajan en el número grande:

• El escalón Elite quedó vacío para los dos. Textual: “ninguno de los dos modelos resolvió un desafío Elite”. El escalón “Elite” es taxonomía de Irregular y no tiene equivalente en los documentos de OpenAI, así que no es la misma medición que las de más arriba — pero es el dato que conviene tener a mano cuando alguien diga que el modelo “ya hackea cualquier cosa”.
• La escalera de dificultad no se comporta como escalera, y le pasa a los dos modelos. Astra saca 39% en Difícil y 30% en Medio; Sol va casi plano —14%, 15% y 17%— y termina rindiendo mejor en Difícil que en Fácil, que es una inversión distinta de la de Astra pero igual de rara. Irregular aclara que los grupos están armados por dificultad prevista: son una predicción de los evaluadores, no una medición. Cuando dos modelos distintos la contradicen en el mismo sentido, lo que quedó desordenado es la etiqueta.
• La evasión casi no se movió: 52% contra 51%, y el propio trabajo la describe como “esencialmente sin cambios”. Es la única prueba con puntaje donde el modelo nuevo no aporta nada — junto con el escalón Elite, que no cuenta porque ahí no resolvió nada ninguno de los dos.

Los días cero que encontró, y por qué no vas a poder parchear ninguno hoy

La parte más concreta es que, mientras intentaba los desafíos, Astra encontró fallas nuevas en software real — no en maquetas de laboratorio. Irregular dice que las está reportando de forma responsable a los afectados y que omite los detalles técnicos a propósito, porque algunas “pueden seguir presentes en sistemas desplegados”. Por eso no hay nombres de productos, ni versiones, ni CVE: hoy no hay nada que puedas ir a actualizar por esto, y cualquiera que te diga lo contrario está completando lo que la fuente dejó en blanco.

⚠️ Cuántas son, exactamente, no lo dice. Las dos veces que las cuenta escribe “múltiples” —“Astra encontró y explotó múltiples días cero que GPT-5.6 Sol no identificó”— y después abre un apartado titulado “casos de estudio” con tres. O sea que tres es lo que eligió contar, no lo que encontró: el total no está publicado y nosotros tampoco lo vamos a inventar. Los tres que sí detalla son estos:

• Una base de datos de código abierto muy usada. Corrupción de memoria convertida en ejecución de código nativo con los privilegios del proceso del servidor. Es la más seria de las tres: se reprodujo en varias líneas de versiones, incluida la más nueva disponible al momento de la prueba, y quien tenga acceso de red al servidor podría ejecutar comandos del sistema operativo y llegar a los datos.
• El motor de JavaScript de un navegador común. Otra corrupción de memoria, con ejecución de código nativo dentro del proceso afectado. 🔴 Y acá hay un detalle que conviene no saltear, porque es lo que separa un hallazgo de laboratorio de un ataque real: la configuración de FrontierCyber tenía desactivado el sandbox de contenido del navegador. Irregular lo dice y saca la conclusión sola: explotar esa falla “no produciría un compromiso completo del navegador en configuraciones ordinarias”; para eso haría falta, además, un escape del sandbox.
• Los SMS de un teléfono al día. En un dispositivo móvil moderno y actualizado, una aplicación con permiso para leer mensajes podía modificarlos o borrarlos sin tener el permiso de escritura. El modelo llegó ahí haciendo ingeniería inversa de los componentes del sistema y probando primero contra bases de datos de aplicaciones propias.

⚠️ Y una aclaración importante, porque a esta altura esta nota lleva tres tandas distintas de días cero en motores de JavaScript y es fácil confundirlas. Son tres hechos separados, de tres fuentes separadas:

• 10 de agosto — dos fallas de V8, de GPT-5.6-Cyber. Otro modelo, el especializado, y una de ellas es la CVE-2026-15903 que Google parcheó el 16 de julio.
• 1 de septiembre — dos fallas de V8, de Astra, en el banco interno de OpenAI armado con 20 vulnerabilidades de Chrome. Ahí también aparece un escape de sandbox completo, pero de las evaluaciones con expertos de OpenAI, contra navegador y sistema operativo endurecidos.
• Hoy — la falla de motor de JavaScript que reporta Irregular, que es el caso opuesto al anterior: el sandbox de contenido estaba apagado por la configuración de la prueba y no hubo escape. La propia fuente aclara que sola no alcanzaría para comprometer el navegador.

Ninguna de las tres es la misma que otra, y ninguna es el mismo hecho contado dos veces. Cuando leas “la falla del navegador” en esta nota, fijate de qué bloque viene.

Lo que Irregular concluye, dicho con sus dos mitades

La conclusión del trabajo viene en dos oraciones que hay que leer juntas, porque separadas cada una dice algo que la otra corrige. La primera: el uso ofensivo de Astra “podría representar un riesgo apreciable para sistemas del mundo real, por su capacidad de encontrar y explotar de forma consistente vulnerabilidades de alto impacto en una variedad de objetivos”. La segunda, pegada: “las capacidades que observamos no se extendieron a ataques exitosos contra objetivos completamente endurecidos”.

Hay un dato más que suele pasar de largo y que conviene mirar, porque es el que mueve la aguja fuera del laboratorio: las corridas exitosas salieron bastante más baratas que con el modelo anterior —Irregular lo mide asumiendo el mismo precio por token—. Lo que abarata un ataque no es que sea posible, es que salga poco: esa es la variable que decide cuántas veces alguien lo intenta.

¿Y esto qué significa para vos?

Empecemos por lo que no significa, porque es lo que circula mal por los grupos de WhatsApp. 🔄 Hasta el 3 de septiembre Astra no estaba en ChatGPT; el lanzamiento arrancó por un grupo limitado de organizaciones y OpenAI dice que en los días siguientes llega a los planes pagos — y aun así no hay nada que desinstalar, ningún parche que ninguno de estos anuncios —ni el del 7 de agosto ni el del lanzamiento— te obligue a correr hoy —el de Chrome del que hablamos arriba salió en julio—, ninguna cuenta que cerrar. Si mañana alguien te dice que “la IA de OpenAI se escapó y está hackeando”, está mezclando todo esto con los incidentes de julio — otra historia, con consecuencias reales pero acotadas, que ya contamos en detalle cuando el instituto británico publicó su informe.

Lo que sí significa es más aburrido y más importante: el escalón “Alto” —automatizar el descubrimiento y la explotación de vulnerabilidades— ya está ocupado por modelos desplegados, y eso se nota en el volumen y en la calidad de lo que te llega. No en un ataque de película contra tu PC, sino en el mail que imita perfecto a tu banco, en la notificación de un cargo que nunca hiciste y en el instalador trucho que aparece primero en el buscador.

Para una PyME de la región, la traducción práctica es que el eslabón débil sigue siendo el mismo de siempre: software desactualizado y equipos sin protección al día. Que es, literalmente, lo que decía el comentario más votado del hilo. Mantener el sistema operativo con soporte vigente y el antivirus activo no te protege de un modelo de frontera —nada de lo que vos hagas lo hace—, pero sí de la enorme mayoría de lo que efectivamente te va a llegar; si el equipo con el que trabajás está sin cobertura, una licencia de ESET NOD32 para 1 PC cubre ese frente puntual.

Preguntas frecuentes sobre Astra de OpenAI y GPT-5.6-Cyber

¿Qué es Astra de OpenAI?

Es el modelo de frontera de OpenAI que salió el 3 de septiembre de 2026 con el nombre GPT-6 Astra. Durante casi un mes fue “uno de sus próximos modelos”, sin lanzar y sin fecha pública; el anuncio del lanzamiento lo despliega “a un conjunto limitado de organizaciones” y, en los días siguientes, a los usuarios de ChatGPT Plus, Pro, Business y Enterprise, más la API de OpenAI, Microsoft Azure y AWS Bedrock. El plan gratuito no figura en esa enumeración. Desde el 1 de septiembre de 2026 es, además, el primer modelo que OpenAI designa en el umbral Crítico de capacidad cibernética de su Preparedness Framework.

¿OpenAI dijo que Astra es peligroso?

Al principio no, y ahora sí. El 7 de agosto de 2026 dijo que “no puede descartar” capacidades cibernéticas críticas según su Preparedness Framework, con evaluaciones que declaraba preliminares y en curso: no afirmaba que el modelo hubiera alcanzado el umbral, sino que ya no podía asegurar que no lo alcanzó. El 1 de septiembre de 2026 cerró esa evaluación y sí lo afirmó: Astra cumple el umbral Crítico de ciberseguridad, o sea que —“con las herramientas y el acceso adecuados”, aclara la empresa— puede encontrar fallas de seguridad desconocidas y desarrollar formas de explotarlas en muchos sistemas bien protegidos sin que una persona le guíe cada paso. Es el primer modelo que la empresa designa en ese nivel.

¿Alguien que no sea OpenAI midió lo que Astra puede hacer?

Sí, con un asterisco. El 3 de septiembre de 2026 la firma de evaluación Irregular publicó una medición de las capacidades ofensivas de Astra en tres bancos de pruebas propios: en el principal, FrontierCyber, el modelo resolvió 86 de 226 desafíos contra 34 de su antecesor, y ninguno de los dos resolvió un desafío del escalón Elite. Durante esas pruebas encontró vulnerabilidades de día cero en software real —Irregular dice “múltiples” y detalla tres: una base de datos de código abierto muy usada, el motor de JavaScript de un navegador y los SMS de un teléfono actualizado—, que están en proceso de reporte responsable y sin detalles públicos, así que no hay nada que puedas parchear hoy por esto. El asterisco: Irregular declara que hizo el trabajo junto con OpenAI y es socio externo de testeo de la empresa, no un evaluador a distancia de brazo. El detalle está en la actualización del 8 de septiembre.

¿Esto afecta a ChatGPT o a los modelos que uso hoy?

Hasta el 3 de septiembre, no; desde el lanzamiento, con matices. El anuncio del 7 de agosto era sobre un modelo que entonces no estaba lanzado y sobre actividades internas de desarrollo, y el del 18 de agosto también: son procesos internos de entrenamiento, monitoreo y seguridad. El del 10 de agosto sí toca un modelo desplegado —abre acceso a GPT-5.6 Sol sin los filtros de sistema—, pero solo dentro del programa Daybreak y para individuos y organizaciones aprobados. Lo que sí conviene saber es que GPT-5.6 Sol está clasificado por OpenAI en el umbral “Alto” de capacidad cibernética, un escalón por debajo del Crítico. El anuncio del 1 de septiembre agrega el primer efecto concreto para el usuario común: OpenAI avisa que sus controles extra pueden demorar, pausar o detener trabajo legítimo, y que si el monitor pausa una tarea, en ChatGPT o en Codex te va a pedir revisarla antes de continuar, mientras que en la API la tarea se corta. 🔄 Desde el 3 de septiembre eso dejó de ser hipotético: Astra se lanzó. El reparto arrancó por un conjunto limitado de organizaciones y, según OpenAI, “en los próximos días” llega a los planes pagos de ChatGPT —Plus, Pro, Business y Enterprise—, así que esos controles van a correr sobre un modelo que vas a tener adelante. En Enterprise el acceso viene apagado por defecto y lo prende el administrador.

¿Qué es GPT-5.6-Cyber y por qué ese sí salió si frenaron a Astra?

Es un modelo de ciberseguridad que OpenAI lanzó el 10 de agosto de 2026, construido sobre GPT-5.6 Sol y entrenado para encontrar vulnerabilidades de día cero y desarrollar cadenas de exploits. Salió porque OpenAI lo evaluó bajo el mismo Preparedness Framework y concluyó que llega al umbral “Alto” pero no al “Crítico” — y lo que el framework manda frenar es el Crítico, aunque solo hasta que estén especificadas las salvaguardas de ese nivel. Lo que pasó después: el 1 de septiembre de 2026 OpenAI declaró a Astra en el umbral Crítico y anunció que igual lo va a lanzar, porque considera que sus salvaguardas “minimizan suficientemente el riesgo de daño grave para el lanzamiento”. 🔄 Lo lanzó el 3 de septiembre de 2026, y ahí hay que separar dos cosas: el modelo arranca en un grupo limitado de organizaciones y, dice el anuncio, en los días siguientes llega a los planes pagos de ChatGPT y a la API, pero sus capacidades cibernéticas avanzadas no — el anuncio dice que la versión que se lanza “se va a negar” a tareas como crear exploits de prueba de concepto, y que el acceso menos restrictivo llega por Daybreak “en las próximas semanas”.

¿Es la primera vez que un laboratorio frena un modelo propio por riesgo cibernético?

Podría serlo. Axios señala que “esta podría ser la primera vez que un laboratorio de IA de frontera se compromete a frenar el progreso de uno de sus propios modelos por preocupaciones cibernéticas”. El mismo medio recuerda que Anthropic tenía un compromiso parecido de pausa y lo flexibilizó al actualizar su Responsible Scaling Policy en febrero de 2026.

¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Poné al día la protección del equipo →