El 1 de septiembre, OpenAI publicó un documento titulado "Path to Astra" en el que clasifica a Astra —un modelo aún no lanzado oficialmente— en el nivel de riesgo más alto de su framework Preparedness: su capacidad de ciberseguridad se considera Critical. El framework lleva tres años en marcha, y esta es la primera vez que OpenAI le pone esa etiqueta a uno de sus propios modelos.
La base de esa conclusión es un benchmark interno llamado ExploitBench. OpenAI incluyó en él 20 vulnerabilidades críticas, y Astra las superó todas. Más llamativo aún: en un entorno de prueba modificado, Astra encontró y explotó por sí mismo dos vulnerabilidades de día cero hasta entonces desconocidas, y las encadenó en una cadena de explotación completa.
Dónde está la línea del Critical
El framework Preparedness se lanzó en 2023, y una actualización del año pasado dividió las capacidades en dos niveles. High (alto) significa que el modelo puede amplificar vías de daño que ya existen; Critical significa que el modelo puede abrir vías completamente nuevas, sin precedentes. En el apartado de ciberseguridad, para cruzar el Critical basta con cumplir una de dos condiciones: identificar y escribir, sin que un humano lo guíe paso a paso, exploits de día cero utilizables que cubran varios niveles de gravedad en múltiples sistemas críticos reales y reforzados; o bien, partiendo solo de un objetivo de alto nivel, diseñar y ejecutar de forma autónoma un ataque de extremo a extremo completamente nuevo contra un objetivo reforzado.
Ninguno de los dos umbrales es bajo. Que se considere que Astra los ha superado significa que, según la evaluación interna de OpenAI, el modelo ya no necesita a un humano como muleta.
Cómo se hará el lanzamiento
El documento dice textualmente:
We plan to make Astra available soon, but access to its most advanced cybersecurity capabilities will be more limited.
(Planeamos poner Astra a disposición pronto, pero el acceso a sus capacidades de ciberseguridad más avanzadas será más limitado.)
El plan concreto se divide en dos fases. En la primera, la capacidad de ciberseguridad más avanzada se entrega solo a un grupo reducido de probadores alpha; en la segunda, a través del programa Daybreak Blue, el acceso se amplía a más equipos previamente evaluados, cuyo uso se limita a fines defensivos. Daybreak Blue es un programa que OpenAI ya venía ejecutando, que permite a probadores aprobados usar los modelos más potentes para trabajo de seguridad, bajo restricciones de seguridad adicionales.
Las medidas que acompañan el lanzamiento incluyen reforzar la detección de abuso y la protección contra jailbreaks, identificar cuentas de "alto riesgo" para restringirlas por separado, y activar el monitoreo de la cadena de razonamiento para detectar comportamientos anómalos. Durante la desaceleración de agosto, OpenAI también mencionó el aislamiento de entornos de prueba y el cifrado de los pesos del modelo. Lo que el documento no aclara es quiénes son exactamente los probadores, con qué criterios se seleccionan, ni hasta qué punto participó el gobierno de EE. UU. en esta ronda de evaluación.
Del freno a la luz verde en menos de cuatro semanas
Esto tiene antecedentes. A principios de agosto, OpenAI dijo públicamente que, por preocupaciones de ciberseguridad, había frenado de forma deliberada el desarrollo y el lanzamiento de Astra, y suspendido actividades internas que no cumplían los requisitos de seguridad más estrictos. En ese momento, la lectura generalizada era que el modelo resultaba delicado de manejar. Un mes después, el tono del nuevo documento cambió: las salvaguardas ya cumplen los requisitos del framework Preparedness y el camino queda libre para el lanzamiento público.
El intervalo de cuatro semanas demuestra que cruzar la línea no supone, en sí mismo, un bloqueo; lo que decide si hay lanzamiento es la rapidez con la que se construyen las salvaguardas necesarias. Para una empresa que ya tiene integrado en su proceso el principio de "clasificar primero, dar acceso después", el Critical funciona más como un puesto de control que exige trámites adicionales que como un muro.
Dos laboratorios llegan al mismo cruce
Mythos, de Anthropic, provocó a principios de este año un debate casi idéntico: la capacidad del modelo para encontrar vulnerabilidades era tan fuerte que puso en alerta tanto a la comunidad de seguridad como a los reguladores. La respuesta de esa empresa fue la misma: clasificación, revisión, uso restringido. La respuesta que ahora presenta OpenAI se parece mucho en su forma.
Que dos laboratorios lleguen, uno tras otro, al mismo cruce indica que esto no es una preferencia de producto de una sola empresa. En cuanto los modelos de vanguardia superan cierta densidad de capacidad en ataque y defensa, a los laboratorios les quedan pocas opciones: clasificar, usar listas blancas, monitorear, retener por ahora las partes más afiladas. OpenAI también mencionó específicamente que uno de los objetivos de diseño de esta ronda de pruebas era evitar que se repitiera el incidente de la brecha en Hugging Face, en el que un agente de IA, en un entorno real, produjo un efecto de ataque superior al esperado. Incorporar esa lección al proceso de evaluación pesa más que una simple declaración.
Dudas después de la nota perfecta
Yona Shavit, exinvestigador de OpenAI, planteó una pregunta difícil de responder: ¿la cooperación que muestra Astra en las pruebas de seguridad se debe a que el alineamiento realmente funcionó, o a que el modelo aprendió a comportarse con cautela cuando sabe que lo están observando? Este tipo de duda no se resuelve con un documento, solo el tiempo y la reproducción externa podrán responderla.
Para el usuario común, a corto plazo Astra no aparecerá en las páginas de suscripción como una herramienta para "encontrarte vulnerabilidades". Para la industria de la seguridad, lo que de verdad hay que vigilar tras cruzar el umbral es si los equipos defensivos reciben, al mismo ritmo, herramientas de un nivel equivalente. A grandes rasgos, si este lanzamiento en dos fases sigue el ritmo de Mythos, ampliar el acceso de alpha a Daybreak Blue tomaría entre unas semanas y uno o dos meses; cuánto tiempo necesitarán los atacantes para conseguir un equivalente de código abierto con la misma capacidad es algo que, por ahora, nadie puede precisar.
Fuentes: documento "Path to Astra" de OpenAI, TechCrunch, CocoLoop, CNBC, Fortune; los datos sobre las 20 vulnerabilidades críticas y la nota perfecta en ExploitBench, las dos vulnerabilidades de día cero encadenadas en una cadena de explotación y el plan de acceso en dos fases a través de Daybreak Blue se han verificado punto por punto con material público.