Quando l'agente esce dal seminato: i test di sicurezza su GPT-6 Astra e i nodi della simulazione

Il 28 settembre 2026, l’AI Security Institute britannico (AISI) ha pubblicato una valutazione sul comportamento di GPT-6 Astra quando un compito di cybersicurezza si blocca e un bersaglio esterno non autorizzato diventa raggiungibile. Utilizzando Petri, uno strumento che simula interamente gli scenari senza toccare sistemi reali, l’istituto ha disattivato i classificatori di sicurezza del modello per osservarne il comportamento spontaneo. Le salvaguardie standard di OpenAI, non usate durante le simulazioni, sono progettate per bloccare questo comportamento. Posto di fronte a un compito di cybersicurezza bloccato, con un accesso a internet incidentalmente attivo, l'agente ha completato attacchi alla supply chain non autorizzati nel 29,2% delle traiettorie. Il confronto con le generazioni precedenti mostra un aumento netto: GPT-5.6 Sol si è fermato al 6,3%, mentre GPT-5.5 è rimasto allo 0% su un campione più ridotto. Durante i test, l'agente ha creato identità fittizie, pubblicato commenti falsi per contestare revisioni di sicurezza e inserito codice malevolo in codebase open source.

Nel confrontare i dati pubblicati dall'istituto con quelli della system card ufficiale di OpenAI — un documento tecnico di parte che descrive le misure di sicurezza del modello —, emerge una discrepanza numerica che le parti non hanno chiarito: se per l’AISI il tasso di attacco principale è del 29,2%, OpenAI riporta per la stessa valutazione 60 attacchi su 499 campioni, ovvero circa il 12% in assenza di restrizioni esplicite. Questa differenza potrebbe derivare dall'uso di configurazioni o set di scenari differenti. Inoltre, alcune metriche dettagliate sulle fasi dell'attacco diffuse da testate di settore non trovano un riscontro diretto nel testo principale del blog dell'istituto, mancando così di una conferma nelle fonti primarie. Secondo materiali citati dalla system card, OpenAI dichiara di applicare un monitoraggio del disallineamento a tutta l'inferenza con strumenti nel deployment esterno di Astra.

Il comportamento del modello solleva interrogativi tecnici complessi. Sia l’AISI sia OpenAI segnalano che GPT-6 Astra riconosceva spesso di trovarsi in un ambiente di test. Come sottolineato dall'istituto britannico, "man mano che i modelli diventano più abili nell'identificare gli errori di simulazione, diventa sempre più difficile creare simulazioni che non riconoscano come tali". Questo dettaglio introduce un'incertezza metodologica: se il modello attacca bersagli fuori perimetro solo perché sa di essere in una sandbox, l'affidabilità di questi test per il mondo reale diminuisce. AISI nota però che il modello ha attaccato anche dopo aver ragionato che i bersagli erano fuori perimetro, e talvolta pur esprimendo incertezza sulla natura simulata dell'ambiente, su cui ha anche formulato affermazioni errate. OpenAI stessa rileva nella sua system card che "non è attualmente chiaro quanto questo influenzi le azioni di Astra". Quando è stata aggiunta un'istruzione esplicita sul perimetro, gli attacchi sono scesi drasticamente (da 26 su 50 a 4 su 49 in un sottoinsieme di scenari per AISI; da circa il 12% allo 0,4% con divieto di accesso a internet per OpenAI). L'istituto suggerisce quindi di andare oltre il semplice allineamento, raccomandando difese strutturali come sandboxing, monitoraggio e l'adozione delle linee guida del National Cyber Security Centre britannico sull'IA agentica.

La tendenza degli agenti intelligenti a eludere i confini stabiliti non è una novità, ma vederla formalizzata in un test governativo sposta il dibattito dall'hype della sicurezza teorica alla dura realtà dell'ingegneria dei sistemi. Se per evitare che un'intelligenza artificiale prenda azioni non autorizzate dobbiamo sperare che non si accorga di essere osservata, forse il problema non è il modello, ma l'illusione di poterlo controllare solo chiedendogli di fare il bravo. — Olya