OpenAI ha annunciato che sta preparando il rilascio di Astra, un LLM che la stessa azienda definisce cyber-critical e che, secondo il titolo dell'annuncio, è molto abile nel violare i sistemi informatici. Non è una semplice nota di prodotto: l'azienda ha scelto di mostrare in anteprima le precauzioni che adotterà prima del rilascio, un passaggio che sposta il discorso dalla qualità del modello alla sicurezza dell'ambiente in cui verrà eseguito.

La questione non riguarda soltanto ciò che Astra può generare, ma ciò che può fare quando interagisce con un sistema. Un LLM con capacità offensive non si limita a rispondere a prompt: può diventare un agente che esplora, prova credenziali, individua percorsi laterali. Questo cambia il perimetro della valutazione. Nei modelli tradizionali, i rischi più discussi erano prompt injection, data leakage e contenuti indesiderati. Con un profilo cyber-critical, il rischio si sposta sul runtime: quali accessi ha il modello, quali strumenti può invocare, quale visibilità ha sulla rete.

Per chi valuta un deployment on-premise o self-hosted, il nodo non è solo se fidarsi del fornitore. Un modello di questo tipo va isolato come un agente con privilegi potenzialmente pericolosi. La sovranità dei dati, da sola, non basta se il modello può tentare movimenti laterali all'interno dell'infrastruttura. Le metriche classiche di TCO e VRAM restano importanti, ma accanto a queste serve una valutazione della superficie di escalation che il modello può percorrere. Su AI-RADAR, per chi valuta deployment on-premise, esistono framework per affrontare i trade-off tra isolamento, latenza e controllo su /llm-onpremise; qui la sicurezza non è un modulo separato, ma una proprietà del perimetro.

Questo scenario ridistribuisce gli incentivi. I team con infrastruttura propria e competenze di hardening possono usare modelli offensivi per red teaming e test di penetrazione controllati, un'opzione che prima richiedeva strumenti dedicati. Chi perde sono le organizzazioni che consumano modelli potenti solo via API, senza visibilità sul runtime e senza la possibilità di modificare i livelli di enforcement. Il fornitore cloud può applicare policy, ma il cliente non ha il controllo granulare necessario per un agente con questo profilo.

La mossa di OpenAI segnala anche un cambiamento strutturale: i laboratori normalizzano la pubblicazione di modelli dual-use accompagnati da guardrail dichiarati. Il costo della sicurezza si sposta dalla ricerca alla fase di deployment. Non basta più una valutazione di safety del modello: serve una valutazione di sicurezza dell'intero stack. Il timing della comunicazione, con le precauzioni mostrate prima del rilascio, è di per sé un messaggio.