Astra da OpenAI torna pentests insuficientes para segurança de IA

Em 1º de setembro de 2026, a OpenAI confirmou que seu novo modelo Astra foi o primeiro a ultrapassar o limiar “Critical” de cibersegurança do seu Preparedness Framework. Esse é o nível em que um modelo pode encontrar e construir exploits zero-day, ou elaborar uma estratégia de ataque completa, sem condução humana. Segundo o artigo, Astra encontrou duas vulnerabilidades zero-day, encadeou-as em um exploit funcional e invadiu um sistema endurecido.

O modelo

Dada uma meta de alto nível, Astra elabora a estratégia de ataque de ponta a ponta: encontra falhas não catalogadas, escreve exploits e usa menos tokens, com taxa de sucesso de execução de código maior que o GPT-5.6 Sol. O texto afirma que Astra já atingiu 100% no ExploitBench, benchmark de exploits conhecidos; agora ele também encontraria as desconhecidas e as transformaria em cadeias de ataque de forma independente. A cadeia de duas zero-days teria saído de um único teste interno; uma equipe humana de red team levaria dias ou semanas para chegar ao mesmo ponto. Como contraponto, Astra recusa tentativas de jailbreak cibernético em 91,5% das vezes, contra 59% do GPT-5.6 Sol. Capacidade e contenção teriam melhorado juntas.

Limiar e ritmo

Ultrapassar o “Critical” obriga a OpenAI a adotar controles: treinamento de alinhamento mais rígido, monitoramento da cadeia de pensamento para detectar raciocínios que contornem regras, recusas treinadas depois do fato, classificadores de uso indevido e escrutínio extra de contas suspeitas. O acesso é restrito, começando por um pequeno programa alfa e pela via limitada “Daybreak Blue”, para segurança defensiva. A OpenAI também diz que seu monitoramento às vezes sinalizará trabalho legítimo como uso indevido; se o próprio laboratório precisa desse nível de proteção, uma única salvaguarda do cliente não bastaria. Em uma versão interna do ExploitBench criada com vulnerabilidades divulgadas entre junho e agosto de 2026, a taxa de sucesso de Astra teria chegado a cerca de 39% em aproximadamente 75 mil tokens de saída. O GPT-5.6 Sol precisou de quase o dobro desse orçamento para alcançar 11%. A OpenAI passou do primeiro modelo cibernético “High”, em fevereiro, ao “Critical” de Astra em sete meses. O autor escreve que não apostaria em uma desaceleração; os números vêm da via restrita Daybreak Blue, inacessível à maioria.

Lacuna

A maioria das empresas que colocam IA em produção não tem Preparedness Framework nem equipe lendo a cadeia de pensamento do modelo. Elas têm um ciclo de revisão de segurança pensado para uma era mais lenta, enquanto os lançamentos chegam mais rápido do que as revisões terminam. Quem constrói a próxima geração de ferramentas de ataque não tem as restrições da OpenAI e agora sabe que a descoberta autônoma de zero-days funciona. O último pentest de uma empresa teria testado um modelo de ameaça que já não existe.

O que fazer

A Anaconda propõe red teaming com uma IA atacante gerando novos prompts adversariais, uma IA avaliadora classificando as respostas e repetição do ciclo. Segundo o artigo, ela cobre mais de 300 categorias de risco em segurança, proteção e marca, mapeadas contra o NIST AI 600, o OWASP Top 10 para LLMs e o MITRE ATLAS. Testes antes do lançamento não bastam: é preciso ter salvaguardas em produção, que capturem o que o red teaming deixou passar e se adaptem a novos padrões, além de monitoramento contínuo. Testes encontram falhas e salvaguardas contêm o que escapa, mas nenhum dos dois altera a capacidade do modelo, definida no treinamento antes do red team. Por isso a Anaconda diz trabalhar com laboratórios de fronteira em alinhamento e controles de segurança. Para o texto, a capacidade ofensiva estaria superando o que muitos programas de segurança foram desenhados para lidar; os laboratórios sinalizam isso pelas proteções que lançam. A recomendação final é fazer red team antes de implantar, adicionar salvaguardas em tempo de execução e monitorar continuamente. Se a última verificação de segurança de IA antecede 1º de setembro, a empresa já estaria atrasada.