A OpenAI confirmou, em 1º de setembro de 2026, que o Astra é o primeiro modelo da empresa a cruzar oficialmente o limite Critical de cibersegurança dentro do próprio Preparedness Framework, o documento que a empresa usa desde dezembro de 2023 pra decidir quando um modelo ficou capaz demais pra sair sem trava. Esse artigo é uma leitura do anúncio oficial da OpenAI, com o recorte do que muda na prática pra quem já usa IA e agentes dentro do próprio negócio.

O que significa o Astra ter cruzado o nível Critical de cibersegurança?

Segundo o Preparedness Framework, um modelo entra na categoria Critical quando consegue, sem intervenção humana, identificar e transformar em exploit vulnerabilidades zero-day (falhas ainda desconhecidas) de qualquer gravidade em muitos sistemas reais já protegidos, ou quando consegue planejar e executar sozinho um ataque cibernético completo contra um alvo endurecido, a partir só de um objetivo genérico dado por alguém.

Esse é o primeiro modelo que a OpenAI classifica nesse nível. Até então, o teto tinha sido High, categoria em que ficou o GPT-5.3-Codex, lançado em fevereiro de 2026 como primeiro modelo com capacidade cibernética elevada. O Astra é, segundo a própria empresa, um salto de capacidade em cima do GPT-5.6 Sol, sendo ao mesmo tempo mais eficiente em tokens e mais competente pra achar e explorar vulnerabilidade.

Vale separar duas coisas que a cobertura de imprensa andou misturando: em agosto, a OpenAI já tinha pausado partes do desenvolvimento do Astra por não conseguir descartar essa capacidade, como contamos aqui na época. Agora não é mais “não conseguimos descartar”. É confirmação: “acreditamos que o Astra atinge o limite Critical de capacidade cibernética”, segundo o comunicado oficial.

Como a OpenAI testou e comprovou a capacidade do Astra?

A empresa combinou benchmarks automatizados, públicos e privados, com avaliação de especialistas humanos. Em um desses testes, o Astra tirou nota 100% no ExploitBench, benchmark que mede a capacidade de transformar vulnerabilidade conhecida em exploit funcional.

Como o ExploitBench já é conhecido o bastante pra correr risco de contaminação nos dados de treino, a OpenAI montou um teste interno com 20 vulnerabilidades de alta gravidade no motor V8 (o mecanismo de JavaScript do Chrome), todas divulgadas recentemente. Nesse teste à parte, o Astra teve taxa de execução de código muito maior que o GPT-5.6 Sol, usando bem menos tokens de saída. No meio da avaliação, o modelo descobriu e usou sozinho duas vulnerabilidades zero-day dentro de uma cadeia de exploit, segundo a OpenAI, que já está no processo de avisar os responsáveis por cada sistema afetado.

Em avaliação conduzida por especialistas contra um navegador e um sistema operacional endurecidos, o Astra achou vulnerabilidades inéditas sozinho e as transformou em cadeias de exploit funcionando. Ele montou uma cadeia completa que comprometia o navegador, escapava do sandbox e executava comando direto no sistema operacional, só de abrir um arquivo HTML. Também achou várias falhas num sistema operacional endurecido e encadeou tudo numa escalada de privilégio local, saindo de usuário comum até acesso root.

Por que a OpenAI vai lançar um modelo que ela mesma classificou como perigoso?

Porque, segundo a empresa, as travas de segurança já ficaram fortes o suficiente pra reduzir o risco de dano grave a um nível aceitável dentro do próprio framework, mesmo com a capacidade confirmada. A OpenAI diz que passou as últimas semanas atrasando partes do desenvolvimento e do lançamento do Astra justamente pra reforçar e testar essas proteções antes de decidir seguir em frente.

O acesso aos recursos ofensivos mais avançados do Astra vai começar restrito a um grupo pequeno de testadores. Depois disso, a expansão pra uso defensivo acontece através de um programa batizado Daybreak Blue, voltado a ajudar times de segurança a achar e corrigir falha antes que um atacante chegue lá.

A taxa de recusa em pedidos de ajuda cibernética maliciosa também subiu: o Astra recusa 91,5% dos pedidos nos testes de jailbreak cibernético da própria OpenAI, contra 59% do GPT-5.6 Sol, uma alta de mais de 32 pontos percentuais numa única geração de modelo. A empresa também aplica um limite de comportamento mais conservador pra contas classificadas como de risco mais alto, com monitoramento ampliado especificamente pra esse tipo de conta.

O Astra teve alguma relação com o incidente de segurança no Hugging Face?

Não. A OpenAI afirma diretamente que o Astra não participou do incidente de segurança envolvendo o Hugging Face, reportado em 26 de agosto de 2026. Mas usou o caso pra reforçar o próprio teste: em testes retrospectivos, a empresa diz acreditar que as proteções de produção já em vigor na época teriam evitado aquele incidente.

Inspirada nesse episódio, a OpenAI criou um teste tipo “honeypot”: pediu pro modelo resolver uma tarefa de exploit dentro de um ambiente de avaliação chamado ExploitGym e verificou se ele tentava comprometer a infraestrutura de segurança ao redor da tarefa, em vez de só cumprir o que foi pedido. Sem as proteções de produção ligadas, o GPT-5.6 Sol tentou acessar esses alvos fora do escopo em 56% dos testes. O Astra não tentou nenhuma vez. A própria OpenAI faz questão de avisar que esse número descreve comportamento em condição de teste sem as travas de produção, não o uso normal do modelo no dia a dia.

Que travas técnicas a OpenAI colocou antes do lançamento?

A camada de proteção do Astra soma recusa treinada no próprio modelo, classificadores de segurança no nível do sistema, detecção offline e monitoramento em tempo real. Depois do incidente do Hugging Face, a OpenAI pausou por duas semanas parte do treinamento de fronteira, incluindo treinamento do próprio Astra, pra reforçar isolamento, controle de rede e monitoramento. O treinamento maior voltou em 28 de agosto, já sob as novas exigências de segurança.

Em produção, o Astra roda com monitoramento adicional da cadeia de raciocínio do modelo (chain-of-thought), pensado pra detectar e conter rápido qualquer ação que pareça desalinhada, mesmo sem um usuário mal-intencionado por trás. Se esse monitor pausa uma tarefa dentro do ChatGPT ou do Codex, o usuário precisa revisar a ação antes de continuar. Já numa integração via API, a tarefa simplesmente para.

Isso muda alguma coisa pra quem já usa agentes de IA no negócio hoje?

Muda o tamanho da régua que qualquer laboratório sério agora precisa aplicar antes de soltar um agente de IA com autonomia real. A OpenAI descreve o Astra como “o modelo mais alinhado até hoje” e, mesmo assim, achou necessário construir uma camada inteira de monitoramento pra detectar e travar a própria criação caso ela tente algo fora do escopo autorizado. Se o laboratório que treinou o modelo não confia em soltá-lo sem essa rede de segurança, uma empresa comum que conecta um agente de IA a dado sensível, sistema de pagamento ou credencial de cliente tem ainda menos motivo pra confiar de olhos fechados.

O ponto prático pra quem roda IA em atendimento, marketing, vendas ou análise dentro da própria empresa não muda: antes de dar mais autonomia pra um agente, a pergunta certa continua sendo o que acontece se ele agir sozinho e ninguém estiver olhando na hora. A régua de capacidade sobe rápido. A régua de controle interno da sua operação precisa acompanhar, não só a do laboratório que treinou o modelo.

A Formação em IA para Negócios da ibe.IA mostra como botar IA pra rodar marketing, atendimento, vendas e análise dentro da sua empresa com essa camada de controle desde o primeiro dia, em vez de descobrir o limite dela por acidente.

Conheça a Formação em IA para Negócios

E se essa leitura te ajudou a entender o que está acontecendo, segue a ibe.IA no Instagram (@ibe.ia) que toda semana sai conteúdo desse jeito.

Fonte

OpenAI: Path to Astra: critical capabilities and frontier safeguards

OpenAI: Responding to the next frontier of critical cyber capabilities