Quando OpenAI ha annunciato di aver sospeso parte del lavoro sul modello Astra, la spiegazione ufficiale rimandava a un documento: il Preparedness Framework. È il testo che ha determinato la decisione, ed è anche il motivo per cui quella decisione è arrivata prima che il modello uscisse. Vale la pena capire come funziona, perché sarà invocato di nuovo.
Un documento scritto quando non serviva ancora
OpenAI ha pubblicato la prima versione del quadro nel dicembre 2023. All’epoca nessun modello si avvicinava alle capacità che il documento immaginava, e il testo aveva il carattere di un’assicurazione sul futuro più che di uno strumento operativo.
Era esattamente il punto. L’idea alla base di questi quadri è stabilire in anticipo cosa fare quando una certa capacità emerge, mentre la decisione è ancora astratta e nessun prodotto, nessuna scadenza e nessun concorrente premono sulla scelta. Scrivere la regola prima del caso concreto serve a evitare che sia il caso concreto a scrivere la regola.
Due anni e mezzo dopo, quel documento ha prodotto una sospensione reale su un modello reale.
Cosa misura
Il quadro segue le capacità che l’azienda considera potenzialmente pericolose in alcuni ambiti definiti: quello biologico e chimico, la cibersicurezza e l’auto-miglioramento dei sistemi di IA — cioè la capacità di un modello di contribuire in modo sostanziale allo sviluppo di modelli successivi.
Per ciascun ambito il testo definisce soglie di capacità. Quella che conta nella vicenda Astra è la distinzione tra il livello alto e il livello critico. Tutti i modelli precedenti dell’azienda valutati per le capacità cyber di frontiera, incluso GPT-5.6-Sol, si erano fermati al livello alto.
Nel dominio informatico la soglia critica è definita in modo preciso: un modello la raggiunge se sa individuare e sviluppare autonomamente exploit zero-day contro sistemi ben protetti, senza intervento umano, oppure se, ricevuto soltanto un obiettivo generale, sa pianificare ed eseguire attacchi complessi contro bersagli difficili.
La differenza rispetto ai livelli inferiori non è di grado. È la differenza tra uno strumento che aiuta un attaccante competente e un sistema che l’attaccante non gli serve più.
La regola che rende il quadro diverso dagli altri
C’è un aspetto del documento che nella copertura giornalistica passa spesso inosservato, ed è il più rilevante.
Per la maggior parte delle politiche di sicurezza dell’IA, il momento della verità è il rilascio: si valuta il modello, si applicano le mitigazioni, si decide se e come distribuirlo. Il Preparedness Framework, per il livello critico, sposta l’obbligo più indietro. Il testo stabilisce che i modelli che hanno raggiunto o si prevede raggiungeranno quel livello richiedono garanzie aggiuntive durante lo sviluppo, indipendentemente dal fatto che vengano poi distribuiti all’esterno.
È il motivo per cui la notizia su Astra non riguarda un rinvio commerciale ma una sospensione di attività interne. Il presupposto è che un modello di questo tipo costituisca un rischio già mentre esiste dentro l’azienda: perché i pesi possono essere sottratti, perché gli agenti di valutazione possono uscire dagli ambienti in cui sono confinati, perché il personale che vi accede è un perimetro come un altro.
Cosa scatta quando la soglia viene raggiunta
Il caso Astra mostra le misure in concreto: sviluppo spostato in ambienti di test isolati con accesso alla rete limitato ed esecuzione in sandbox; sospensione delle attività interne che non soddisfano i requisiti rafforzati; protezione più robusta dell’archiviazione dei pesi del modello; monitoraggio esteso a ogni esecuzione agentica; coinvolgimento di agenzie governative e organizzazioni indipendenti nelle verifiche.
Il meccanismo si era già attivato in precedenza in ambito biologico, quando i modelli dell’azienda si erano avvicinati alla soglia più alta: anche allora erano seguiti accessi ristretti, revisione esterna ampliata e contenimento infrastrutturale rafforzato. Anthropic aveva adottato misure analoghe sullo stesso terreno.
Va aggiunto che la valutazione non è puramente automatica: alle misurazioni interne si affiancano pareri di esperti, e la conclusione su Astra è stata raggiunta combinando le due cose.
I limiti, che sono strutturali
Un quadro di questo tipo ha tre punti deboli, e conviene nominarli.
È autovalutato. L’azienda misura le capacità dei propri modelli con i propri strumenti, stabilisce se la soglia è stata superata e decide quali misure applicare. Nessun soggetto terzo verifica quelle conclusioni.
È autodefinito. Le soglie sono scritte dalla stessa organizzazione che deve rispettarle, e possono essere riviste. Anthropic si era impegnata a sospendere l’addestramento di modelli potenti se le capacità avessero superato la propria possibilità di controllo, e ha modificato quell’impegno in un aggiornamento della propria policy a febbraio, sostenendo che se un solo sviluppatore si fermasse mentre gli altri proseguono senza mitigazioni robuste il risultato sarebbe un mondo meno sicuro.
È volontario. Non esiste sanzione per l’inadempienza, e la pressione competitiva agisce in una sola direzione.
Vale però il rovescio della medaglia: un impegno pubblico preso in anticipo produce un costo reputazionale quando viene disatteso, ed è precisamente questo costo a rendere gli impegni volontari qualcosa di diverso da una dichiarazione d’intenti. La sospensione di Astra è, in questo senso, la prova che il meccanismo può mordere.
Il confronto con l’Europa
Il regolamento europeo sull’intelligenza artificiale affronta lo stesso problema per via opposta. Per i modelli per finalità generali che presentano un rischio sistemico prevede obblighi vincolanti: valutazione e mitigazione dei rischi, protezione della cibersicurezza del modello e dei suoi pesi, segnalazione degli incidenti gravi alle autorità.
Le due impostazioni hanno difetti speculari. Quella volontaria è rapida, tecnicamente informata e non verificabile. Quella normativa è verificabile e opponibile, ma si muove alla velocità delle istituzioni, mentre le soglie di capacità si spostano nel giro di mesi.
Nessuna delle due, a oggi, è stata messa alla prova da un incidente grave e conclamato. È l’unico test che dirà quale delle due funziona — e non è un test che convenga attendere con curiosità.
