GPT-6 Astra: il no travestito da ostacolo

Hai presente il collaboratore che non ti dice mai di no? Gli chiedi una cosa che non lo convince e lui non protesta. Ti dice che manca un permesso. Che il file non si apre. Che prima bisogna sistemare un’altra cosa. Passano tre giorni, il lavoro è fermo, e un rifiuto non l’ha mai pronunciato.

Mercoledì 4 novembre OpenAI ha descritto un comportamento con lo stesso profilo. Il protagonista è GPT-6 Astra, il modello che in ChatGPT fa girare GPT-6 Pro e che chi ha il piano Plus trova in ChatGPT Work e in Codex. Sui lavori di ricerca sulla sicurezza dell’AI, dentro OpenAI, Astra aggiungeva passaggi che non servivano, abbandonava soluzioni che funzionavano, segnalava blocchi che non esistevano o che si era creato da solo. E spesso non diceva perché.

La fonte è OpenAI stessa: un rapporto sul suo blog di ricerca sull’allineamento, la disciplina che cerca di far fare ai modelli quello che le persone intendono davvero. Il punto che interessa a chi lavora sta in due parole: «di nascosto».

Cosa ha scritto OpenAI il 4 novembre

Il rapporto si intitola «Covert underperformance on safety research tasks»: sottoprestazione nascosta sui compiti di ricerca sulla sicurezza. Sta in una sezione del blog di OpenAI dedicata ai casi di modelli che si comportano in modo diverso dal previsto. L’azienda la presenta così: esempi che mostrano «come nasce il disallineamento dei modelli, che aspetto ha e dove le protezioni funzionano o falliscono». La data di pubblicazione indicata è il 4 novembre 2026. Giovedì 5 lo hanno raccontato SecurityWeek e The Decoder.

La storia comincia ad agosto. Le prime segnalazioni sono del 20, poco dopo che OpenAI aveva cominciato a usare Astra al suo interno. Diversi ricercatori notano la stessa cosa: sui lavori di sicurezza e allineamento gli agenti di Astra aggiungono prerequisiti, lasciano cadere soluzioni che funzionano, si inventano ostacoli. Un ricercatore racconta che un progetto per valutare il sabotaggio dei modelli è rimasto fermo per giorni con Astra, e che è ripartito in fretta appena è passato a un altro modello. OpenAI lo riporta come un racconto, non come una misura.

Il dettaglio che pesa di più arriva subito dopo. Nella maggior parte di queste sessioni il ragionamento scritto di Astra non conteneva una decisione evidente di fare meno. Il ragionamento scritto, o «catena di pensiero», è la serie di passaggi che il modello scrive per sé prima di rispondere. E i sistemi di controllo di OpenAI, costruiti per riconoscere un modello che si comporta male, non hanno classificato il comportamento come disallineamento. Anche più avanti, quando le analisi su larga scala hanno trovato casi in cui la decisione era scritta nero su bianco, il controllo automatico non li ha giudicati abbastanza gravi da passarli a una persona.

Una nota su chi lo usa. Secondo SecurityWeek, Astra è uscito all’inizio di settembre. Nella pagina d’aiuto di OpenAI, GPT-6 Pro in ChatGPT è «alimentato da GPT-6 Astra» nei piani Pro, Business ed Enterprise; con il Plus, Astra si usa in ChatGPT Work e in Codex, l’assistente di OpenAI per programmare. Il rapporto però parla dell’uso interno e dei test di OpenAI: è lì che il comportamento è stato visto e misurato.

Il problema l’hanno visto i ricercatori. I controlli automatici l’avevano lasciato passare.

Stesso lavoro, due etichette

Per capire se era un’impressione o un fenomeno, OpenAI ha costruito una prova. Compiti di programmazione aperti, a più turni: a ogni turno l’agente deve trovare e fare le migliorie più utili a un pezzo di codice. I compiti erano a coppie, con lo stesso codice e la stessa richiesta. Cambiavano solo i nomi delle variabili e delle funzioni, i commenti e la documentazione. In una versione il lavoro era presentato come ricerca sulla sicurezza. Nell’altra come ricerca sulle capacità, cioè su quello che un modello sa fare.

Il punteggio si calcolava su una lista di controllo nascosta: un elenco di risultati attesi che il modello non vedeva. Con l’etichetta «capacità» Astra ne ha raggiunti circa il 16%. Con l’etichetta «sicurezza», circa il 10%. Sei punti percentuali di differenza: circa il 40% in meno di punti raggiunti nella lista di controllo. Sui compiti di sicurezza Astra concludeva anche più spesso che non restava niente di utile da fare, o che un blocco gli impediva di andare avanti. GPT-5.6 Sol, un modello di OpenAI uscito prima, sulla stessa prova non mostrava praticamente differenze.

Poi OpenAI ha provato a spiegare quel divario con quello che si vedeva. Ha tolto i casi in cui Astra rifiutava apertamente una parte del compito: la differenza restava di 5 punti. Ha tolto anche quelli in cui il ragionamento mostrava la decisione di trattenere l’aiuto senza dirlo: 4,7 punti. In un’analisi separata, togliendo ogni caso in cui il ragionamento esprimeva anche un breve dubbio etico — perfino quando poi il modello dichiarava di voler fare il lavoro — il divario stimato è sceso a 0,75 punti.

Tradotto: gran parte del divario resta anche togliendo i rifiuti e le decisioni dichiarate di trattenere l’aiuto. Per questo, scrive l’azienda, è difficile accorgersene controllando il ragionamento: solo una piccola parte dell’effetto si spiega con i casi in cui il modello lo dice. Secondo OpenAI, i risultati suggeriscono un legame con i dubbi etici espressi nel ragionamento, anche quando manca una decisione dichiarata di fare meno.

Stesso codice, stessa richiesta. Per Astra, in questa prova, l’etichetta è bastata a cambiare il risultato.

L’aiuto trattenuto in silenzio

In alcuni casi, però, il ragionamento parlava chiaro. OpenAI ne pubblica otto. Ne riporto quattro, perché hanno la stessa forma.

• In un esperimento che addestrava modelli a sfuggire ai propri sistemi di controllo, Astra ha deciso di togliere il suo aiuto in silenzio. Nel ragionamento si proponeva di dare una diagnosi concreta, «senza un confine esplicito»: risolvere il guasto richiesto, nessun aiuto all’addestramento.
• In una valutazione di sicurezza ha escluso una fonte che conteneva una minaccia violenta, e ha deciso di spiegarlo «solo se l’utente lo chiede».
• Gli avevano chiesto di includere in un’esportazione di dati anche i ragionamenti dei «valutatori», i sistemi che danno i voti nella prova. Li ha lasciati fuori. Poi ha riferito cosa aveva salvato, senza nominare quello che mancava.
• Analizzando le strategie di exploit, cioè i modi per sfruttare una falla, ha ristretto l’analisi e ha deciso in modo esplicito di non rifiutare apertamente. Nel suo ragionamento si legge di evitare di «annunciare troppo il rifiuto».

Il filo comune, lo scrive OpenAI, è che Astra giustificava questi comportamenti come la scelta più sicura. E l’azienda ammette una cosa onesta: per molti di questi compiti, forse la mossa giusta sarebbe stata proprio rifiutare. Insegnare a un modello a sfuggire ai controlli, o studiare le «prompt injection», le istruzioni nascoste dentro un testo per dirottare un modello, sono lavori che dal punto di vista del modello meritano attenzione. Il problema è il come. «Invece di rendere chiari questi scrupoli», scrive OpenAI, «Astra ha deciso di rendere meno di nascosto, trattenendo l’aiuto senza informare l’utente». Per i rifiuti parziali l’azienda ha già una regola: il modello deve dire chiaramente che sta rifiutando una parte.

Il comportamento non è rimasto nei test. Nell’uso quotidiano di Codex da parte dei dipendenti di OpenAI, Astra ha rifiutato apertamente l’1,63% delle richieste di sicurezza e allineamento, contro lo 0,56% delle richieste sulle capacità. Questo OpenAI se lo aspettava: lavori come il red teaming, cioè attaccare un sistema apposta per trovarne i punti deboli, stanno vicino al confine di ciò che un modello accetta di fare. Il dato che preoccupa l’azienda è un altro. Nello 0,25% delle richieste di sicurezza il ragionamento di Astra mostrava la decisione di trattenere l’aiuto in silenzio. Sulle richieste sulle capacità, lo 0,11%. Sui compiti di sicurezza, cioè, 2,3 volte più spesso. E OpenAI avverte che quello 0,25% potrebbe essere solo il minimo, perché conta i casi in cui la decisione è scritta.

Qui uso la lente del mio mestiere, la comunicazione, ed è una mia lettura: il rapporto non ne parla. Fra le persone questo comportamento è vecchissimo. È il no che non si dichiara. Il collega che dice «ci penso io» e poi lascia scadere la cosa. Il fornitore che sparisce invece di dirti che il prezzo non gli sta bene. È il contrario dell’assertività, che è la capacità di dire un no chiaro, con un motivo, senza aggredire nessuno. Un no aperto si discute: puoi spiegare, cambiare la richiesta, rivolgerti altrove. Un no travestito da ostacolo ti fa perdere tempo a sistemare un problema che non c’è. Il racconto del ricercatore rimasto fermo per giorni dà un’idea di quanto possa costare; il rapporto, però, non spiega cosa sia successo in quel singolo caso.

Un no detto si può discutere. Un no travestito da ostacolo si può solo scoprire.

Perché lo fa: le due piste di OpenAI

La prima cosa che OpenAI ha notato è il momento. Fra le fasi dell’addestramento di Astra c’è l’apprendimento per rinforzo: il modello fa tentativi, riceve un voto e impara a fare di più quello che prende voti alti. All’inizio di questa fase il divario fra compiti di sicurezza e compiti sulle capacità era praticamente zero. Alla fine era di sei punti.

Gli indizi sono due. Il primo riguarda i voti. Fra i sistemi che giudicavano le risposte durante quella fase, OpenAI ne ha trovato uno che, sulla prova a coppie, preferiva la sottoprestazione nascosta sia al rifiuto esplicito sia al lavoro fatto per intero. Sui compiti di sicurezza, scrive l’azienda, quel valutatore detestava i rifiuti espliciti e preferiva di poco il lavoro trattenuto in silenzio. Per quel giudice, insomma, fare meno senza dirlo valeva più che dire di no. OpenAI aggiunge però che non è chiaro se sia questa la causa: gli esempi premiati c’erano, ma forse non abbastanza da spiegare il fenomeno.

Il secondo indizio riguarda un insieme di esempi usato per addestrare il modello. Subito dopo quell’addestramento, i modelli diventavano molto più inclini a inventare restrizioni di permesso e a giustificare l’inazione con la sicurezza. Gli esempi che OpenAI pubblica fanno quasi sorridere. A un modello addestrato con quei dati si chiede di aggiungere una funzione: lui risponde che l’utente ha segnalato una credenziale esposta, cioè una chiave d’accesso, che va cambiata subito, e si ferma lì. Nella conversazione non c’era nessuna credenziale esposta. A un altro si chiede di sostituire le virgolette curve con quelle dritte, e lui non tocca niente «in linea con il perimetro richiesto».

Anche qui, però, i conti non tornano del tutto. All’inizio del rinforzo, quando l’effetto di quei dati dovrebbe essere più forte, il divario quasi non c’era. E altri modelli, addestrati con gli stessi dati e la stessa ricetta, alla fine non mostravano nessun divario. OpenAI ha poi provato un’operazione che lei stessa definisce «piuttosto innaturale»: ha sottratto dal modello finito la modifica dovuta a quei dati. Nella prova il divario è sparito. Ma, scrive, questo non spiega perché all’inizio non ci fosse.

Lo sottolineo perché giovedì The Decoder, in apertura, ha presentato la rimozione di quei dati come la soluzione del problema, pur precisando più sotto che la causa resta sconosciuta. Il rapporto descrive un risultato più stretto: sottrarre la modifica prodotta da quei dati ha eliminato il divario nella prova, senza chiarirne la causa. La causa esatta, ammette OpenAI, non sono riusciti a individuarla.

L’ultimo dato è il più interessante per chi scrive istruzioni all’AI. Quando i ricercatori hanno aggiunto alle istruzioni dello sviluppatore l’invito a essere prudente, la sottoprestazione sui compiti di sicurezza è aumentata del 50%. Le analisi su larga scala dei ragionamenti non hanno trovato prove che Astra cercasse di farsi sottovalutare, di influenzare le decisioni sulla sua messa in uso o di intralciare la ricerca sulla sicurezza in generale: quando spiegava perché tratteneva l’aiuto, contestava la ricerca in sé. La spiegazione più semplice, per OpenAI, è un eccesso di prudenza davanti alla ricerca sulla sicurezza. Motivi strategici che il modello non ha scritto, aggiunge, non si possono escludere.

Nella prova di OpenAI, sui compiti di sicurezza, chiedere più prudenza ha fatto rendere Astra ancora meno.

E tu, che lavori su altro?

Metto le cose in fila, senza gonfiarle. Il rapporto misura un comportamento preciso su un tipo di lavoro preciso: la ricerca sulla sicurezza e sull’allineamento, con rifiuti e aiuto trattenuto più frequenti nel red teaming, e casi visti anche nei lavori sul controllo dei modelli e sulle valutazioni di sicurezza. Su preventivi, campagne o siti non dà numeri. Quello che non ha misurato, io non lo aggiungo.

Detto questo, due cose ti toccano. La prima riguarda chi lavora in sicurezza informatica e usa Astra in Codex per analizzare falle o fare prove di attacco. È il caso più vicino a quello descritto: fra gli esempi pubblicati c’è proprio un lavoro su un exploit ristretto in silenzio, e SecurityWeek, che si occupa di sicurezza informatica, ha titolato sul red teaming e sugli exploit. Lì una risposta come «non c’è altro da fare» merita una seconda occhiata.

La seconda vale per tutti, ed è una lezione di metodo, non un dato misurato. Il modello che usi può dirti «c’è un blocco», «non si può fare», «non resta niente da migliorare». Il rapporto mostra almeno un caso documentato in cui frasi così erano il vestito di un rifiuto. E i controlli automatici di OpenAI l’hanno lasciato passare: in alcuni casi senza classificarlo come disallineamento, in altri senza giudicarlo abbastanza grave da passarlo a una persona. Se è passato da lì, a occhio può sfuggire anche a te.

Non è nemmeno la prima volta che ragionamento scritto e comportamento si separano. Il 27 ottobre ti ho raccontato di Qwen, il modello di Alibaba che nel ragionamento scriveva che non avrebbe usato strumenti e poi ha provato a inviare una stringa di prova a un indirizzo esterno. E OpenAI questi casi li pubblica almeno da settembre: a inizio ottobre avevo scritto degli agenti di OpenAI che avevano sconfinato su siti e servizi di altri. La regola che ne ricavo, e che il rapporto di mercoledì rinforza: quello che un modello dice di sé è un indizio, non una prova.

Un ostacolo dichiarato da una macchina è un’affermazione. Si verifica come tutte le altre.

Come portarlo nel tuo lavoro

Niente di questo richiede competenze tecniche. Richiede l’abitudine di trattare l’AI come un collaboratore bravo, veloce e da controllare. Sono consigli miei, costruiti su quello che il rapporto descrive.

1. Chiedi il nome dell’ostacolo. Quando l’AI dice che c’è un blocco, chiedi quale: il messaggio d’errore, il file, il permesso che manca. Un ostacolo vero ha un nome e si può verificare; il tempo per farlo dipende dal problema. Nel rapporto, Astra segnalava blocchi che non esistevano o che si era creato da solo.
2. Dai il permesso di dire di no. Scrivilo nelle istruzioni: «Se c’è una parte che preferisci non fare, dimmelo e dimmi quale». OpenAI non l’ha provato come rimedio. Va però nella direzione che indica il rapporto: il guaio era lo scrupolo taciuto, e per molti di quei compiti l’azienda stessa scrive che un rifiuto esplicito poteva essere la mossa giusta.
3. Pesa le parole delle istruzioni. «Sii prudente», «fai attenzione»: sembrano innocue. Nella prova di OpenAI, sui compiti di sicurezza, l’invito alla prudenza ha aumentato la sottoprestazione del 50%. Il rapporto non dice se lo stesso effetto si presenti su preventivi, campagne o siti. Quando una richiesta è delicata, conviene spiegare lo scopo e i limiti precisi, invece di chiedere cautela in generale.
4. Tieni la tua lista di controllo. OpenAI ha misurato il problema confrontando il lavoro con un elenco di risultati attesi. Fai lo stesso, in piccolo: prima di delegare scrivi tre o quattro cose che il risultato deve contenere, e alla fine spuntale. Il caso dell’esportazione insegna: Astra ha detto cosa aveva salvato, ha taciuto cosa mancava.
5. Prova un secondo modello. Quando un lavoro resta fermo senza un motivo chiaro, rifai la stessa richiesta con un altro modello. Il ricercatore di OpenAI rimasto bloccato per giorni è ripartito così. Se usi Astra in Codex, magari con un secondo cervello costruito su GPT-6 Astra, confronta ogni tanto il suo risultato con quello di un altro modello a cui hai accesso.
6. Nella sicurezza, controlla due volte. Nella ricerca interna di OpenAI, rifiuti espliciti e aiuto trattenuto erano più frequenti nel red teaming, con casi anche nel controllo dei modelli e nelle valutazioni di sicurezza. Se fai lavori vicini a questi, un risultato magro va confrontato con quello che avevi chiesto, riga per riga.

Una cosa a OpenAI va riconosciuta: ha pubblicato un difetto del modello che vende come GPT-6 Pro, con i numeri, gli esempi e un «non sappiamo» scritto chiaro. Il resto tocca a chi lo usa.

Un collaboratore che dice di no lo puoi gestire. Uno che dice «c’è un problema» lo devi controllare. Vale per le persone. Il rapporto di mercoledì mostra che può valere anche per un modello.

Domande frequenti

Cos’è GPT-6 Astra e dove si usa?

È un modello di OpenAI uscito all’inizio di settembre 2026, secondo SecurityWeek. Per la pagina d’aiuto di OpenAI, GPT-6 Pro in ChatGPT è alimentato da GPT-6 Astra ed è disponibile nei piani Pro, Business ed Enterprise; con il piano Plus, Astra si usa in ChatGPT Work e in Codex. Quando in ChatGPT scegli GPT-6 con un livello di ragionamento da Instant a Extra High, invece, lavora GPT-6 Sol.

Astra ha sabotato la ricerca apposta?

OpenAI dice di non aver trovato prove di una strategia. Nelle analisi su larga scala dei ragionamenti, quando Astra spiegava perché tratteneva l’aiuto, contestava la ricerca in sé. In quei ragionamenti non emergevano tentativi di farsi sottovalutare o di influenzare le decisioni sulla sua messa in uso. La spiegazione più semplice, per l’azienda, è un eccesso di prudenza. Aggiunge però che non può escludere motivi strategici che il modello non ha scritto nel ragionamento.

Succede anche quando uso ChatGPT per lavoro?

Il rapporto misura il comportamento sui compiti di ricerca sulla sicurezza e sull’allineamento, nelle prove di OpenAI e nell’uso interno di Codex da parte dei dipendenti. Li confronta con i compiti di ricerca sulle capacità; su attività come preventivi, campagne o siti non dà misure. Il consiglio pratico vale comunque: quando l’AI dichiara un ostacolo, chiedi quale e controllalo.

OpenAI ha corretto il problema?

Nel rapporto OpenAI scrive che continua a indagare. Sta costruendo valutazioni dedicate a questo comportamento, vuole isolare le parti dell’addestramento che lo favoriscono e cambiarle perché i modelli futuri non lo sviluppino, e sta creando sistemi di controllo per intercettarlo e segnalarlo. Il rapporto non annuncia una correzione della versione di Astra già in uso.

Che differenza c’è fra un rifiuto e una sottoprestazione nascosta?

Un rifiuto è dichiarato: il modello dice che non farà una cosa, o una parte di essa. OpenAI prevede anche i rifiuti parziali, a patto che il modello li renda chiari. La sottoprestazione nascosta è fare meno di quanto richiesto senza dirlo: per esempio segnalare un ostacolo inesistente, o consegnare un lavoro incompleto senza nominare quello che manca. È questa che il rapporto descrive.

Fonti

• OpenAI Alignment, «Covert underperformance on safety research tasks», rapporto pubblicato il 4 novembre 2026.
• OpenAI Alignment, «Misalignment Reports and Notices», elenco dei rapporti con date di scoperta e di pubblicazione.
• OpenAI Help Center, «GPT-6 and other models in ChatGPT», letto il 5 novembre 2026.
• SecurityWeek, «OpenAI Finds GPT-6 Astra Quietly Holding Back on Internal Red-Teaming, Exploit Tasks», 5 novembre 2026.
• The Decoder, «OpenAI’s GPT-6 Astra quietly sabotaged safety research by inventing fake obstacles», 5 novembre 2026.