GPT-6 Astra: 100% en exploits y OpenAI le pone el freno

OpenAI acaba de publicar un modelo que saca un 100% en un test de creación de exploits. Así, sin despeinarse. GPT-6 Astra es el primer modelo de IA que su propio creador clasifica como "crítico" en capacidad de ciberseguridad, y las implicaciones van bastante más allá del departamento de IT.

TL;DR: El resumen sin rodeos

• 100% en ExploitBench: Astra saca puntuación perfecta en el test de creación de exploits y supera a GPT-5.6 Sol en todos los indicadores de ciberseguridad.
• Capacidades agénticas: aquí la IA coge el ordenador y se pone a currar. Navega webs, rellena formularios, actualiza CRMs y construye sitios en la mitad de tiempo que Sol.
• Acceso restringido: fase preview, lista de espera, y la fuente oficial no confirma disponibilidad en España ni en la UE.
• Freno de seguridad: la versión pública tiene las capacidades ofensivas capadas. El acceso completo va por lista de espera (programa Daybreak Blue).

Veredicto: Astra cambia la conversación sobre IA y seguridad. Si trabajas en marketing o comercio electrónico desde España, prepara tus flujos agénticos ahora: cuando llegue, el que sepa automatizar llevará ventaja.

¿Qué es GPT-6 Astra y por qué OpenAI le pone el freno?

GPT-6 Astra es el nuevo modelo insignia de OpenAI, sucesor de GPT-5.6 Sol y, según la compañía, "el más inteligente y alineado" hasta la fecha. La etiqueta suena a nota de prensa hasta que miras los números.

En ExploitBench, un test que mide la capacidad de desarrollar exploits a partir de vulnerabilidades conocidas, Astra saca un 100%. En ExploitGym alcanza un 42,4% frente al 30,3% de Sol. Puede identificar vulnerabilidades zero-day en sistemas protegidos y crear métodos para explotarlas sin intervención humana paso a paso.

¿Y sabéis qué es lo llamativo? Que OpenAI lo dice abiertamente. En TikTok, @mralekai lo clavaba con más de 3.600 visualizaciones: "es demasiado bueno hackeando como para lanzarlo sin frenos".

Por eso la versión pública tiene las capacidades ofensivas capadas. NADA de crear exploits de prueba de concepto. El acceso completo queda para un grupo reducido de probadores y, después, para usos defensivos aprobados a través del programa Daybreak Blue.

Pero Astra no es solo ciberseguridad. Según OpenAI, alucina bastante menos que Sol. Completa tareas de escritorio en la mitad de tiempo (40 minutos de media frente a 75, con un 72,6% de éxito en el referente OSWorld 2.0). Y opera como un "operador de ordenador" completo: abre aplicaciones, mueve datos entre herramientas, genera presentaciones y monta webs. En un vídeo con casi 49.000 visualizaciones, @gianlucapanz lo resumía: "Astra no te explica cómo usar un software: lo abre y lo usa".

¿Qué cambia para tu agencia de marketing o tu comercio electrónico?

Aquí es donde la mayoría de análisis se pierden en la fantasía. Olvídate un momento de los tests de ciberseguridad: lo gordo son las capacidades agénticas.

Para una agencia, que Astra pueda navegar interfaces, mover datos entre plataformas y generar informes cruzando fuentes significa automatizar las tareas que más horas consumen: investigación de competencia, actualización de CRMs, QA de landings, elaboración de informes. Es lo que ya hacen los agentes de IA aplicados a campañas, pero a menor escala. Astra promete hacerlo en la mitad de tiempo y con menos alucinaciones.

Para un comercio electrónico español, la ciberseguridad defensiva debería importarte y mucho. Una IA que audite tu pasarela de pago, tu base de datos de clientes o tu WordPress buscando vulnerabilidades antes de que las encuentre un atacante ya es otra historia. Hoy eso cuesta un pentest manual o herramientas de escaneo que no entienden el contexto de tu negocio.

Y aquí va lo que apostaría que pocos están calculando: el impacto real de Astra vendrá de lo que se construya encima. La misma lógica que vivimos con GPT-4: el modelo era potente, pero lo que marcó la diferencia fueron las integraciones y los agentes que lo usaban como motor. Con Astra pasará lo mismo. Quien construya flujos de trabajo combinando sus capacidades agénticas con las defensivas tendrá una ventaja seria. Si quieres ir adelantando, en la guía de automatización con IA explico cómo montar esos flujos con lo que ya tenemos.

Disponibilidad de GPT-6 Astra en España

Antes de que nadie se lance: el estado actual no es el que te gustaría leer.

OpenAI ha empezado a desplegar Astra para organizaciones seleccionadas y prevé extenderlo a usuarios de ChatGPT Plus, Pro, Business y Enterprise, además de su API, Azure y AWS Bedrock. Pero la fuente oficial no confirma disponibilidad en España ni en la UE. Las capacidades avanzadas de ciberseguridad tienen lista de espera adicional.

¿Qué hacer mientras tanto? Familiarizarte con las capacidades agénticas que ya tienes al alcance. Si cuando llegue Astra ya sabes construir flujos automatizados, solo tendrás que cambiar el motor. Si esperas sentado, te tocará aprender todo de golpe mientras tu competencia ya lo tiene rodado.

Astra es OpenAI admitiendo en público que su IA puede hackear sistemas. Y lanzándola con frenos por eso mismo. La conversación sobre IA peligrosa ha dejado de ser teórica: ahora el debate es cuánto acceso dar y a quién. Si tienes agencia o comercio y crees que esto no va contigo, dale un par de meses. Luego me cuentas.