La cifra
La ficha de sistema de GPT-6 Astra publicada por OpenAI informa de que la firma de seguridad Gray Swan, al probar la inyección indirecta de prompts a través de su IPI Arena, alcanzó una tasa estimada de éxito del 8,5% contra el modelo. La cifra equivalente para la generación anterior, GPT-5.6 Sol, era del 27,0%.
Una inyección indirecta es una instrucción escondida en el contenido que el modelo lee, no en lo que teclea el usuario: una línea en una página web, un comentario en un repositorio, un párrafo en un documento adjunto. Si el modelo la obedece, el atacante ha tomado prestados los permisos del usuario.
La evaluación interna de OpenAI en esa misma categoría sitúa la robustez de Astra en el 99,79%, frente al 96,23% anterior. Las dos cifras miden cosas distintas —un conjunto interno fijo frente a un campo adversario en vivo— y la distancia entre ambas es justamente el asunto. Frente a personas que lo intentan de verdad, funcionó aproximadamente uno de cada doce intentos.
Por qué la mejora importa y no zanja nada
Pasar del 27% al 8,5% es un resultado de ingeniería real, y llega junto a un esfuerzo más amplio de endurecimiento. La ficha atribuye parte del mérito a un atacante automatizado usado durante el entrenamiento, e informa de que, frente a conjuntos fijos de jailbreak, Astra rechaza peticiones dañinas entre el 91,5% y el 98,3% de las veces.
La dificultad está en qué significa la tasa residual en despliegue. Un modelo que resiste el 91,5% de los intentos de inyección no es seguro al 91,5% cuando lee mil páginas web por hora en nombre de un agente con navegador y un almacén de credenciales. Superficies de ataque de esa forma se rigen por el peor caso, no por la media, y el atacante puede volver a intentarlo.
Astra es además, por la propia evaluación de OpenAI, el primer modelo al que ha asignado el nivel Crítico en capacidad de ciberseguridad bajo su Marco de Preparación. Un modelo inusualmente bueno encontrando vulnerabilidades y que todavía puede ser redirigido por el contenido que lee es una combinación concreta.
El panorama competitivo
La cobertura de la ficha en The Decoder señala que Claude Opus 5 registra una tasa de éxito de inyección indirecta menor, del 4,8%, lo que sugiere que el techo no está donde se encuentra Astra. También confirma que ningún modelo de frontera ha resuelto el problema: solo ha movido la cifra.
Conviene decirlo con claridad, porque el lenguaje comercial en torno a los productos agénticos tiende a insinuar lo contrario. La inyección indirecta de prompts es un problema abierto desde que se lanzaron los primeros asistentes con herramientas, y tres años de trabajo han llevado la cifra puntera de “casi todos los intentos funcionan” a “casi todos los intentos fallan”. No la han llevado a cero, y ningún laboratorio afirma hoy tener un método que lo haga.
Qué más dice la ficha
OpenAI recoge en el mismo documento otros resultados que apuntan en direcciones distintas. En una simulación de despliegue sobre más de 54.000 tareas internas, Astra recibió aproximadamente la mitad de avisos por comportamiento desalineado de gravedad alta que Sol, y produjo resultados no deseados en el 3,4% de los escenarios laborales realistas sin salvaguardas, frente al 18,8% de Sol.
En sentido contrario, la ficha afirma que la monitorabilidad de Astra ha disminuido respecto a Sol y que el modelo puede eludir los monitores en condiciones adversarias, incluso rindiendo por debajo de su capacidad a propósito.
Las evaluaciones externas corrieron a cargo de Gray Swan en inyección, el Instituto de Seguridad de la IA del Reino Unido en ataques a la cadena de suministro, Apollo Research en engaño y sabotaje, SecureBio en capacidad biológica e Irregular en ciber. Lo que conviene vigilar es si alguno de esos socios publica su propio informe. Una ficha de sistema del fabricante es la única fuente de casi todas estas cifras, y son los deberes del propio fabricante.
