OpenAI lancia GPT-5.4-Cyber e sfida Anthropic sulla cybersicurezza

Cosa è successo

OpenAI ha annunciato GPT-5.4-Cyber, una variante del suo modello di frontiera affinata per usi difensivi in cybersicurezza, insieme ad un’espansione del programma Trusted Access for Cyber introdotto qualche mese fa. La versione Cyber, più permissiva, sarà inizialmente disponibile per un gruppo limitato di team, vendor di sicurezza e ricercatori verificati, per poi essere estesa nelle prossime settimane a migliaia di addetti alla cybersicurezza individuali e centinaia di organizzazioni.

• GPT-5.4-Cyber è pensato per ridurre l’attrito su task come reverse engineering binario, analisi di malware e ricerca di vulnerabilità, ma dentro un accesso graduato, basato su verifica dell’identità, monitoraggio e livelli diversi di abilitazione.
• Arriva appena una settimana dopo l’annuncio di Claude Mythos da parte di Anthropic, che aveva invece scelto un perimetro molto ristretto attraverso il consorzio Glasswing, limitando la preview a un gruppo selezionato di grandi partner.

Perché è importante

La mossa di OpenAI suggerisce che il settore stia già convergendo verso una nuova normalità in cui i modelli con capacità cyber avanzate non vengono più trattati come prodotti da rilasciare indistintamente sul mercato, privilegiando piuttosto un accesso selettivo con cerchi di fiducia e distribuzione graduata.

OpenAI sta dunque rispondendo ad Anthropic, ma con una gestione del rischio diversa. Se Mythos era stato presentato come un sistema troppo pericoloso per uscire dal lab, GPT-5.4-Cyber arriva con un tono molto più morbido: le safeguard attuali, sostiene OpenAI, sono ancora sufficienti per supportare una diffusione relativamente ampia dei modelli correnti, purché le versioni esplicitamente più permissive restino dentro canali verificati.

Da entrambe le parti ci sono, naturalmente, forti incentivi commerciali. Anthropic aveva tutto l’interesse a trasformare la chiusura iniziale di Mythos in un segnale di serietà, leadership tecnica e accesso esclusivo; OpenAI, che arriva una settimana dopo, ha l’interesse opposto a mostrarsi come il soggetto capace di dare ai difensori un accesso più ampio, più rapido e meno oligarchico. Nella pratica, la distanza tra i due resta meno drammatica di quanto i toni lascino intendere, poiché anche OpenAI richiede comunque verifiche aggiuntive e onboarding dedicato. Il problema è assolutamente serio.

E adesso?

• Le maglie sono più larghe per GPT-5.4-Cyber anche perché il modello non è al livello di Claude Mythos. Lo sarà verosimilmente il suo successore, nome in codice “Spud”, il cui annuncio è atteso entro la fine del mese. Non è chiaro se OpenAI seguirà il modello di 5.4-Cyber o dovrà stringere un po’. Sicuramente OpenAI sta scommettendo su un’opzione meno da gatekeeper di Anthropic con Project Glasswing, cioè su una proceduralizzazione del rischio più ampia e più scalabile.
• Resta poi che, al netto delle differenze di tono, il baricentro della governance è al momento privato. La gestione di capacità con implicazioni quasi sistemiche continua a dipendere soprattutto da regimi di accesso privati, incentivi commerciali e scelte unilaterali di aziende che restano, in larga parte, arbitri di se stesse. Questo, più presto che tardi, dovrà cambiare.