OpenAI lanza GPT-6 Cyber: un avance en ciberseguridad que revoluciona el hallazgo de vulnerabilidades y la alineación operativa

La firma de inteligencia artificial OpenAI ha anunciado el lanzamiento oficial de GPT-6 Cyber, una evolución significativa dentro de su línea de modelos orientados a la investigación de ciberseguridad.

La herramienta destaca por su superioridad técnica a la hora de identificar, validar y corregir vulnerabilidades en código crítico, reduciendo sustancialmente las objeciones innecesarias (refusals) y garantizando que las acciones del agente se mantengan estrictamente dentro de los límites y autorizaciones definidos por los investigadores.

Clasificado como un modelo de nivel 'Crítico' en ciberseguridad bajo el marco de preparación (Preparedness Framework) de la compañía, GPT-6 Cyber supera de manera constante a sus antecesores y a modelos generales como GPT-6 Astra, consolidando el valor de las herramientas de IA defensivas de frontera.

Rendimiento superior en benchmarks e impacto en el mundo real

En la evaluación estandarizada ExploitGym —que mide la capacidad de un modelo para explotar una vulnerabilidad concreta en un objetivo remoto—, GPT-6 Cyber alcanzó una puntuación del 48,5%, marcando un incremento de más de 16 puntos porcentuales respecto al 32,1% logrado por GPT-5.6 Cyber.

Asimismo, las capacidades del modelo ya han sido puestas a prueba en proyectos de software de uso masivo con resultados sobresalientes:

• Descubrimientos en Firefox: El modelo identificó 81 vulnerabilidades de alta gravedad inéditas en el navegador de Mozilla —un código históricamente auditado— y demostró que 30 fallos ya conocidos eran más graves de lo reportado. Mozilla ha comenzado a implementar los parches sugeridos por la IA.
• Exploits en el kernel de Linux: GPT-6 Cyber reprodujo 1.724 vulnerabilidades y desarrolló 948 exploits funcionales de escalada de privilegios (frente a los 166 de GPT-5.6 Sol), permitiendo notificar 304 hallazgos críticos a los mantenedores de Linux junto con sus soluciones.
• Validación RCE en Brotli: Ayudó a demostrar cómo una falla crítica en la librería de compresión Brotli (usada en Node.js) podría permitir la ejecución remota de código en aplicaciones derivadas.

Alineación, contención y protección de infraestructuras críticas

Uno de los mayores avances del modelo radica en su alineación operativa. En la prueba ExploitGym Honeypot —diseñada para evaluar si un agente respeta el alcance asignado sin atacar servicios auxiliares fuera de norma—, GPT-6 Cyber evitó caer en trampas fuera de alcance en el 99,93% de las ocasiones sin prompt de seguridad, y en el 100% de los casos al aplicar las directrices del sistema.

Para mitigar el riesgo de uso indebido por parte de ciberdelincuentes, OpenAI ha reforzado sus protocolos de seguridad:

• Monitoreo dinámico y PSP: Monitoreo específico contra desalineación y protección de datos privados (Private Safety Processing), que revisa registros encriptados durante 30 días en clientes con política de Zero Data Retention.
• Protección de credenciales e IP: Restricción por defecto mediante lista blanca de IP (allowlisting) para el acceso a la API mediante el nivel Daybreak Red.
• Defensa de infraestructuras críticas (OT/ICS): En colaboración con la firma especializada Dragos, OpenAI puso a prueba el modelo frente a un entorno simulado de una planta energética. El sistema identificó dos vulnerabilidades de tipo zero-day en software de ingeniería antes de que pudieran ser explotadas en el mundo real.

La compañía ha anunciado que GPT-6 Cyber estará disponible inicialmente vía API para clientes seleccionados de Daybreak Red, mientras que se ampliará de forma progresiva el acceso a Daybreak Blue para investigadores independientes y defensores de infraestructuras esenciales mediante su programa de subvenciones de 1.000 millones de dólares.