OpenAI anunció GPT-6 Cyber el 5 de noviembre de 2026 como un modelo destinado a investigar vulnerabilidades y desarrollar correcciones dentro de un ámbito autorizado. Al presentarlo, la empresa limitó el acceso por API y Codex a clientes seleccionados y aprobados de Daybreak Red, su programa para pruebas de seguridad avanzadas (anuncio de OpenAI).
La cobertura anterior de NeoTeo sobre GPT-6 Astra trató otro modelo de OpenAI; GPT-6 Cyber está orientado específicamente a la investigación de seguridad informática.
En ciberseguridad, encontrar una vulnerabilidad solo sirve a la defensa si la investigación respeta el ámbito autorizado.
Los hallazgos que OpenAI atribuye a Linux y Firefox
En el kernel de Linux, OpenAI afirma que sus investigadores reprodujeron 1.724 vulnerabilidades y desarrollaron exploits funcionales de escalada de privilegios para 948. La empresa también dice que comunicó a los mantenedores 304 hallazgos críticos, acompañados de parches candidatos. Son recuentos distintos: los 948 exploits no equivalen a vulnerabilidades nuevas ni a fallos ya corregidos (OpenAI).
Para Firefox, OpenAI atribuye al trabajo con el modelo pruebas reproducibles de 81 vulnerabilidades nuevas de gravedad alta, clasificación que asignó Mozilla, y evidencia para elevar la gravedad de 30 problemas conocidos. Por separado, el aviso de seguridad de Firefox 159, publicado por Mozilla el 27 de octubre de 2026, registra correcciones de gravedad alta y acredita a algunos investigadores de OpenAI. El aviso no identifica a GPT-6 Cyber como responsable de cada hallazgo (Mozilla).
OpenAI publicó un testimonio en inglés de Brian Grinstead, ingeniero distinguido de Firefox en Mozilla, sobre las pruebas iniciales y el trabajo de seguridad del navegador. Es el relato de un socio publicado por OpenAI.
Qué midieron las pruebas de alcance
En ExploitGym, una evaluación de explotación de una vulnerabilidad especificada en un objetivo remoto, OpenAI comunicó un resultado del 48,5 % para GPT-6 Cyber, frente al 32,1 % de GPT-5.6 Cyber. Son resultados de las evaluaciones de OpenAI (anuncio de OpenAI).
La empresa también describió ExploitGym Honeypot, una prueba que incluía servicios vulnerables fuera del objetivo asignado. Sin una instrucción de despliegue, GPT-6 Cyber evitó explotar servicios fuera del alcance en el 99,93 % de las pruebas; con esa instrucción, se mantuvo dentro de los límites en el 100 % de los casos evaluados. Esos porcentajes corresponden a esa prueba concreta.
La simulación industrial descrita por Dragos
En un testimonio publicado por OpenAI, Rob T. Lee, de Dragos, describió una evaluación controlada en una central eléctrica simulada. Según su relato, un modelo de frontera separó los activos de tecnología operativa (OT) del tráfico de tecnología de la información (TI) y encontró dos vulnerabilidades de día cero en software de ingeniería que gestionaba datos de relés de protección. El testimonio señaló que esas vulnerabilidades exponían ajustes de protección y la lógica de disparo de interruptores.
La escena descrita fue una simulación en laboratorio, no una intrusión en una central en funcionamiento. Lee habló de un modelo de frontera en la evaluación, sin atribuir todas sus acciones específicamente a GPT-6 Cyber.
