GPT-6 Cyber: un vistazo al nuevo modelo de ciberseguridad de OpenAI

Resultados en el mundo real

GPT-6 Cyber encontró fallos graves en código que se ha revisado durante años. (Aunque estas cifras proceden de la propia OpenAI.)

El resultado de Firefox es, en mi opinión, el más interesante. Brian Grinstead, ingeniero en Firefox, señaló que el navegador entró en 2026 como "una de las bases de código más robustas y auditadas del mundo", ya probada con varias generaciones de modelos punteros. Aun así, GPT-6 Cyber encontró nuevos fallos graves y sugirió mejoras de arquitectura.

¿Es seguro GPT-6 Cyber? El problema del doble uso

Cualquier herramienta que ayude a los defensores a encontrar un fallo también puede ayudar a los atacantes.

La mayoría de salvaguardas son las esperables: acceso restringido, monitorización de abuso y recomendación de aislar en sandbox los flujos de trabajo de mayor riesgo.

Entre líneas, el comunicado sugiere que OpenAI está especialmente preocupada por dos cosas:

• Accesos robados, no solo malos usuarios. El acceso por API a Daybreak Red exige por defecto allowlisting de IPs. Una clave de API filtrada por sí sola no basta para usar el modelo.
• Destilación. OpenAI dice estar viendo más intentos de destilar sus modelos, es decir, entrenar una copia más barata a partir de sus salidas. Una copia de un modelo de ciberseguridad con calificación Crítica no traería ninguna de estas salvaguardas.

A mayor escala, la infraestructura crítica es la verdadera prueba. Dragos, una firma de seguridad especializada en sistemas industriales, probó un modelo permisivo de Daybreak Red en una planta eléctrica simulada y apenas le dio instrucciones. El modelo separó por sí solo el equipamiento industrial de los sistemas IT comunes y luego encontró dos zero-days en software que gestiona relés de protección, los dispositivos que disparan los interruptores cuando algo falla.

Cómo acceder a GPT-6 Cyber

GPT-6 Cyber está disponible inicialmente solo para un grupo seleccionado de clientes aprobados de Daybreak Red, a través de la API y Codex. OpenAI planea ampliarlo pronto a todos los clientes de Daybreak Red.

Daybreak es el programa de acceso de confianza de OpenAI para trabajos de seguridad, con niveles acordes al riesgo del trabajo:

Las nuevas personas usuarias y organizaciones pueden solicitar acceso a Daybreak. Si quieres acceso, la vía depende de quién seas. (Solicitarlo, por supuesto, no garantiza el acceso.)

• Organizaciones: solicita Daybreak. Espera verificaciones de identidad y una declaración legal de que tus pruebas están autorizadas.
• Investigadores individuales: manifiesta tu interés en Daybreak Blue a través de este formulario.
• Defensores con pocos recursos: gobiernos, utilities, organizaciones sin ánimo de lucro y mantenedores de open source pueden solicitar acceso subvencionado.
• Vendedores de seguridad: únete al programa de partners de Daybreak para integrar los modelos en tus productos.
• Gobierno de EE. UU.: Daybreak Red está disponible en AWS GovCloud.

Reflexiones finales

La mayoría no piensa en el código detrás de nuestros navegadores, bancos o redes eléctricas. Pero modelos como GPT-6 Cyber indican que la caza de debilidades en ese código está a punto de acelerarse, tanto por parte de quienes quieren parchearlas como por parte de quienes buscan hacer daño.

Si los resultados anunciados se confirman, es probable que los fallos que han pasado años desapercibidos se descubran más rápido a partir de ahora. Pero la seguridad siempre ha sido una carrera entre encontrar fallos y arreglarlos.