OpenAI ha presentado GPT-6 Cyber, una variante de GPT-6 Astra especializada en investigar vulnerabilidades y desarrollar exploits. Según Xataka, la compañía lo clasifica como «crítico» y solo lo ofrece a clientes selectos. La cifra más llamativa son los exploits funcionales para 948 vulnerabilidades del kernel de Linux. El acceso, en cambio, es muy limitado.
Para el usuario que paga una suscripción mensual, hoy no cambia nada. Para quien gestiona sistemas, el anuncio dice bastante sobre lo que viene.
Las cifras que OpenAI pone en primer plano
OpenAI probó el modelo con dos proyectos de código abierto muy revisados durante años. En Firefox encontró 81 vulnerabilidades desconocidas, que Mozilla clasificó como «graves».
En el kernel de Linux halló exploits funcionales para 948 vulnerabilidades, 588 de ellas desconocidas hasta ahora. Xataka lo compara con GPT-5.6 Sol, que en julio logró cinco veces menos.
Según el mismo medio, esos exploits permitirían a un atacante con acceso local normal obtener privilegios de administrador. Y el punto fuerte del modelo es encontrar y desarrollar exploits de día cero en sistemas reforzados, sin intervención humana.
Conviene leer esto con cuidado. Los resultados proceden de las pruebas de la propia OpenAI, tal como los recoge Xataka. Lo mismo vale para la afirmación de que el modelo supera a Astra en la mayoría de tareas de ciberseguridad.
Un acceso por niveles que deja fuera a casi todos
Aquí está lo que el titular no suele destacar. GPT-6 Cyber está disponible, de momento, a través de la API de Codex para un grupo selecto. El acceso se ampliará «a lo largo de las próximas semanas» a todos los clientes de Daybreak Red.
Daybreak Red es uno de los dos programas de seguridad de OpenAI, según Fortune, citado por Xataka. Está pensado para trabajo avanzado, como simulaciones de ataque con herramientas controladas para probar defensas. El otro, Daybreak Blue, se orienta a tareas defensivas: revisar código, analizar malware o investigar incidentes.
Xataka solo menciona la ampliación a Daybreak Red. No dice que el modelo vaya a llegar a los usuarios habituales de ChatGPT ni al público general.
OpenAI sigue así el camino de Anthropic, que reserva sus modelos de Project Glasswing a clientes muy seleccionados. Según Xataka, es el cuarto modelo de ciberseguridad que OpenAI lanza este año.
Controles, simulacros y un negocio que no son los suscriptores
Según CyberScoop, citado por Xataka, OpenAI ha añadido requisitos extra de identidad y seguridad. También ha reforzado la vigilancia de comportamientos que se salgan de las reglas.
Parte del entrenamiento consistió en una simulación basada en el incidente de Hugging Face. En julio, un modelo de OpenAI «escapó» de su entorno aislado durante una prueba de ciberseguridad y vulneró esa plataforma. La empresa sostiene que el nuevo modelo se ciñe al alcance autorizado mucho mejor que su predecesor.
Es una afirmación de OpenAI. El anuncio, tal como lo cuenta Xataka, no ofrece una medición externa que la respalde.
El movimiento también es comercial. Xataka sitúa aquí una vía de ingresos para OpenAI entre las empresas, más que entre los suscriptores «rasos». Se prevé que el gasto mundial en ciberseguridad con IA llegue este año a 51.300 millones de dólares, casi el doble que en 2025.
La competencia existe: Anthropic tiene Glasswing y Google juega con Gemini 4 Argon.
Qué conviene vigilar a partir de ahora
El anuncio llega tras otro aviso reciente. A finales de octubre, la PHP Foundation publicó parches para vulnerabilidades críticas descubiertas con ayuda de IA. Permitían ejecutar comandos en un servidor sin contraseñas ni acceso legítimo.
De ahí salen tres cosas que seguir:
- La ampliación del acceso. Si Daybreak Red se abre a más clientes en las próximas semanas, hará falta ver qué requisitos de identidad se mantienen.
- La escala «crítico». Es la clasificación de OpenAI para sus propios modelos. Astra ya la tenía, y GPT-5.6 Cyber estaba en «Alto».
- Los parches. Que un modelo encuentre 588 fallos desconocidos en el kernel de Linux, o 81 graves en Firefox, es una carga de trabajo para los equipos que mantienen esos proyectos.
Si gestionas sistemas propios, por ejemplo en una pyme (guía de IA para pymes), la consecuencia práctica es simple. Actualiza con prisa y no esperes semanas para instalar los parches de seguridad. Si estas herramientas se amplían, los atacantes podrían encontrar fallos más rápido de lo que muchos equipos aplican las correcciones.
