OpenAI presentó GPT-6 Cyber, un modelo diseñado para detectar fallos de seguridad en software, crear exploits funcionales y sugerir parches. Está disponible a través de la API y Codex para un grupo selecto de clientes de Daybreak Red, y se espera que el acceso se amplíe gradualmente a otros clientes del programa.
Las capacidades del modelo podrían ayudar a los equipos de seguridad a detectar y corregir vulnerabilidades, pero también hacen importante controlar lo que puede hacer. OpenAI afirma que entrenó GPT-6 Cyber para que se mantenga dentro de los límites asignados, incluso mediante una honeypot inspirada en el incidente de Hugging Face. La empresa informa que, sin instrucciones de seguridad especiales, el modelo evitó salirse de los límites en el 99.93 por ciento de las pruebas, frente al 94.49 por ciento de su predecesor. Con las instrucciones de seguridad activadas, se mantuvo dentro de los límites en todas las pruebas.
¿Qué resultados obtuvo?
En ExploitGym, una prueba que evalúa si un modelo puede explotar una vulnerabilidad en un sistema remoto, GPT-6 Cyber obtuvo una puntuación del 48.5 por ciento, según OpenAI. GPT-5.6 Cyber logró un 32.1 por ciento y GPT-6 Astra, el modelo estándar, un 42.4 por ciento. En otra prueba, que consiste en encontrar fallos en aplicaciones web sin acceso a su código fuente, GPT-6 Cyber tuvo una tasa de aciertos del 40.3 por ciento, frente al 32.0 por ciento de GPT-6 Astra.
OpenAI también afirma que GPT-6 Cyber detectó 81 vulnerabilidades graves previamente desconocidas en Firefox. Mozilla aceptó los informes y ya publicó las correcciones. En el kernel de Linux, el modelo reprodujo 1,724 vulnerabilidades y creó exploits funcionales para 948. OpenAI dice que informó a los responsables de mantenimiento sobre 304 hallazgos críticos y les sugirió correcciones. Estas cifras provienen de la empresa; todavía no se han publicado pruebas independientes de GPT-6 Cyber.
El acceso sigue siendo limitado
La campaña en Linux utilizó agentes automatizados de reconocimiento y análisis para revisar unas 5,034 ubicaciones relevantes para la seguridad, cerca del siete por ciento del código del kernel. El sistema redujo la lista a 2,308 posibles casos antes de confirmar las vulnerabilidades en máquinas virtuales aisladas. OpenAI afirma que la ejecución costó $1,213,430 en capacidad de cómputo, o $1,279 por exploit funcional. Es menos que el rango histórico de recompensas de $20,000 a $70,000 que cita para hallazgos comparables, aunque el costo de una investigación y una recompensa son medidas distintas.
OpenAI recomienda usar el modelo en entornos aislados y bajo supervisión humana. Dice que sus medidas de seguridad incluyen verificar si las acciones se ajustan a los permisos de cada usuario y vigilar la divulgación de nuevas vulnerabilidades. La empresa también está ampliando el acceso a GPT-5.6 Cyber y GPT-6 Astra para más organizaciones e investigadores.
Por qué importa
Para los responsables de mantenimiento de software y los equipos de seguridad, los hallazgos comunicados en Firefox y Linux sugieren que GPT-6 Cyber podría ayudar a detectar fallos y proponer soluciones. Sin embargo, el acceso es limitado, las cifras de rendimiento provienen de OpenAI y todavía no se han publicado pruebas independientes.
