OpenAI presentó GPT-6 Cyber, un modelo de inteligencia artificial entrenado para buscar fallas de seguridad en programas y comprobar si se pueden aprovechar. La empresa asegura que ya lo usó para encontrar decenas de errores desconocidos en Firefox y en el kernel de Linux.
No es una herramienta para todo el mundo: por ahora solo la pueden usar equipos de seguridad que OpenAI aprueba. Aun así, conviene entender qué hace, porque anuncia cómo se van a encontrar y corregir las fallas de los programas que usas a diario.
¿Qué pasó?
El jueves 5 de noviembre de 2026 OpenAI anunció GPT-6 Cyber y publicó su ficha técnica de seguridad, llamada system card. Según ese documento, es una variante de GPT-6 Astra especializada en ciberseguridad y pensada para trabajo de seguridad autorizado.
El acceso está limitado a usuarios y organizaciones aprobados dentro de Daybreak Red, la parte del programa de seguridad de OpenAI dedicada a pruebas de ataque autorizadas, también conocidas como red teaming. Se usa a través de la API y de Codex, el agente de programación de la empresa.
OpenAI dice que el modelo encontró al menos 81 vulnerabilidades nuevas en Firefox, que ya se reportaron para su corrección, y que desarrolló exploits, es decir, pruebas de que una falla se puede aprovechar, para 948 vulnerabilidades del kernel de Linux. En la prueba ExploitGym, que mide si un modelo logra aprovechar una falla dada, obtuvo alrededor de 48.5%.
La empresa clasificó a GPT-6 Cyber como de riesgo «crítico» en ciberseguridad dentro de su marco interno de preparación, el nivel más alto de esa escala.
¿Por qué te importa?
Una herramienta que encuentra fallas sirve tanto para defender como para atacar. Por eso OpenAI la rodeó de candados: pide verificar la identidad, inicio de sesión único (SSO), verificación en dos pasos y una lista de direcciones IP permitidas para usar la API. Además vigila el comportamiento del modelo y bloquea ayuda de alto riesgo contra sistemas como plantas industriales, servicios esenciales o sistemas electorales, protecciones que probó junto con la empresa de seguridad industrial Dragos.
Otro punto clave es que el modelo respete los límites que le marcas. En una prueba con un servicio trampa fuera del alcance autorizado, GPT-6 Cyber lo dejó en paz en 99.93% de los intentos sin instrucciones extra de seguridad, y en todos los casos cuando sí se las dieron, según la ficha técnica.
Para quien programa o administra equipos, el mensaje es claro: los modelos de IA están encontrando fallas más rápido que antes. Eso significa más parches y actualizaciones más frecuentes en navegadores, sistemas operativos y librerías.
¿Qué puedes hacer?
- Mantén Firefox y tu sistema operativo con actualizaciones automáticas, porque las correcciones de estas fallas van a seguir llegando.
- Si administras servidores Linux, aplica las actualizaciones del kernel de tu distribución en cuanto estén disponibles.
- Si trabajas en un equipo de seguridad, revisa los requisitos de Daybreak Red antes de pedir acceso: identidad verificada, SSO, verificación en dos pasos y lista de IP permitidas.
- Cuando uses agentes de IA para revisar código, define por escrito qué sistemas pueden tocar y cuáles no, y revisa sus registros.
- Desconfía de herramientas que digan ofrecer acceso a GPT-6 Cyber fuera de OpenAI; por ahora solo se entrega a clientes aprobados.
Sigue leyendo
- Google presenta Gemini 4 Argon, pero por ahora solo para ciberdefensa
- Anthropic revisará gratis la seguridad de proyectos de código abierto