OpenAI lanza GPT-6 Cyber: 948 exploits en Linux

OpenAI lanza GPT-6 Cyber y promete contener a su propio modelo

OpenAI anunció el 5 de noviembre un modelo especializado en ciberseguridad, GPT-6 Cyber, disponible en una primera fase solo para clientes aprobados del nivel Daybreak Red, según The Verge. La compañía lo clasificó como "Crítico" en su Preparedness Framework, el nivel que describe modelos capaces de identificar y desarrollar exploits zero-day funcionales en sistemas críticos endurecidos sin intervención humana.

El número que ordena la discusión: en la evaluación ExploitGym, GPT-6 Cyber obtuvo 48,5%, frente al 32,1% de GPT-5.6 Cyber y el 42,4% de GPT-6 Astra, el modelo insignia de OpenAI, según The Verge. En ExploitGym Honeypot —una prueba diseñada para medir si el modelo se sale del alcance que se le autorizó— actuó fuera de límites en menos del 1% de los casos, contra cerca del 5% de su predecesor.

Fouad Matin, responsable del equipo de preparación y seguridad ciber de OpenAI, dijo en una rueda de prensa que el modelo "hace lo que le pides más del 99% del tiempo", reportó The Verge.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El hallazgo que originó la noticia: dos horas y un CTO

Max Justicz, CTO y cofundador de la startup Charge Robotics, usó GPT 5.6 Sol —lanzado en julio— a través de Daybreak Blue para encontrar una vulnerabilidad grave que, de ser explotada, permitiría tomar el control de servidores con Ubuntu. Según contó a TechCrunch, apuntó el modelo al mismo cuerpo de código con una instrucción simple y en dos horas obtuvo el resultado.

Justicz reportó el fallo al Proyecto Debian, que mantiene el software y emitió un parche. No hay evidencia conocida de explotación. Pero la facilidad del hallazgo es la señal: "hay un alfa enorme en tomar código que nadie auditó y apuntarle un modelo potente", escribió. Su costo personal: unos US$5.000 en suscripciones y tokens para encontrar varios exploits.

De 24 a 948 exploits en cinco meses

El mismo día, OpenAI publicó los resultados de una campaña sobre el kernel de Linux. El pipeline analizó 2.308 hallazgos candidatos, reprodujo 1.724 vulnerabilidades y produjo 948 exploits distintos de escalada local de privilegios, según el informe recogido por Help Net Security. El costo: US$1.213.430 en créditos de API, unos US$1.279 por exploit.

La curva es lo que debería preocupar a cualquier equipo técnico. CryptoBriefing reporta que en junio de 2026 un modelo GPT-5.5 Cyber produjo 24 exploits de este tipo; en julio, GPT-5.6 Sol llegó a 166 con un gasto de US$513.690. En octubre, 948. El conteo se multiplicó por más de cinco entre julio y octubre mientras la factura apenas se duplicó.

En Firefox, OpenAI reportó 81 vulnerabilidades desconocidas de severidad alta, con parches propuestos, según Unite.ai.

¿Qué significa esto para tu startup?

Aunque tu empresa no tenga un equipo de seguridad dedicado, el piso de habilidad para atacar acaba de bajar. Estas son las decisiones que sí están en tus manos:

Actualiza o asume el peor escenario. OpenAI lo puso sin vueltas en su informe: "para el corto y mediano plazo, tener acceso a una cuenta de bajos privilegios en un sistema que no está al día con sus parches debería considerarse funcionalmente equivalente a acceso root para un atacante bien financiado", recogió Help Net Security. Traducido a un equipo chico: define un SLA de parcheo y automatízalo. Si no tienes un proceso, empieza por ahí esta semana.
Aísla lo que no puedes parchear. El mismo informe recomienda defensas en capas con sandboxes y herramientas de aislamiento como Firecracker y gVisor, para limitar el daño cuando una vulnerabilidad se explota.
Recalcula tu presupuesto de seguridad. Un exploit de escalada de privilegios en el kernel de Linux se pagaba históricamente US$20.000 en Pwn2Own y US$70.000 en TyphoonPWN, según Help Net Security. Con un costo marginal de US$1.279 por exploit, el atacante racional cambia de objetivo y de economía. Si corres nodos, validadores o custodia de claves sobre Linux, ese cálculo te incluye.
No confíes en que el parche ya llegó. Chris Hughes, VP de estrategia de seguridad de Noma Security, dijo a CSO que el dashboard Patch the Planet de OpenAI muestra menos del 25% de los fallos corregidos hasta ahora, y espera que el mejor descubrimiento amplíe esa brecha, según The Next Web.

Las críticas: modelos capados y parches que no llegan

El programa Daybreak tiene sus propias tensiones. Justicz señala que OpenAI parece haber "nerfeado" Daybreak Blue, volviéndolo menos útil para encontrar vulnerabilidades. Del otro lado, los defensores dicen tener una mano atada si no pueden usar modelos frontera mientras los atacantes despliegan modelos de pesos abiertos sin guardarraíles.

OpenAI sostiene que solo "miles" de profesionales de ciberseguridad participan en Daybreak, frente a un número mucho mayor de atacantes potenciales. Hughes lo resumió así para CSO: "A la escala en que operan estos modelos, incluso una fracción pequeña significa acciones contra sistemas que nadie autorizó".

Hay más datos que matizan el optimismo. Dragos, empresa de ciberseguridad industrial, probó los modelos permisivos de OpenAI en una planta eléctrica simulada y encontró dos zero-days en software de ingeniería que gestiona datos de relés de protección, según The Next Web. Rob T. Lee, chief AI officer de Dragos, advirtió que "el piso de habilidad está bajando para el reconocimiento y la investigación de vulnerabilidades previos a un ataque".

OpenAI también anunció una iniciativa de US$1.000 millones para apoyar a profesionales de ciberseguridad que trabajan en infraestructura crítica como la red eléctrica o los sistemas de agua. Y hay una comparación incómoda sobre prioridades: el escaneo del kernel de Linux costó US$1,2 millones, muy por debajo de los aproximadamente US$6 millones en tokens que la compañía destinó a buscar una solución a un problema de dinámica de fluidos, según TechCrunch.

Conclusión

La noticia no es que la IA encuentre bugs: es que encontrarlos dejó de ser un cuello de botella. Cuando un CTO con interés amateur y US$5.000 puede sacar una vulnerabilidad crítica en dos horas, y un pipeline automatizado produce 948 exploits a US$1.279 cada uno, la ventaja competitiva se mueve del descubrimiento a la capacidad de respuesta.

Para un founder, eso se traduce en una sola pregunta incómoda: si mañana aparece un parche crítico para el kernel que corre tu infraestructura, ¿cuánto tardas en aplicarlo? Si la respuesta es "depende" o "no sé", ese es el proyecto de seguridad más urgente que tienes, más urgente que cualquier herramienta nueva que puedas comprar.