El modelo ayuda a encontrar vulnerabilidades y demostrar cómo podrían explotarse. Sus capacidades han llevado a OpenAI a clasificarlo en el nivel «crítico» de ciberseguridad y limitar su acceso.
Encontrar un fallo y demostrar su impacto
OpenAI presentó el 5 de noviembre de 2026 GPT-6 Cyber, una variante de GPT-6 Astra especializada en investigación de seguridad autorizada. Su trabajo abarca la búsqueda de vulnerabilidades, el desarrollo de exploits y las pruebas de seguridad de aplicaciones web.
Un exploit es código o una técnica que aprovecha una vulnerabilidad. Encontrar un error y demostrar que permite superar una barrera de seguridad son pasos diferentes: el segundo ayuda a entender la gravedad real del problema.
Piensa en una inspección de un edificio. Detectar una puerta defectuosa es un hallazgo; comprobar qué zonas permite alcanzar ayuda a decidir la urgencia de repararla.
Qué hay bajo el capó
Según su documentación técnica, GPT-6 Cyber ha recibido entrenamiento por refuerzo para buscar vulnerabilidades, reproducir fallos y desarrollar exploits funcionales. Ese entrenamiento también busca que pruebe distintas estrategias y reconozca errores.
La otra parte del trabajo consiste en respetar límites: actuar dentro del alcance autorizado, evitar acciones no solicitadas e informar con precisión de los resultados.
Esto no equivale a una llave universal. La capacidad de explotar un fallo depende del programa, sus protecciones y las condiciones de ejecución.
Linux y Firefox: los resultados que presenta OpenAI
OpenAI afirma que sus investigadores utilizaron el modelo para desarrollar 948 exploits de escalada de privilegios en Linux e identificar 81 vulnerabilidades de alta gravedad previamente desconocidas en Firefox. También ayudó a elaborar posibles parches.
Una escalada de privilegios permite obtener permisos superiores a los disponibles inicialmente. No implica, por sí sola, que cualquier atacante pueda controlar un equipo desde internet.
En ExploitGym, una evaluación de explotación de vulnerabilidades, obtuvo un 48,5%, frente al 32,1% de GPT-5.6 Cyber. Son resultados comunicados por la compañía en condiciones de evaluación concretas.
Qué significa la clasificación «crítico»
La etiqueta pertenece al marco de preparación de OpenAI y describe sus capacidades en ciberseguridad. No es una alerta de que todos los dispositivos estén comprometidos.
El acceso inicial se ofrece mediante API y Codex a determinados clientes aprobados de Daybreak Red. La documentación recoge controles como verificación de identidad, autenticación multifactor y restricciones de las direcciones IP autorizadas.
El reto: convertir los hallazgos en protección
La investigación de vulnerabilidades tiene un uso dual: conocer cómo se aprovecha un fallo puede facilitar su corrección, pero también su abuso.
Desde una perspectiva práctica, encontrar más errores solo aporta protección cuando los hallazgos se validan, los parches se comprueban y las actualizaciones llegan a los equipos.
La cuestión no es únicamente cuántos fallos puede descubrir una IA, sino cuántos pueden corregirse antes de que alguien los aproveche.
Fuentes
- OpenAI: presentación y resultados de GPT-6 Cyber
- OpenAI: documentación técnica y medidas de seguridad
- OpenAI: requisitos de acceso al modelo
Sombra Radio · Apoyo de lectores
Ayuda a mantener viva Sombra Radio
Tu aportación voluntaria nos ayuda a seguir publicando sobre IA. Puedes apoyarnos desde 1 € al mes.
