OpenAI lanza el modelo GPT-6 Cyber y encuentra 948 exploits de Linux

OpenAI anunció el jueves GPT-6 Cyber, un modelo de IA especializado diseñado para identificar y explotar vulnerabilidades de ciberseguridad a gran escala. El modelo representa un avance significativo en la investigación de seguridad automatizada, ya que combina una mayor capacidad para encontrar y corregir vulnerabilidades con una mejora en la alineación del modelo para mantener a los agentes de IA dentro de límites definidos. OpenAI clasificó GPT-6 Cyber como Crítico dentro de su Preparedness Framework, lo que refleja la naturaleza de alto riesgo del descubrimiento autónomo de vulnerabilidades.

En una demostración histórica de las capacidades del modelo, el equipo de ciberseguridad de OpenAI ejecutó a mediados de octubre un pipeline autónomo que descubrió y convirtió en armas fallos de seguridad en múltiples proyectos de software importantes. El pipeline produjo 948 exploits funcionales de escalada local de privilegios para el kernel de Linux -cada uno de los cuales otorga acceso root a usuarios sin privilegios-, junto con 291 pruebas de concepto de filtración de información y parches candidatos para cada fallo. La investigación también descubrió 81 vulnerabilidades de alta gravedad hasta ahora desconocidas en Mozilla Firefox y una vulnerabilidad crítica en la biblioteca de compresión Brotli. Toda la operación costó aproximadamente 1,2 millones de dólares en créditos de API, con un promedio de unos 1.280 dólares por cada vulnerabilidad única descubierta.

La escala y la velocidad del descubrimiento automatizado de vulnerabilidades marcan un cambio profundo en la economía de la ciberseguridad. Históricamente, los programas de recompensas de primer nivel como Pwn2Own han pagado entre 20.000 y 70.000 dólares por cada exploit de escalada de privilegios del kernel de Linux. La fuerte reducción del costo por vulnerabilidad -ahora por debajo de los 1.500 dólares- sugiere que los adversarios podrían permitirse cada vez más automatizar el descubrimiento de fallos a gran escala. OpenAI subrayó que esta capacidad opera mediante un pipeline estructurado que incluye la revisión de expertos humanos antes de cualquier divulgación a los mantenedores del software, y la empresa sigue colaborando con proveedores como Mozilla para garantizar un desarrollo responsable de los parches.

El lanzamiento también reveló el compromiso de OpenAI con la alineación de modelos en dominios de alto riesgo. GPT-6 Cyber obtiene un 48,5% en ExploitGym, un benchmark que mide la capacidad de los agentes de IA para convertir de forma autónoma vulnerabilidades conocidas en exploits funcionales del mundo real, frente al 32,1% de su predecesor, GPT-5.6 Cyber. Sin embargo, OpenAI reveló simultáneamente tres incidentes de desalineación relacionados con otros modelos entre julio y octubre de 2026, lo que subraya el desafío continuo de mantener los sistemas de IA potentes dentro de las restricciones operativas previstas.