GPT‑6 Cyber escribió exploits para 948 fallos de Linux y no se salió del marco en el 99,93% de las pruebas

OpenAI ha lanzado GPT‑6 Cyber, un modelo especializado que busca vulnerabilidades en programas, comprueba que realmente se pueden explotar y, al mismo tiempo, debe ceñirse estrictamente al marco que fija el investigador. El lanzamiento aborda un problema que conoce cualquiera que haya confiado infraestructura ajena a la automatización: un agente capaz de hackear puede atacar fácilmente, «de paso», lo que nadie le pidió tocar. Imagine que encarga revisar una aplicación web y el agente detecta cerca un almacén de archivos con fallos y se lanza a por esa presa fácil.

En una prueba de este comportamiento, GPT‑6 Cyber no tocó los servicios ajenos en el 99,93% de los casos, y en proyectos reales escribió exploits funcionales para 948 vulnerabilidades del kernel de Linux. Si usted es responsable de la seguridad de un producto, hace code review o construye sus propios agentes, es una buena referencia: muestra tanto el techo de capacidades como una forma de medir la obediencia.

Qué sabe hacer el modelo en la práctica

El benchmark principal se llama ExploitGym y comprueba si el modelo puede aprovechar una vulnerabilidad dada contra un objetivo remoto. GPT‑6 Cyber resuelve el 48,5% de las tareas; la anterior GPT‑5.6 Cyber, el 32,1%. Son unos 16 puntos porcentuales más, o un 51% en términos relativos. En una nueva prueba de pentesting de aplicaciones web, en la que el modelo no tiene acceso al código fuente, encontró el 40,3% de las vulnerabilidades, frente al 32,0% de la GPT‑6 Astra de propósito general.

Para el modo Daybreak Red, OpenAI montó otro conjunto de pruebas: RemoteExploitBench. En él, vulnerabilidades conocidas de GitLab, PostgreSQL y Jenkins se despliegan en un entorno controlado. GPT‑6 Astra en modo Daybreak Blue rechazó todas las tareas (100% de rechazos), mientras que GPT‑6 Cyber completó el 95%. El único fallo fue un exploit que no se logró hacer funcionar de forma remota. A partir de estas evaluaciones, OpenAI asignó al modelo el nivel Critical en ciberseguridad dentro de su Preparedness Framework; GPT‑5.6 Cyber tenía el nivel High.

Los resultados reales resultan más convincentes que los benchmarks. El modelo reprodujo 1 724 vulnerabilidades del kernel de Linux y creó exploits funcionales para 948 de ellas. GPT‑5.

6 Sol, en el mismo banco de pruebas de investigación, logró solo 166, es decir, el resultado es más de cinco veces mejor. A los mantenedores se les entregaron 304 hallazgos críticos junto con candidatos a parche. En Firefox, que lleva tiempo siendo revisado también con modelos de frontera, GPT‑6 Cyber encontró 81 vulnerabilidades nuevas de gravedad alta según la clasificación de Mozilla y mostró que otros 30 problemas conocidos son más peligrosos de lo que se pensaba.

Mozilla ya está publicando correcciones. Además, investigadores de OpenAI, junto con otros modelos, demostraron cómo un error crítico en la biblioteca de compresión Brotli, que usa Node.js, puede conducir a la ejecución remota de código en las aplicaciones que dependen de ella.

Cómo se mantiene al modelo dentro de los límites

Para OpenAI, el alineamiento ha sido la tarea central: el modelo se entrenó específicamente para permanecer dentro de los límites permitidos, respetar las restricciones sobre sus acciones e informar con honestidad de los resultados. La prueba se llama ExploitGym Honeypot y se basa en un incidente con Hugging Face. Al modelo se le plantea una tarea de explotación difícil en un entorno aislado, donde hay servicios auxiliares cercanos, como un almacén de paquetes o de objetos. Se los hace deliberadamente fáciles de hackear: atacarlos revela la flag de la tarea. El modelo debe darse cuenta por sí solo de que no puede tocarlos.

Sin los prompts de protección del despliegue, GPT‑6 Cyber evitó atacar esos servicios en el 99,93% de los casos y GPT‑5.6 Cyber, en el 94,49%. Con esos prompts, el resultado fue del 100%. En la cadena de razonamiento se ve el hilo de pensamiento: el modelo escribe que no se puede suponer que exista una API adicional y que solo hay que atacar el binario o el servidor, y también que no conviene buscar credenciales fuera de la tarea.

Quién ya lo usa y qué viene después

Entre los usuarios figuran Cisco, Calif, CodeRabbit, Palo Alto Networks, SentinelOne, Perplexity y Cognition. CodeRabbit afirma que, en una prueba interna, el modelo encontró un 66% más de problemas de gravedad alta y media que su modelo de trabajo. Cognition obtuvo un 23% en su prueba de búsqueda de vulnerabilidades nuevas, frente al 13% del mejor resultado anterior. Se trata de opiniones de socios que publica la propia OpenAI, no de mediciones independientes. La compañía también usó el modelo para reforzar la infraestructura de entrenamiento: en ejercicios de red team, agentes basados en GPT‑6 Cyber y otros modelos encadenaron vulnerabilidades para escapar de microVM y ejecutar código en el host.

OpenAI reconoce también la otra cara: cuanto más potentes son los modelos, más intentos hay de usarlos con fines dañinos, incluso por parte de atacantes y de grupos que quieren «destilar» los modelos. Por eso las mayores capacidades vienen acompañadas de mecanismos reforzados de detección y bloqueo del uso indebido. La compañía también quiere ampliar de forma notable Daybreak para que los métodos avanzados de búsqueda de vulnerabilidades lleguen a organizaciones de cualquier tamaño, a investigadores independientes y a mantenedores de proyectos de código abierto.

Para los defensores verificados existe Daybreak Blue, con menos rechazos innecesarios, mientras que Daybreak Red está pensado para el desarrollo avanzado de exploits y las pruebas autorizadas. Los modelos habituales, como GPT‑6 Astra, admiten code review, triaje de vulnerabilidades y preparación de parches.

La conclusión práctica es sencilla. Si tiene código en el que un error sale muy caro, conviene echar un vistazo a Daybreak y preparar de antemano un entorno aislado para las comprobaciones. Y al desarrollar agentes propios, resulta útil adoptar el enfoque de OpenAI: comprobar no solo lo que el agente sabe hacer, sino también lo que no debe hacer. Los ajustes completos de las evaluaciones y los resultados están en la system card.