GPT-6 Cyber encuentra 81 vulnerabilidades peligrosas en Firefox y logra un 48,5 % en ExploitGym

Hasta ahora, los modelos de lenguaje en seguridad se limitaban sobre todo a ayudar a leer logs y explicar CVE ajenos. A juzgar por los resultados publicados por OpenAI, GPT-6 Cyber da el siguiente paso: no se limita a analizar errores conocidos, sino que busca otros nuevos y escribe exploits para ellos. Para quienes son responsables de un producto o de la infraestructura, es una señal: el ritmo de descubrimiento de vulnerabilidades está cambiando.

Qué mostró exactamente el modelo

Estas son las cifras del anuncio. En el benchmark ExploitGym, GPT-6 Cyber obtuvo un 48,5 %, lo que OpenAI califica de nuevo récord. En Firefox, el modelo descubrió 81 vulnerabilidades de alta gravedad desconocidas hasta ahora. Y en Linux mostró cómo 948 errores pueden usarse para escalar privilegios.

Conviene distinguir estos tres resultados. El benchmark mide la capacidad de convertir un error hallado en un exploit funcional en tareas estándar. Encontrar nuevos fallos en Firefox implica código real que miles de personas instalan en sus equipos. Y los 948 errores de Linux no son 948 ataques listos para usar, sino errores que, según OpenAI, el modelo logró vincular con una escalada de privilegios.

Cómo se ve en un ejemplo sencillo

Imagine que tiene un módulo antiguo en C que procesa un archivo del usuario. Antes, un auditor pasaba semanas leyendo el código, configurando un fuzzer y buscando dónde un búfer se desborda. Ahora un agente en Codex recibe el repositorio, lanza la compilación por sí mismo, prueba entradas, ve el fallo y después averigua si ese fallo puede convertirse en ejecución de código ajeno o en acceso root. Precisamente este segundo paso, de «el error existe» a «el error funciona», es el que evalúa ExploitGym.

Para los defensores es una buena noticia: lo que antes llevaba semanas puede hacerse en horas y aplicarse a todo el código, no solo a las partes más críticas. Para los atacantes la noticia es la misma, pero con signo contrario. No es casualidad que en los comentarios al anuncio bromeen con que los hackers también tendrán acceso.

Quién tendrá acceso y qué sigue sin estar claro

Actualmente GPT-6 Cyber está disponible en Codex y mediante API solo para participantes selectos del programa Daybreak Red. Parece un lanzamiento cauteloso: primero investigadores verificados y, quizá, un público más amplio después. Los esperados GPT-6.2 Astra y Sol no salieron hoy, así que es pronto para hablar de ellos.

También conviene tener presentes las limitaciones. Todas las cifras proceden por ahora de declaraciones de la propia OpenAI y el anuncio no incluye verificación independiente. Un 48,5 % en el benchmark significa que el modelo sigue sin resolver más de la mitad de las tareas. Se desconoce cuántos de los 81 hallazgos son realmente explotables y cuántos falsos positivos tuvieron que descartar las personas. Tampoco se ha revelado cuánto cuesta una ejecución así.

Qué hacer en la práctica

Primero: si mantiene código en C o C++, el kernel, componentes de navegador o servicios de red, asuma que la auditoría con IA se volverá una parte habitual del proceso, y no solo en su lado. La ventana entre la aparición de un error y su explotación se reducirá.

Segundo: acelere el ciclo de parches. Si actualizar dependencias le lleva un mes, ya es un riesgo. Automatice la compilación, las pruebas y el despliegue de correcciones.

Tercero: si se dedica profesionalmente a la seguridad, eche un vistazo al programa Daybreak Red y a sus condiciones de acceso. Familiarizarse pronto con estas herramientas dará ventaja antes de que se vuelvan masivas.

Cuarto: no crea las cifras a ciegas. Espere las verificaciones independientes y los análisis de los propios mantenedores de Firefox y Linux: ellos dirán hasta qué punto los hallazgos eran reales.

La conclusión principal es sencilla: la IA en seguridad pasa de asistente a investigador autónomo. La cuestión ya no es si el modelo encontrará un fallo en su código, sino quién lo hará primero: usted u otra persona.