GPT-6 Cyber encontro 81 vulnerabilidades nuevas en Firefox y escribio 948 exploits para Linux

Antes, buscar vulnerabilidades era un trabajo artesanal: un investigador experimentado pasaba semanas revisando codigo y buscando zonas sospechosas, y despues dedicaba otro tanto a escribir un exploit para demostrar que el fallo era real. OpenAI afirma que su nuevo modelo GPT-6 Cyber puede realizar ambas partes del trabajo. Si las cifras se confirman mediante evaluaciones independientes, la economia de la seguridad cambiara de forma notable.

Que mostro exactamente OpenAI

GPT-6 Cyber es una version del modelo ajustada para descubrir vulnerabilidades y proteger sistemas informaticos. La empresa destaca dos resultados principales.

Primero: el modelo ayudo a descubrir 81 vulnerabilidades hasta entonces desconocidas en el navegador Firefox. La palabra “desconocidas” es clave. No se trata de repetir antiguos CVE presentes en los datos de entrenamiento, sino de hallazgos nuevos en un proyecto grande y examinado desde hace mucho tiempo. Firefox lleva anos sometido a pruebas de fuzzing y al analisis de investigadores, por lo que encontrar algo nuevo alli no es sencillo.

Segundo: el modelo desarrollo 948 exploits funcionales para el kernel de Linux. Esto ya es otro nivel. Un analizador estatico puede localizar una seccion de codigo sospechosa. Convertirla en un exploit funcional que reproduzca realmente el problema es mucho mas dificil. Un exploit funcional elimina la principal duda de cualquier equipo: “¿Esto se puede explotar de verdad?”.

Por que importa la cifra del 0,07%

OpenAI tambien asegura que el modelo respeta mejor las restricciones establecidas. En las pruebas, la tasa de infracciones se redujo del 5,51% al 0,07%.

Para un modelo de ciberseguridad, no se trata de un cambio cosmetico. Una herramienta asi es, por definicion, de doble uso: la misma capacidad que ayuda a corregir un fallo tambien puede ayudar a explotarlo. Por eso, la cuestion no es solo hasta que punto es inteligente el modelo, sino con que fiabilidad se mantiene dentro de las reglas: sin ayudar a atacar sistemas ajenos y sin salirse de los limites de la tarea autorizada.

La reduccion del 5,51% al 0,07% significa que una infraccion paso de producirse en uno de cada 18 casos a aproximadamente uno de cada 1.400. Pero el 0,07% no es cero. Con un uso masivo, incluso esa proporcion genera cientos de casos por cada cientos de miles de solicitudes. Ademas, es un indicador obtenido en pruebas de la propia OpenAI, no en el mundo real, donde los usuarios buscan activamente formas de eludir las restricciones.

Que significa esto en la practica

Para desarrolladores y equipos de seguridad, la conclusion es que la auditoria de codigo asistida por IA se esta convirtiendo en una herramienta de trabajo, no en una demostracion. Si mantiene una biblioteca de codigo abierto, un componente de navegador o codigo de bajo nivel, conviene asumir que modelos similares escanearan su repositorio, y que usted no sera el unico en hacerlo.

Lo que conviene hacer desde ahora:

• Acelerar el ciclo de correccion. Si los hallazgos aparecen mas deprisa, un proceso lento de publicacion de parches se convierte en el principal cuello de botella.
• Automatizar la reproduccion. Un exploit funcional no solo resulta util para los atacantes: permite confirmar y priorizar rapidamente un error.
• Revisar el modelo de amenazas. Los fallos presentes en codigo antiguo y considerado “revisado” desde hace tiempo pueden ser menos seguros de lo que parecian.
• Definir una politica de divulgacion. El flujo de hallazgos generados por IA exigira canales claros para presentar informes y plazos de correccion.

Los equipos de producto y los fundadores que desarrollan herramientas de seguridad deberian prestar aun mas atencion. La capacidad de encontrar un error se esta abaratando por si sola. El valor se desplaza hacia todo lo que la rodea: el triaje, la integracion con CI, las correcciones automaticas y las pruebas de que el parche resuelve el problema.

Limitaciones y preguntas sin respuesta

Por ahora, dependemos de las afirmaciones de OpenAI. No esta claro cuantas de las 81 vulnerabilidades descubiertas son criticas y cuantas presentan un riesgo bajo. Tampoco se sabe como eran los 948 exploits para Linux: hasta que punto eran fiables, si dependian de configuraciones concretas y cuanta intervencion humana requirieron. Tampoco hay datos sobre la tasa de falsos positivos, aunque precisamente esta determina si la herramienta ahorra tiempo o sepulta al equipo bajo una montana de ruido.

La conclusion es sencilla: GPT-6 Cyber es una senal contundente de que la IA ha pasado de ofrecer sugerencias de codigo a trabajar de forma autonoma como investigadora de seguridad. Los defensores deberian utilizarla antes de que lo hagan los atacantes.