OpenAI presenta GPT-6 Cyber, una IA especializada en encontrar vulnerabilidades y crear ataques funcionales, clasificada con un riesgo crítico para la ciberseguridad.

OpenAI lanza GPT-6 Cyber: una IA capaz de generar ataques cibernéticos

• OpenAI ha presentado oficialmente GPT-6 Cyber, un modelo de inteligencia artificial diseñado específicamente para detectar vulnerabilidades y crear ataques funcionales. Aunque esta herramienta puede ayudar a fortalecer la seguridad al identificar fallos previamente, su capacidad para ejecutar ofensivas digitales ha provocado que sea clasificada con un riesgo «crítico» en materia de ciberseguridad.

La IA está acelerando el desarrollo de software, qué duda cabe, pero también la búsqueda de sus puntos débiles. Y eso tiene dos caras: permite corregir errores antes de que alguien los aproveche, aunque también facilita demostrar cómo se puede atacar un sistema. En ese escenario, OpenAI ha presentado GPT-6 Cyber, un modelo especializado en encontrar vulnerabilidades, crear exploits funcionales y ayudar a preparar sus correspondientes parches. Sus capacidades han llevado a la compañía a clasificarlo con nivel «Critical» en ciberseguridad dentro de su marco de evaluación de riesgos.

La palabra impone, y conviene entender qué significa. Es una clasificación de sus capacidades y del riesgo que podrían representar si se utilizan indebidamente. Para el usuario, la cuestión es bastante directa: cuanto más competente sea una herramienta encontrando cómo entrar en un sistema, más importante será quién puede utilizarla y bajo qué condiciones.

GPT-6 Cyber encuentra el fallo y comprueba hasta dónde permite llegar

El salto se aprecia en ExploitGym, una evaluación que exige explotar una vulnerabilidad determinada. GPT-6 Cyber resuelve el 48,5% de las tareas, frente al 32,1% de GPT-5.6 Cyber. Hablamos de 16,4 puntos porcentuales adicionales y una mejora relativa del 51%. Su predecesor estaba clasificado como «High»; el nuevo modelo sube a «Critical».

Pero los resultados más interesantes están fuera de esa prueba. Según OpenAI, sus investigadores utilizaron el modelo para descubrir 81 vulnerabilidades desconocidas de gravedad alta en Firefox, además de colaborar en posibles correcciones. Aquí es donde el anuncio empieza a tocar algo cercano: software que utilizamos a diario y que lleva años pasando por revisiones de seguridad.

En Linux, como ya vimos la semana pasada y aunque OpenAI no dijo nada sobre el modelo en concreto, describió un proceso automatizado que identificó candidatos, reprodujo los errores, evaluó su explotación y generó propuestas de parches. El sistema reprodujo 1.724 vulnerabilidades y produjo 948 exploits funcionales de escalada local de privilegios en Linux.

Dicho de forma sencilla: partiendo de una cuenta con permisos limitados, esos ataques podían permitir obtener acceso root en los sistemas evaluados. El requisito de acceso local importa, porque condiciona cómo comienza el ataque y qué necesita previamente quien quiera ejecutarlo.

Los 948 exploits en Linux costaron unos 1,2 millones de dólares

La campaña tuvo un coste de 1.213.430 dólares en créditos de API, aproximadamente 1.279 dólares por exploit de escalada de privilegios. Los resultados pasaron por revisión humana y los parches propuestos quedaron sujetos a la evaluación de los mantenedores.

Ese dato económico ayuda a entender el cambio. Investigar una vulnerabilidad compleja puede exigir una cadena larga de pruebas, errores y comprobaciones. Automatizar partes de ese trabajo permite repetir el proceso a una escala distinta, aunque encontrar un posible fallo sigue sin equivaler a tener una corrección lista para distribuir.

Por eso, el acceso inicial a GPT-6 Cyber está limitado a clientes aprobados de Daybreak Red mediante API y Codex. OpenAI también comunica mejores resultados al respetar los límites de los encargos, aunque esas evaluaciones no eliminan la necesidad de supervisión.

La carrera tiene ahora un componente incómodo: la misma velocidad que ayuda a localizar y cerrar agujeros puede acortar el tiempo disponible para corregirlos. Para quienes mantienen software, el reto será convertir los hallazgos en actualizaciones fiables con suficiente rapidez.