OpenAI presentó GPT-6 Cyber, una inteligencia artificial especializada en encontrar vulnerabilidades de seguridad, demostrar cómo pueden explotarse y ayudar a corregirlas. Sus primeros resultados son llamativos: identificó 81 fallos desconocidos de alta gravedad en Firefox y desarrolló ataques funcionales contra 948 vulnerabilidades del núcleo de Linux. El avance abre una nueva etapa en la ciberseguridad, pero también plantea una pregunta incómoda: ¿qué ocurrirá cuando los delincuentes tengan herramientas con capacidades similares?
La noticia no consiste simplemente en que una inteligencia artificial pueda revisar código. Eso ya era posible. Lo novedoso es su capacidad para combinar varias tareas que tradicionalmente requerían investigadores especializados: localizar errores, comprobar si representan un peligro real, construir pruebas de explotación y proponer soluciones. OpenAI+1
Firefox tenía fallos que habían pasado inadvertidos
Firefox es uno de los navegadores más examinados por especialistas en seguridad informática. Mozilla mantiene equipos dedicados a detectar vulnerabilidades y corregirlas antes de que puedan comprometer a sus usuarios.
Sin embargo, GPT-6 Cyber encontró 81 vulnerabilidades que no habían sido identificadas previamente. Mozilla las clasificó como de alta gravedad. Además, el modelo aportó pruebas de que otros 30 problemas conocidos eran más peligrosos de lo que se había considerado inicialmente.
OpenAI comunicó los hallazgos a Mozilla y entregó propuestas de corrección. Los desarrolladores del navegador comenzaron a incorporar soluciones poco después de recibir los informes y ya publicaron parches para numerosos fallos.
El resultado tiene una consecuencia importante. Incluso programas sometidos durante años a revisiones exhaustivas pueden esconder errores que nuevas herramientas automatizadas consiguen descubrir. Eso no significa que los 81 fallos estuvieran siendo utilizados por delincuentes ni que todos los usuarios de Firefox estuvieran comprometidos.
La diferencia entre descubrir una vulnerabilidad y sufrir un ataque real es fundamental. En este caso, la investigación permitió identificar problemas y comenzar a corregirlos antes de que existiera evidencia pública de una explotación generalizada. OpenAI
Linux: 948 ataques funcionales y acceso de administrador
La investigación también examinó el núcleo de Linux, conocido como kernel. Es la parte del sistema operativo encargada de gestionar recursos esenciales, como la memoria, los procesos y la comunicación con los dispositivos.
Linux está presente en servidores, centros de datos, infraestructura de Internet y numerosos sistemas empresariales. Por eso, una vulnerabilidad en su núcleo puede tener consecuencias mucho más amplias que un problema limitado a una aplicación.
En una campaña de investigación realizada en octubre, OpenAI analizó 2.308 posibles problemas. Consiguió reproducir 1.724 vulnerabilidades y desarrollar 948 métodos funcionales para aprovechar fallos de escalada de privilegios.
Estos ataques permiten, bajo determinadas condiciones, que alguien con acceso limitado a una computadora obtenga permisos de administrador. En Linux, ese nivel de acceso se conoce como root y permite controlar prácticamente todo el sistema.
Hay una precisión importante: no se trata de 948 formas de entrar remotamente en cualquier servidor Linux. Las pruebas corresponden a escenarios específicos de escalada local de privilegios, realizados en entornos controlados.
OpenAI comunicó inicialmente 304 hallazgos críticos a los responsables del proyecto Linux, acompañados de propuestas de corrección. El proceso para revisar y resolver otros problemas continúa. OpenAI
Una investigación automatizada que costó 1,2 millones de dólares
Uno de los aspectos más reveladores del experimento es su escala económica. OpenAI informó que la campaña sobre Linux consumió aproximadamente 1,21 millones de dólares en créditos de API, equivalentes a unos 1.279 dólares por cada método funcional de escalada de privilegios.
La cifra parece elevada, pero permite dimensionar cómo está cambiando la investigación de seguridad. Tradicionalmente, descubrir y demostrar una vulnerabilidad compleja podía exigir semanas de trabajo especializado. Ahora, una plataforma automatizada puede investigar numerosos problemas de forma simultánea.
El procedimiento combina análisis del código, reproducción de errores, generación de pruebas de explotación y propuestas de parches. Los investigadores humanos revisan posteriormente los resultados antes de comunicarlos a los responsables del software.
Esto no elimina la necesidad de especialistas. Al contrario, aumenta la importancia de verificar los hallazgos, establecer prioridades y evitar que las correcciones introduzcan nuevos problemas.
Tampoco significa que investigar vulnerabilidades resulte barato para cualquiera. El experimento utilizó infraestructura especializada y recursos considerables. Su verdadero valor está en demostrar que determinadas tareas de seguridad pueden realizarse a una escala difícil de alcanzar mediante procedimientos exclusivamente manuales. OpenAI
Una IA clasificada como crítica por sus capacidades
OpenAI asignó a GPT-6 Cyber la categoría Critical dentro de su sistema de evaluación de riesgos. Esta clasificación no significa que el modelo tenga una vulnerabilidad crítica, sino que sus capacidades en ciberseguridad alcanzaron el nivel más alto contemplado por ese marco.
En una prueba denominada ExploitGym, el nuevo modelo obtuvo un resultado del 48,5 %, frente al 32,1 % de GPT-5.6 Cyber. La evaluación mide su capacidad para aprovechar vulnerabilidades específicas en entornos preparados para realizar pruebas.
La empresa también examinó si la inteligencia artificial respetaba los límites establecidos por los investigadores. Según sus resultados, evitó actuar contra sistemas no autorizados en el 99,93 % de los casos sin instrucciones adicionales de seguridad.
Sin embargo, estas cifras proceden principalmente de evaluaciones publicadas por OpenAI. No constituyen una garantía absoluta de comportamiento seguro en cualquier escenario.
El acceso inicial a GPT-6 Cyber está restringido a clientes verificados de Daybreak Red, un programa dirigido a profesionales que realizan investigaciones avanzadas y pruebas de seguridad autorizadas. La compañía prevé ampliar gradualmente su disponibilidad entre los participantes aprobados. OpenAI+1
El verdadero problema: quién encuentra primero las vulnerabilidades
La aparición de herramientas capaces de descubrir y explotar fallos automáticamente modifica el equilibrio entre quienes protegen los sistemas y quienes intentan atacarlos.
Para los equipos de seguridad, estas tecnologías representan una oportunidad. Pueden identificar errores antes de que sean aprovechados, evaluar cuáles requieren atención inmediata y acelerar el desarrollo de correcciones.
Pero las mismas capacidades también pueden beneficiar a los delincuentes. Una inteligencia artificial que reduce el tiempo necesario para encontrar vulnerabilidades podría permitir ataques más rápidos y numerosos si llega a utilizarse sin controles adecuados.
Para los usuarios, la recomendación inmediata sigue siendo conocida: mantener actualizados navegadores, sistemas operativos y aplicaciones. En el caso de las empresas, también resulta fundamental aplicar parches, limitar privilegios y supervisar los equipos expuestos.
El avance de GPT-6 Cyber no demuestra que Internet sea ahora más inseguro. Demuestra que la velocidad con la que pueden descubrirse sus debilidades está cambiando.
Y esa transformación plantea un desafío que afecta tanto a fabricantes como a empresas y usuarios: la inteligencia artificial puede encontrar errores mucho más rápido, pero la seguridad dependerá de nuestra capacidad para corregirlos antes de que alguien los aproveche.
