GPT-6 Cyber: OpenAI lanza su modelo para cazar fallas, solo para clientes aprobados

OpenAI presentó el 5 de noviembre de 2026 GPT-6 Cyber, un modelo entrenado para encontrar y validar vulnerabilidades explotables en software, y para no salirse del alcance que le marca el investigador. OpenAI lo presenta como un gran salto respecto de GPT-5.6 Cyber y dice que supera a GPT-6 Astra en la mayoría de las tareas de ciberseguridad.

La parte que te importa si no trabajás en un equipo de seguridad: no lo vas a poder usar. Por ahora está disponible solo para un grupo selecto de clientes aprobados de Daybreak Red, el nivel del programa Daybreak de OpenAI pensado para desarrollo de exploits y pruebas de seguridad autorizadas, por la API y por Codex. No está en ChatGPT.

Lo que sí podés hacer hoy, y tarda un minuto: tener Firefox en la versión 159 o posterior. En el aviso de seguridad de Firefox 159, del 27 de octubre, 41 de las 167 fallas corregidas figuran reportadas por OpenAI. Si Firefox se actualiza solo, ya lo tenés; si no, más abajo está cómo comprobarlo.

Quién puede usar GPT-6 Cyber

Casi nadie, por diseño. OpenAI escribe que el modelo está «inicialmente» disponible para un grupo selecto de clientes aprobados de Daybreak Red y que va a ampliar el acceso a todos los clientes de Daybreak Red «pronto», sin fecha. Y habilita GPT-5.6 Cyber, el modelo anterior, para todos los clientes de Daybreak Red.

En paralelo, amplía el acceso alfa de Daybreak Blue con GPT-6 Astra a más organizaciones e investigadores individuales. Según OpenAI, Blue ayuda a defensores verificados a validar fallas y arreglos con menos negativas innecesarias, y Red habilita desarrollo de exploits más profundo y pruebas de seguridad autorizadas. Quien quiera entrar pide acceso en el formulario de Daybreak, donde OpenAI pide identificación y datos profesionales adicionales.

Traducido: es una herramienta para equipos de seguridad que pasan un filtro. El único camino que menciona OpenAI es pedir acceso a Daybreak; si te ofrecen «acceso a GPT-6 Cyber» por otro lado, desconfiá.

Qué tenés que hacer vos: actualizar Firefox

OpenAI dice que sus investigadores usaron GPT-6 Cyber para identificar 81 vulnerabilidades de alta gravedad que no se conocían en Firefox, y que Mozilla ya publicó arreglos para muchas. El aviso de Mozilla sobre Firefox 159 lista 167 fallas corregidas; 41 figuran reportadas por OpenAI (34 por «OpenAI Codex Security (kylebot)» y 7 por Amy Burnett, de OpenAI), y las 41 están marcadas como de impacto alto. Mozilla no dice qué modelo se usó en cada caso, así que no las sumamos a las 81: son dos conteos de dos documentos distintos.

Para comprobar tu versión:

• En Firefox, abrí el menú (las tres rayas, arriba a la derecha) y entrá a Ayuda > Acerca de Firefox.
• En Windows y Mac, la ventana muestra la versión y, si hay una más nueva, la baja sola. Cuando termine, tocá Reiniciar para actualizar Firefox.
• Si dice 159 o un número mayor, ya está.
• En el celular, Firefox para Android se actualiza desde Google Play (el aviso también incluye una falla de esa versión).

Brian Grinstead, ingeniero de Firefox, lo dijo en el anuncio de OpenAI: el modelo los ayudó a enviar arreglos «a millones de usuarios» (traducción de TCD). Esos millones solo cuentan si el arreglo llega a tu computadora.

Qué dice OpenAI que hace

Todas estas cifras salen de pruebas de OpenAI; no hay, por ahora, una medición independiente:

• ExploitGym, que mide si un modelo logra explotar una falla indicada en un objetivo remoto: 48,5%, contra 32,1% de GPT-5.6 Cyber. OpenAI lo presenta como una mejora relativa de 51%.
• Pruebas de penetración web sin acceso al código: encontró el 40,3% de las fallas, contra 32,0% de GPT-6 Astra.
• RemoteExploitBench, con fallas conocidas de GitLab, PostgreSQL y Jenkins en un entorno controlado: en la evaluación inicial, completó el 95% de las tareas, mientras que GPT-6 Astra con Daybreak Blue se negó a todas.
• Quedarse en su carril: en una evaluación de alineación, evitó atacar servicios fuera del alcance en el 99,93% de las pruebas sin su prompt de despliegue, y en el 100% con él.
• Casos reales: 948 exploits de escalada de privilegios en Linux (el detalle está en otro informe de OpenAI) y las 81 fallas de Firefox. Equipos de Cisco, Calif y CodeRabbit lo usan para investigar vulnerabilidades y revisar código, según la empresa.

Y un dato que OpenAI pone ella misma sobre la mesa: con estos resultados, clasifica el modelo como «Critical» en ciberseguridad dentro de su Preparedness Framework, un escalón por encima del «High» que tenía GPT-5.6 Cyber. Leído desde acá: si la propia empresa lo sube de escalón, se entiende que filtre quién lo usa.

Los controles que promete

OpenAI dice que lanza GPT-6 Cyber con salvaguardas más fuertes, porque ve más intentos de usar sus modelos para hacer daño:

• Monitoreo de si las acciones del modelo coinciden con lo que el usuario está autorizado a hacer.
• Vigilancia puntual de amenazas nuevas; como ejemplo cita la divulgación de fallas críticas de PHP.
• Revisión automática de interacciones para detectar abuso (lo llama Private Safety Processing).
• Lista de direcciones IP permitidas, obligatoria por defecto para usar Daybreak Red por la API, y vigilancia de credenciales robadas.
• Bloqueos para actividad de alto riesgo sobre sistemas críticos, y, como con modelos anteriores, la recomendación de usar entornos aislados, revisión de acciones y supervisión humana en los flujos de alto riesgo.

Que esos controles alcancen es otra discusión, y el anuncio no la resuelve. Los resultados completos de las evaluaciones están en la ficha de sistema que publicó OpenAI.

Lo que OpenAI no dijo

• Precio. No hay costo publicado.
• Países. No dice dónde está disponible Daybreak Red.
• Cuándo llega al resto de Daybreak Red. Dice «pronto».
• Si va a estar en ChatGPT. El anuncio no lo menciona.

Fuentes

• OpenAI, «GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents» (en inglés), 5 de noviembre de 2026. El modelo, sus cifras, el acceso por Daybreak y las salvaguardas. Traducción de TCD.
• Mozilla, «Security Vulnerabilities fixed in Firefox 159» (en inglés), aviso MFSA 2026-118, 27 de octubre de 2026. Las 167 fallas y quién reportó cada una; el conteo es de TCD.
• Créditos de imagen: la imagen interior es la imagen oficial que publicó OpenAI con el anuncio. La portada es un fotomontaje editorial asistido por IA sobre esa misma imagen y el logo de OpenAI.