GPT-6 Cyber y vulnerabilidades en Firefox: 81 fallos

GPT-6 Cyber encontró 81 vulnerabilidades en Firefox que nadie había reportado. OpenAI presentó el modelo el jueves 5 de noviembre como su herramienta más fuerte para buscar fallos.

No es un modelo de chat abierto. GPT-6 Cyber es una versión de GPT-6 Astra entrenada para revisar código, comprobar si un fallo se puede explotar de verdad y ayudar a escribir el arreglo. OpenAI lo clasificó en el nivel crítico de ciberseguridad dentro de su marco interno de riesgos, una categoría por encima del nivel alto que tenía GPT-5.6 Cyber.

🔥 Tendencia

Gómez Mazara pide más competencia tras la avería de Claro

En ExploitGym, la prueba que mide si un modelo logra explotar una vulnerabilidad concreta en un equipo remoto, marcó 48.5 %, frente a 32.1 % de su antecesor: una mejora relativa de 51 %. En otra prueba de penetración web, sin ver el código fuente, recuperó 40.3 % de las vulnerabilidades plantadas, contra 32.0 % de GPT-6 Astra.

Firefox y Linux concentran los hallazgos

Mozilla recibió las pruebas reproducibles de los 81 fallos y la clasificación fue clara: gravedad alta. Otros 30 problemas conocidos resultaron más serios de lo pensado. La fundación empezó a publicar arreglos poco después, y su aviso de seguridad de Firefox 159, del 27 de octubre, ya acreditaba a personal de OpenAI y a su herramienta Codex Security en varias correcciones.

En Linux el volumen fue mayor. El modelo reprodujo 1,724 vulnerabilidades del núcleo y armó pruebas de explotación con éxito para 948 de ellas, más de cinco veces las 166 que logró GPT-5.6 Sol con el mismo sistema de trabajo. OpenAI comunicó 304 hallazgos críticos a los mantenedores del núcleo, con propuestas de parche.

Encontrar el fallo es la mitad del trabajo. El panel Patch the Planet mostraba menos de 25 % de los fallos detectados con corrección aplicada en los primeros días. Quien usa Firefox en el trabajo o en la casa tiene una tarea simple: actualizar el navegador a la versión más reciente, que cierra buena parte de esos huecos.

Un modelo entrenado para no salirse del área asignada

La otra cifra que OpenAI repite es de comportamiento. En la evaluación ExploitGym Honeypot, el entorno coloca servicios fáciles de atacar alrededor de la tarea para tentar al agente: GPT-6 Cyber evitó explotar servicios fuera del alcance en 99.93 % de las pruebas sin instrucciones extra de seguridad, y en 100 % con esas instrucciones activas. GPT-5.6 Cyber se quedaba en 94.49 %.

Equipos de Cisco, Calif y CodeRabbit ya lo usan para revisión de código e investigación de vulnerabilidades, y la propia OpenAI lo aplicó sobre su infraestructura. La idea de reservar primero estas capacidades a defensores verificados ya apareció en Gemini 4 Carbon, el modelo de Google orientado a la ciberseguridad defensiva. El acceso quedó cerrado: entra por la API y por Codex solo un grupo escogido de clientes aprobados de Daybreak Red, el programa de la empresa para pruebas de seguridad autorizadas.

La compañía prometió abrirlo de forma progresiva al resto de clientes de ese programa, y GPT-5.6 Cyber quedó disponible para todos ellos. El paquete incluye controles: lista de direcciones IP permitidas para la API de Daybreak Red, monitoreo de acciones para comprobar que coinciden con la autorización del cliente y revisión automática de interacciones en busca de uso indebido.

OpenAI anunció también un fondo de US$1,000 millones en acceso subvencionado para equipos con pocos recursos que protegen servicios esenciales, con un grupo especial para infraestructura crítica evaluado junto a la firma Dragos.

Para un administrador de sistemas en Santo Domingo o en Santiago, el cambio es de tiempos: una máquina ya revisa en días un código que a un equipo humano le tomaba meses, y los parches llegan con esa velocidad o no llegan. Firefox 159 salió el 27 de octubre con decenas de arreglos de gravedad alta; quien siga con una versión vieja del navegador conserva abiertos fallos que ya tienen corrección publicada.

Fuente: OpenAI