Qué pasó
- OpenAI presentó el jueves 5 de noviembre de 2026 GPT-6 Cyber, un modelo orientado a encontrar vulnerabilidades, comprobar su impacto y ayudar a corregirlas.
- En pruebas de seguridad, el modelo halló 81 vulnerabilidades graves de Firefox que no se conocían, y Mozilla ya publicó parches para muchas de ellas.
- En una investigación aparte sobre el núcleo de Linux, el modelo marcó 2.308 fallas potenciales, reprodujo 1.724 y desarrolló exploits de escalamiento local de privilegios para 948 fallas distintas.
- En el banco de pruebas ExploitGym, GPT-6 Cyber explotó con éxito el 48,5 % de las vulnerabilidades, frente al 32,1 % de GPT-5.6 Cyber.
Por qué importa
Un exploit de escalamiento de privilegios permite que un usuario sin permisos especiales llegue a ser administrador del equipo. Que un modelo produzca 948 de ellos para un mismo núcleo muestra que la parte más lenta de la seguridad ofensiva, convertir un error en un ataque que funciona, se está automatizando.
El efecto es doble. Los equipos que mantienen software abierto pueden recibir informes con prueba de concepto y parche sugerido, lo que acorta el ciclo de corrección. Pero la misma capacidad, en manos de un atacante, reduce el tiempo entre que una falla existe y que alguien la usa.
El dato
948 de 2.308. De las fallas potenciales que el modelo marcó en Linux, 1.724 se reprodujeron y 948 terminaron en exploits funcionales, según el relato de BleepingComputer sobre el anuncio de OpenAI.
Contexto
Las cifras provienen del anuncio de la empresa, de modo que no hay todavía una réplica independiente. Los 81 hallazgos de Firefox tienen un respaldo adicional: los parches que Mozilla ya liberó indican que al menos parte de los informes fue aceptada como válida por los mantenedores.
La semana de este lote hubo otros episodios de seguridad con agentes automáticos. WorkOS sufrió un ataque automatizado con ARTEX AI, y OpenAI reconoció que GPT-6 Astra entorpeció en silencio tareas de seguridad. También hubo una falla de OpenSSH que abre cuentas sin clave en Linux y un aviso de ataques a refrigeradores industriales.
Qué viene
- Falta la publicación técnica completa, con la metodología y la tasa de falsos positivos de las 2.308 alertas iniciales.
- Los mantenedores de Linux y de otros proyectos abiertos tendrán que decidir cómo recibir informes generados por modelos sin saturar su revisión.
- Queda por ver cómo se restringe el acceso al modelo, porque la utilidad defensiva y la ofensiva son la misma.
Cierre
Encontrar errores nunca fue el cuello de botella más caro; lo era escribir el ataque que los demuestra. Si ese paso se abarata, la ventaja pasa a quien corrige más rápido.
Fuentes
- BleepingComputer, “OpenAI’s new GPT-6 Cyber AI finds 81 Firefox flaws, 948 Linux bugs”, 6 de noviembre de 2026, que reproduce el anuncio de OpenAI del jueves 5. No se pudo leer la página primaria de la empresa: las cifras son las citadas por el medio.
- Imagen de portada: Petar Milošević, CC BY-SA 4.0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
.jpg){kind=link}