GPT-6 Cyber de OpenAI halló 81 fallos en Firefox y creó 948 exploits de Linux

OpenAI ha lanzado GPT-6 Cyber, un modelo de inteligencia artificial especializado en buscar fallos de seguridad en el software, y sus primeros resultados públicos son sorprendentes: 81 vulnerabilidades desconocidas en Firefox y 948 exploits funcionales para el kernel de Linux.

Anunciado el jueves 5 de noviembre de 2026, encuentra debilidades, crea ataques funcionales contra ellas y propone soluciones. OpenAI califica sus capacidades como «críticas» y solo lo ofrece a clientes aprobados.

Puntos Clave

• OpenAI lanzó GPT-6 Cyber el 5 de noviembre de 2026, un modelo creado para encontrar fallos de software, desarrollar exploits funcionales y proponer parches.
• En Firefox, encontró 81 vulnerabilidades desconocidas de alta gravedad según Mozilla, y señaló 30 problemas conocidos como más graves de lo pensado.
• En el kernel de Linux, reprodujo 1.724 vulnerabilidades y creó exploits de escalada de privilegios para 948 de ellas, más de cinco veces los 166 de GPT-5.6.
• OpenAI comunicó 304 hallazgos críticos a los responsables de Linux con parches propuestos; la campaña costó alrededor de 1,2 millones de dólares en computación.
• Obtuvo un 48,5 % en ExploitGym, frente al 32,1 % de GPT-5.6 Cyber, y su acceso está limitado a clientes seleccionados de Daybreak Red.

Qué Pasó

GPT-6 Cyber es un modelo de seguridad creado para un propósito específico. A diferencia de los chatbots de uso general, analiza software como un investigador humano experto: lee código, sigue el flujo de datos, crea entradas que provocan fallos y los convierte en exploits funcionales.

En la primera campaña, se aplicó a Mozilla Firefox y encontró 81 vulnerabilidades desconocidas, todas de alta gravedad según Mozilla. Por cada una, aportó pruebas, una prueba reproducible y un parche propuesto, y Mozilla ya distribuye las correcciones. También revisó 30 problemas conocidos y concluyó que eran más graves de lo informado.

La segunda campaña se dirigió al kernel de Linux, el núcleo del sistema operativo de la mayoría de los servidores, la nube y los teléfonos Android. GPT-6 Cyber reprodujo 1.724 vulnerabilidades y desarrolló exploits de escalada de privilegios para 948 de ellas. Un exploit así permite a un atacante con acceso limitado tomar el control total de una máquina. OpenAI indicó que la campaña costó alrededor de 1,2 millones de dólares en computación, unos 1.279 dólares por exploit funcional.

Antecedentes y Contexto

Los investigadores llevan mucho tiempo usando herramientas automatizadas para encontrar fallos, desde programas que introducen datos aleatorios hasta analizadores que buscan patrones conocidos. Los grandes modelos de IA cambian el panorama porque razonan sobre código desconocido, formulan hipótesis sobre dónde puede esconderse un fallo y se adaptan cuando un intento fracasa. Eso los hace mucho más eficaces que las herramientas anteriores, pero también más capaces en las manos equivocadas.

El salto desde GPT-5.6 Cyber es notable: en la misma configuración con Linux, el modelo anterior produjo 166 exploits; GPT-6 Cyber, 948. En ExploitGym, un benchmark de explotación de fallos reales, obtuvo un 48,5 %, frente al 32,1 %. En un nuevo benchmark de penetración web, logró un 40,3 %, frente al 32 % de GPT-6 Astra.

GPT-6 Cyber: Qué Puede Hacer el Modelo de Seguridad de OpenAI

El modelo realiza tres tareas que los equipos de seguridad hacen a mano: descubrir fallos en grandes bases de código que nadie ha notado, demostrar que un fallo es real construyendo un ataque funcional, y redactar un parche que cierre el agujero sin romper el software.

Esa combinación importa porque encontrar un fallo es solo la mitad del trabajo: un informe que no se puede reproducir es fácil de ignorar para un equipo ocupado. Al aportar una prueba reproducible y una corrección propuesta, como hizo con Mozilla, GPT-6 Cyber convierte una sospecha en algo sobre lo que un equipo puede actuar de inmediato. Mozilla ya ha empezado a distribuir correcciones.

La misma capacidad que ayuda a los defensores también ayuda a los atacantes: un modelo que encuentra un fallo y construye un exploit también puede hacerlo sin avisar a nadie. Esa doble naturaleza es la razón por la que OpenAI no lanza GPT-6 Cyber de forma abierta, y por la que el acceso incluye verificaciones de identidad, requisitos de seguridad organizativa y listas blancas de IP en la API.

Reacciones y Declaraciones

OpenAI presenta GPT-6 Cyber como una herramienta defensiva, para ayudar a quienes protegen el software. La compañía subrayó que los hallazgos sobre Firefox se compartieron con Mozilla con pruebas, tests y parches, y los de Linux con los responsables de la misma manera, con 304 problemas críticos comunicados.

Mozilla empezó a distribuir correcciones, tratándolos como hallazgos genuinos y graves. Es probable que la comunidad de seguridad se divida: los defensores celebrarán una herramienta más rápida que los equipos humanos, mientras los críticos preguntarán si un modelo tan capaz debería existir y si los controles de OpenAI bastan.

Por Qué Importa

Firefox y Linux no son software marginal: Firefox lo usan cientos de millones de personas, y el kernel de Linux mueve la mayoría de los servidores del mundo, gran parte de la nube y el Android de miles de millones de teléfonos. Ochenta y un fallos de alta gravedad en Firefox, hallados por un solo modelo en una campaña, demuestran que incluso el software bien mantenido puede esconder debilidades graves.

Las cifras de Linux son aún más llamativas: casi mil exploits funcionales por unos 1.279 dólares cada uno sugieren que el coste de encontrar fallos explotables cae con rapidez. Para los defensores, es una buena noticia. Pero el periodo entre el descubrimiento y el parcheo es el más peligroso, y esa ventana puede cerrarse más rápido de lo que el parcheo puede seguir.

Qué Sigue

El paso inmediato es el parcheo. Mozilla ha empezado a distribuir correcciones para Firefox, y los responsables de Linux trabajan en los 304 hallazgos críticos comunicados por OpenAI.

A más largo plazo, la pregunta es hasta qué punto se desplegarán GPT-6 Cyber y los modelos similares. OpenAI lo ofrece solo por su API y Codex a clientes aprobados que superan verificaciones de identidad y cumplen requisitos de seguridad. Si esa lista crece, marcará la velocidad con la que el sector adopte la investigación de vulnerabilidades con IA. Para más información, consulte nuestro informe sobre los ingresos de Anthropic de 17.000 millones de dólares en el tercer trimestre y el cargo de 10.700 millones de dólares de AMD por los warrants de OpenAI y Meta.

Preguntas Frecuentes

¿Qué es GPT-6 Cyber?
GPT-6 Cyber es un modelo de IA de OpenAI, lanzado el 5 de noviembre de 2026, para encontrar fallos de seguridad, desarrollar exploits funcionales y proponer parches.

¿Cuántos fallos de Firefox encontró?
Encontró 81 vulnerabilidades desconocidas, todas de alta gravedad según Mozilla, y señaló 30 problemas conocidos como más graves de lo informado.

¿Qué hizo con el kernel de Linux?
Reprodujo 1.724 vulnerabilidades y creó exploits de escalada de privilegios para 948 de ellas, más de cinco veces los 166 de GPT-5.6.

¿Cuánto costaron las pruebas con Linux?
Alrededor de 1,2 millones de dólares en computación, unos 1.279 dólares por exploit funcional, según OpenAI.

¿Puede usar cualquiera GPT-6 Cyber?
No. OpenAI solo lo ofrece por su API y Codex a clientes aprobados de Daybreak Red, con verificaciones de identidad, requisitos de seguridad y listas blancas de IP.