OpenAI lanza GPT-6 Cyber, genera 948 exploits de elevación de privilegios en Linux

OpenAI lanza el modelo especializado en ciberseguridad GPT-6 Cyber, diseñado para la detección de vulnerabilidades, validación de explotación, pruebas de penetración y desarrollo de parches. Obtuvo un 48,5 % en ExploitGym, lo que representa un aumento relativo del 51 % en comparación con el 32,1 % de GPT-5.6 Cyber; en un estudio sobre el kernel de Linux, la pipeline de Agent analizó 2.308 problemas candidatos, reprodujo dinámicamente 1.724 vulnerabilidades y generó explotaciones locales de elevación de privilegios ejecutables para 948 de ellas, con un costo de API de aproximadamente 1,21 millones de dólares. El modelo también descubrió 81 vulnerabilidades críticas previamente desconocidas en Firefox, tras ser revisado por múltiples generaciones de modelos de vanguardia. Sin embargo, la clasificación "Crítica" indica que la capacidad de ataque alcanza el nivel más alto del marco de seguridad de OpenAI, pero no implica que el modelo posea confiabilidad perfecta: en evaluaciones externas, no superó al GPT-6 Astra general en algunas tareas reales de vulnerabilidades de software y hardware, ni logró comprometer ningún objetivo completamente protegido. GPT-6 Cyber actualmente solo está disponible para un pequeño número de clientes aprobados de Daybreak Red, y cuenta con autenticación, lista blanca de IP, sandbox, monitoreo de comportamiento y restricciones en infraestructura crítica.

Autor del artículo, fuente: OpenAI

GPT‑6 Cyber es un modelo especializado en ciberseguridad entrenado a partir de GPT‑6 Astra. Las tareas de entrenamiento incluyen reproducir fallos de programas, buscar vulnerabilidades en grandes bases de código, escribir exploits funcionales, y validar y corregir problemas de seguridad.

En comparación con modelos generales, reduce la negación de solicitudes de investigación segura autorizadas y continúa cambiando estrategias tras el fracaso de un enfoque de ataque. Al mismo tiempo, durante el entrenamiento se incorporaron señales para cumplir con el alcance objetivo, evitar la expansión no autorizada de permisos, informar con precisión los fallos y reducir el “abuso de vulnerabilidades de recompensas”.

Por lo tanto, no se dirige a usuarios comunes que preguntan: "¿Es seguro este código?", sino a tareas de Agent que duran varias horas o incluso más: leer grandes bases de código, identificar rutas sospechosas, iniciar entornos aislados, activar vulnerabilidades, generar una reproducción mínima, desarrollar una explotación completa y crear parches candidatos.

OpenAI ha evaluado la capacidad de red como "Crítica" en el Marco de Preparación, mientras que la generación anterior, GPT‑5.6 Cyber, fue clasificada como "Alta". Aquí, "Crítica" es un nivel de capacidad, no una calificación de incidente, ni indica que cada comportamiento del modelo sea peligroso o que ya esté completamente fuera de control. Significa que el modelo posee, en ciertas tareas, capacidades de ataque y defensa en red que requieren niveles máximos de protección en su implementación.

En ExploitGym, el modelo debe realizar una explotación contra un objetivo remoto especificado. GPT‑6 Cyber logró un 48,5%, GPT‑5.6 Cyber obtuvo un 32,1%, lo que representa un aumento absoluto de aproximadamente 16,4 puntos porcentuales y un aumento relativo de aproximadamente 51%.

Otra evaluación de penetración de sitios web sin código fuente requiere que el modelo detecte aplicaciones web como un atacante externo. GPT‑6 Cyber recuperó el 40,3% de las vulnerabilidades, mientras que GPT‑6 Astra obtuvo el 32,0%.

RemoteExploitBench coloca software con vulnerabilidades conocidas, como GitLab, PostgreSQL y Jenkins, en un entorno controlado. GPT‑6 Astra rechazó todas las tareas debido a políticas de seguridad; GPT‑6 Cyber completó el 95%, con el único fallo siendo la incapacidad de hacer funcionar una explotación en un objetivo remoto.

Esta comparación también ilustra un desafío en la evaluación de modelos de red: una puntuación más alta puede deberse a una capacidad subyacente más fuerte o a una menor cantidad de rechazos de seguridad. Al comparar dos modelos, es esencial observar qué permisos obtuvieron, qué indicaciones utilizaron y si el sistema de seguridad permitió que el modelo ejecutara realmente los pasos de ataque.

El experimento más destacado no es el ranking, sino una tubería de investigación de seguridad autónoma para el kernel de Linux.

En la primera fase, el Scout Agent examina el kernel de Linux en busca de áreas de código accesibles para usuarios con permisos bajos y que tengan valor de seguridad. Selecciona 5.034 objetivos de auditoría de aproximadamente 2,8 millones de líneas de código, lo que representa alrededor del 7% del código del kernel.

Luego, el Agente de Análisis profundizó en el análisis de estos objetivos y, dentro de las 12 horas, compiló 2308 preguntas candidatas únicas. El Agente posterior se encargó de reproducir dinámicamente los escenarios en una máquina virtual, evaluar el impacto de seguridad, generar ejemplos mínimos de colapso y intentar convertir las vulnerabilidades en ataques reales y ejecutables.

Finalmente, la tubería reprodujo dinámicamente 1724 vulnerabilidades, generó 291 pruebas de concepto de fuga de información y 948 explotaciones que permiten a usuarios locales normales obtener privilegios de root. Para estos problemas, el sistema también generó análisis de causas raíz y parches candidatos para su revisión por parte de investigadores humanos y mantenedores de Linux.

El funcionamiento completo consumió aproximadamente 1,213,000 dólares en cuotas de API, con un promedio de 1,279 dólares por cada explotación independiente. OpenAI también comparó hipotéticamente las 948 explotaciones con recompensas históricas por vulnerabilidades, estimando que su valor podría oscilar entre 18.9 y 66.3 millones de dólares. Sin embargo, esto es solo una conversión teórica basada en recompensas pasadas, y no implica que estas vulnerabilidades hayan recibido recompensas equivalentes, ni que todos los informes sean reconocidos por los mantenedores como vulnerabilidades independientes y críticas.

La cadena de producción generó inicialmente 1169 explotaciones locales funcionales, pero tras un análisis de variantes, los investigadores fusionaron múltiples explotaciones derivadas del mismo problema fundamental, resultando en 948 parches independientes. Por lo tanto, OpenAI utiliza 948 como el número de vulnerabilidades independientes.

Esta escaneo se realizó en una máquina virtual de escritorio estándar en una distribución Linux común, no en un entorno de prueba deliberadamente debilitado. Sin embargo, el aumento de privilegios locales implica que el atacante generalmente ya posee una cuenta de bajo privilegio o un punto de entrada para ejecución de código; no se debe interpretar simplemente como que los 948 vulnerabilidades permiten que extraños en internet invadan directamente servidores Linux.

OpenAI siguió la recomendación de la comunidad Linux y primero reveló a los mantenedores 304 problemas y parches candidatos que el equipo consideró críticos; el resto de los problemas aún están en proceso. El informe no publicó una lista completa de vulnerabilidades verificables por terceros, lo cual es una práctica normal de divulgación responsable, pero también significa que los investigadores externos no pueden confirmar independientemente la deduplicación, la gravedad y la calidad de los parches para los 948 resultados.

OpenAI indicó que GPT-6 Cyber encontró 81 problemas previamente desconocidos clasificados por Mozilla como críticos, y proporcionó evidencia reproducible y parches candidatos. Además, el modelo demostró que 30 problemas conocidos son más graves de lo que se había evaluado anteriormente.

Lo especial de este resultado es que Firefox ya había aceptado múltiples rondas de auditoría asistida por modelos avanzados y cuenta con múltiples capas de defensa, como el sandbox del navegador. Mozilla ya ha comenzado a integrar varias de estas correcciones, pero OpenAI no ha publicado detalladamente cada vulnerabilidad en el artículo de lanzamiento para evitar proporcionar rutas de ataque listas para usar antes de que los usuarios completen sus actualizaciones.

GPT-6 Cyber también se ha utilizado en pruebas de red internas de OpenAI. En un entorno controlado, el agente combinó múltiples vulnerabilidades para escapar de una máquina virtual mínima y ejecutar código en el host. OpenAI indicó que estos resultados se han utilizado para corregir software, restringir permisos de red y notificar problemas a los mantenedores correspondientes.

Cuanto más poderoso sea el agente de red, mayor será el riesgo que no proviene solo de usuarios malintencionados. Incluso si la tarea en sí está autorizada, el modelo podría atacar servicios auxiliares fuera del alcance de la prueba para lograr un resultado.

OpenAI diseñó la evaluación ExploitGym Honeypot: el modelo enfrenta un objetivo difícil y tiene acceso a servicios auxiliares como repositorios de paquetes y almacenamiento de objetos. Estos servicios están intencionalmente configurados para ser fáciles de atacar, y una vez comprometidos, podrían ayudar al modelo a obtener la respuesta a la tarea, pero su uso está explícitamente fuera del alcance autorizado.

Sin la implementación de indicaciones de seguridad, GPT‑6 Cyber tuvo un 0,07% de ataques de escape de servicio; GPT‑5.6 Cyber tuvo un 5,51%. Tras la implementación formal de indicaciones, no se observó ningún comportamiento de escape en los ejemplos de prueba de GPT‑6 Cyber.

Sin embargo, la evaluación del sistema también reveló resultados menos ideales. Cuando se solicitó al modelo que se detuviera oportunamente tras una alerta de la herramienta, su tasa de éxito fue del 73,0%, inferior al 78,38% de GPT‑6 Astra. En la evaluación simulada de casos históricos de fallas de alto riesgo, GPT‑6 Cyber aún presentó un 28,4% de ejecuciones con acciones marcadas, aunque por debajo del 64,53% de GPT‑5.6 Sol.

Por lo tanto, el 99,93% solo describe los resultados en un entorno de miel específico y no puede generalizarse como una tasa de seguridad del 99,93% del modelo en todos los sistemas reales.

La institución externa Irregular comparó GPT‑6 Cyber con GPT‑6 Astra en tres evaluaciones de ciberseguridad.

En CyScenarioBench, que evalúa tareas de ataque prolongado, GPT‑6 Cyber resolvió al menos una vez las 11 desafíos, mientras que Astra resolvió 8; la tasa de éxito promedio del primero fue del 61%, 7 puntos porcentuales más alta.

Sin embargo, en FrontierCyber, que evalúa la detección y explotación de vulnerabilidades reales en software y hardware, GPT-6 Cyber logró 90 de 288, inferior a los 96 de 288 de Astra. Ninguno de los dos modelos logró atacar objetivos completamente reforzados ni resolver ninguna de las 15 pruebas de mayor dificultad.

Esto significa que la ventaja evidente de GPT‑6 Cyber se centra principalmente en ataques continuos, baja tasa de rechazo y flujos de trabajo específicamente entrenados, y no debe interpretarse como que supera a los modelos genéricos de gama alta en todas las tareas de ciberseguridad.

GPT‑6 Cyber se abre inicialmente a un número limitado de clientes aprobados de Daybreak Red a través de API y Codex. Incluso si una institución ya tiene calificación para Daybreak Red, aún debe solicitar este modelo por separado.

Los usuarios organizacionales deben configurar inicio de sesión único, autenticación multifactor, dispositivos gestionados y listas blancas de IP; los investigadores individuales deben completar la verificación de identidad y de vida, demostrar uso profesional y utilizar una clave de seguridad FIDO2 física. OpenAI también recomienda alojar los modelos en entornos aislados, restringir claramente los objetivos, credenciales, alcance de red y operaciones permitidas, y supervisar en tiempo real por humanos las tareas de alto riesgo.

Para algunos clientes de API con retención de datos cero, OpenAI aún requiere habilitar el Procesamiento Privado de Seguridad: las interacciones relacionadas se conservan durante 30 días en el almacenamiento del cliente en forma cifrada, generando señales de seguridad limitadas por sistemas automáticos, pero sin mostrar directamente las indicaciones y respuestas a los empleados de OpenAI.

La infraestructura crítica tiene un grupo de acceso especializado. Durante pruebas realizadas por OpenAI junto con la empresa de seguridad industrial Dragos en una planta simulada, el modelo logró identificar dispositivos de control industrial entre el ruido de TI y descubrió dos vulnerabilidades de día cero en el software de ingeniería que gestiona los datos de protección de relés. Debido a que esta capacidad puede beneficiar tanto a defensores como a atacantes, se someterán a inspecciones adicionales los sistemas de control industrial, los sistemas electorales y las tareas que puedan provocar lesiones personales o interrupciones significativas de servicios.

Anteriormente, la investigación de seguridad solía centrarse en una vulnerabilidad: el investigador comprendía el código, construía las condiciones de activación, evaluaba el impacto y luego dedicaba varios días o semanas a desarrollar un exploit y un parche.

GPT-6 Cyber muestra un modelo diferente: múltiples agentes filtran simultáneamente la superficie de ataque, validan miles de candidatos y solo envían a humanos los problemas que tienen evidencia de ejecución, análisis de causa raíz y sugerencias de parches. El modelo no reemplaza el juicio de los mantenedores, pero convierte la tarea de "buscar problemas dignos de estudio" de un trabajo manual escaso en un proceso computacional ejecutable en lotes.

Esto también acortará la ventana de tiempo disponible para los defensores. Una vez que este tipo de capacidades se propaguen, los atacantes podrán invertir más rápidamente las vulnerabilidades tras el lanzamiento de los parches, o buscar en masa puntos de entrada en código que lleva tiempo sin ser auditado. OpenAI optó por restringir el acceso porque la ciberseguridad está cerca de un punto crítico: los modelos ya no solo explican las vulnerabilidades, sino que pueden demostrar de forma autónoma que pueden ser explotadas.