El control más fuerte de GPT-6 Cyber es la cuenta que accede: trátala como acceso privilegiado
El modelo de ciberseguridad de OpenAI llega tras Daybreak Red, con llaves FIDO2 y dispositivos gestionados. Su system card muestra dónde falla aún, algo que importa a los defensores.
Escuche este artículo · 5 min
Narración completa del artículo, generada con IA.
La frase más útil de la system card de GPT-6 Cyber no es un benchmark. Es la lista de cosas que una organización debe tener antes de poder usar el modelo: SSO, autenticación multifactor, dispositivos gestionados, acceso con privilegios mínimos y, para investigadores individuales, una llave de hardware FIDO2. El acceso a la API está en listas de IP permitidas por defecto.
Esa lista dice a los responsables de seguridad dónde está ahora el riesgo real. Un modelo creado para escribir exploits es tan seguro como la cuenta que puede llegar a él.
Lo que OpenAI lanzó
GPT-6 Cyber es una variante de GPT-6 Astra entrenada con posterioridad para trabajo de seguridad autorizado: descubrimiento de vulnerabilidades, desarrollo de exploits y pruebas de penetración web. OpenAI lo entrenó con aprendizaje por refuerzo en tareas como reproducir fallos y buscar defectos en bases de código, y lo recompensó por negarse con menos frecuencia cuando la solicitud es legítima. Bajo el Preparedness Framework de OpenAI tiene la misma designación que Astra: Critical en ciberseguridad.
El acceso pasa por Daybreak Red, el programa de acceso restringido de OpenAI para este tipo de trabajo, con verificación de identidad y restricciones de uso además de los requisitos organizativos anteriores. Varios guardrails están alrededor del modelo, no dentro de él:
| Control | Qué hace | Quién debe ejecutarlo | |
|---|---|---|---|
| Requisitos de cuenta | SSO, MFA, dispositivos gestionados, FIDO2 para individuos, listas de IP permitidas | Los equipos de identidad y endpoint del cliente | |
| Monitorización de compromisos | Vigila claves de API y tokens de inicio de sesión de ChatGPT en busca de toma de control | OpenAI | |
| Bloqueos temáticos | Se niega a ofrecer ayuda de alto riesgo sobre controles industriales, servicios esenciales y sistemas electorales | OpenAI, probado con Dragos | |
| Private Safety Processing | Registros de seguridad cifrados que el cliente conserva durante 30 días | Compartido; normalmente se exige con Zero Data Retention | |
| Monitorización de agentes | Las ejecuciones de Codex pueden pausarse para confirmación o terminarse | OpenAI |
Vuelva a leer la primera fila. El control que OpenAI no puede operar por usted es el que decide quién entra.
El inicio de sesión es ahora una capacidad ofensiva
La mayoría de las empresas clasifica el acceso a un modelo de IA como una licencia de software. Para este modelo, esa clasificación es errónea. Una sesión robada de una cuenta de Daybreak Red es un servicio de desarrollo de exploits robado, y la propia decisión de OpenAI de monitorizar cuentas comprometidas indica que espera intentos.
Eso sitúa a GPT-6 Cyber en el mismo nivel que los derechos de administrador de dominio o las claves de firma de producción. En la práctica:
- Póngalo detrás de la gestión de acceso privilegiado. Cuentas nominativas, propósito aprobado, sesiones con límite de tiempo y una revisión cada trimestre de quién tiene acceso, el tipo de control que DORA exige a las entidades financieras para la gestión del riesgo de las TIC desde enero de 2025 y que cabe esperar en cualquier sistema privilegiado.
- Vincúlelo a hardware gestionado. Los requisitos de FIDO2 y dispositivos gestionados existen para individuos; applíquelos también a cada usuario del equipo.
- Registre el trabajo, no solo el inicio de sesión. Los registros de seguridad cifrados de 30 días son de OpenAI. Su propio registro de qué encargo, qué objetivo y qué carta de autorización sirvió cada sesión es lo que pedirá una revisión de incidentes.
- Mantenga la carta de alcance junto al prompt. Las pruebas autorizadas dependen de una autorización por escrito para un objetivo. Un modelo que se niega menos ante solicitudes legítimas convierte ese rastro documental en lo único que separa una prueba de un ataque.
Hicimos un planteamiento similar cuando Google dio Gemini 4 Carbon primero a los defensores de ciberseguridad: la puerta de acceso es parte del producto. GPT-6 Cyber va un paso más allá y traslada parte de esa puerta al comprador.
Lo que el modelo todavía no puede hacer
La system card también es inusualmente directa sobre los límites, y los defensores deberían leerlos con la misma calma que las capacidades.
En la adaptación interna de ExploitBench de OpenAI, el modelo logró ejecución de código arbitraria en el 42% de los intentos de media en objetivos V8 y Chrome, frente al 39% de Astra. OpenAI señala que el benchmark usa vulnerabilidades que se remontan a 2023, lo que puede inflar los resultados por contaminación de los datos de entrenamiento. En pruebas externas de Irregular, ni GPT-6 Cyber ni Astra tuvieron éxito contra objetivos totalmente endurecidos, y ninguno resolvió los 15 desafíos más difíciles. En programación general no supera a Astra.
Así que el modelo no cambia el valor de aplicar parches y endurecer. Cambia la velocidad a la que una debilidad conocida se convierte en exploits funcionales, que es la tendencia que describimos cuando la IA de Anthropic construyó cadenas de exploit completas. Los sistemas endurecidos y parcheados siguen siendo difíciles. Los sistemas que pasan meses sin parchear se vuelven más baratos de atacar para cualquiera con acceso a herramientas como esta.
La pregunta para el equipo de seguridad
Siguen dos preguntas, y corresponden a personas distintas. El equipo de red team se pregunta si GPT-6 Cyber hace más rápidos sus encargos. El equipo de identidad tiene que responder quién puede tener un inicio de sesión de Daybreak Red, en qué dispositivo y cómo sabría la empresa en una hora si alguien lo usara indebidamente. Si la segunda respuesta es débil, la primera no importa.