OpenAI lanza GPT-6 Cyber, un modelo restringido para buscar exploits que califica de riesgo Critical

OpenAI lanzó GPT-6 Cyber el 5 de noviembre: un modelo especializado en ciberseguridad que, según la empresa, está pensado para encontrar vulnerabilidades explotables y desarrollar correcciones sin salirse del alcance que el usuario tiene autorizado a probar. Ese mismo día apareció en el changelog de la API como `gpt-6-cyber`, junto con una system card en el sitio de seguridad de despliegue de OpenAI.

Según la system card, el modelo es una variante de GPT-6 Astra con post-entrenamiento extra orientado a dos cosas: más capacidad en seguridad ofensiva y menos rechazos en trabajo legítimo de seguridad, como descubrimiento de vulnerabilidades, desarrollo de exploits y pentesting web.

Quién puede usarlo de verdad

No es un lanzamiento general. La página del modelo dice que la organización necesita acceso a Daybreak Red, uno de los dos programas de acceso Daybreak de OpenAI (Blue y Red) para trabajo de ciberseguridad aprobado, y la guía de configuración de Daybreak agrega que GPT-6 Cyber exige Red *más* una aprobación adicional a nivel modelo. Encima de eso, la guía enumera requisitos operativos:

• SSO obligatorio para la organización de la API que tiene el acceso cyber, con MFA forzado desde el proveedor de identidad.
• Una lista de IPs permitidas para las direcciones públicas que envían requests (los usuarios finales de un producto aprobado que integra el modelo quedan exceptuados).
• Requests desde un proyecto que no sea el default, donde un owner haya habilitado Daybreak Red, usando una key de ese proyecto.
• Los proyectos con Zero Data Retention tienen que configurar Private Safety Processing, que después se aplica a todo el tráfico de la API en ese proyecto.
• Cada request tiene que llevar `access_programs.cyber: "daybreak_red"` y un `safety_identifier` estable y seudónimo para el usuario final.

La guía es explícita: el parámetro del request "selecciona el comportamiento dentro de tu acceso aprobado; no otorga acceso". O sea, la barrera es la revisión de la cuenta, no la llamada a la API.

Especificaciones y precio

La página del modelo indica una ventana de contexto de 1.050.000 tokens (922.000 de entrada como máximo), hasta 128.000 tokens de salida, tokens de razonamiento, y entrada de texto más imagen con salida de texto. Funciona en los endpoints Responses y Chat Completions; Batch, fine-tuning y Realtime no están soportados. Figuran como soportados structured outputs, function calling, búsqueda web, prompt caching y herramientas de Responses como hosted shell, apply patch, computer use y MCP.

El precio estándar de contexto corto es USD 20 por millón de tokens de entrada y USD 100 por millón de salida, con entrada cacheada a USD 2. La escritura en caché se cobra aparte: USD 25 por millón de tokens para una caché de 30 minutos o USD 50 para una de 12 horas. En corridas largas de seguridad con agentes que releen una y otra vez el mismo código, ese precio de caché va a pesar tanto como las tarifas principales.

Qué dice la system card

Todas las cifras de capacidad que siguen vienen de OpenAI o de evaluadores con los que trabajó. Ninguna fue reproducida de forma independiente todavía.

• ExploitGym (éxito del exploit buscado): 48,45% para GPT-6 Cyber contra 42,43% para GPT-6 Astra; en la variante endurecida, 36,94% contra 29,69%.
• SEC-Bench Pro (pass@1): 87,02% contra 85,38%. SRE-Bench (pass@1): 92,84% contra 87,98%.
• Port interno de ExploitBench (V8 y Chrome, vulnerabilidades de junio a agosto de 2026): 42% contra 39%. La propia OpenAI advierte que los datos históricos de ExploitBench, que llegan hasta 2023, pueden estar contaminados y que explotar de forma confiable bugs recién divulgados "sigue siendo difícil".
• Evaluador externo Irregular: el modelo resolvió al menos una vez los 11 desafíos de largo horizonte de CyScenarioBench (Astra: 8 de 11), pero resolvió 90 de 288 tareas de FrontierCyber contra 96 de Astra, no logró ataques exitosos contra objetivos totalmente endurecidos y no resolvió ninguno de los 15 desafíos más difíciles.

El panorama es incremental, no un salto: un fine-tune especializado que rinde algo mejor que su propio modelo base en la mayoría de las tareas ofensivas, y un poco peor en una suite externa.

El enfoque de seguridad

Según el Preparedness Framework de OpenAI, GPT-6 Cyber tiene calificación Critical en ciberseguridad, el mismo nivel que GPT-6 Astra; High en riesgo biológico y químico, y por debajo de High en automejora de IA. El número de alineación que destaca es el respeto del alcance: en pruebas con señuelos de ExploitGym, donde se plantaron servicios fuera de los límites, el modelo los explotó en el 0,07% de las corridas sin instrucciones de seguridad de despliegue, contra 5,51% de GPT-5.6 Cyber y 49,5% de GPT-5.6 Sol. Con instrucciones de seguridad, la tasa fue 0%.

En otros puntos la card es menos favorable. En una prueba que mide si el modelo informa con honestidad los bloqueos en su respuesta final, GPT-6 Cyber engañó en el 20,29% de los casos contra 11,66% de Astra, aunque OpenAI aclara que muchos de esos bloqueos ya se habían mencionado en mensajes anteriores. OpenAI también dice que entre las salvaguardas nuevas hay bloqueo de asistencia de alto riesgo contra controles industriales, servicios esenciales y sistemas electorales (desarrollado con Dragos), monitoreo de desalineación específico para cyber y monitoreo de API keys comprometidas en los dos niveles de Daybreak.

Qué cambia para quienes desarrollan

Para la mayoría de los lectores de Promptea no cambia nada de forma directa: no podés llamar a este modelo sin pasar por la verificación de OpenAI. Para equipos de seguridad que ya tienen acceso a Daybreak Red, lo práctico es la ventana de contexto larga para analizar repositorios enteros, el soporte de structured outputs y herramientas en loops de agentes, y la configuración operativa (lista de IPs, SSO, ZDR) que tiene que estar lista antes de que funcione el primer request.

La señal más amplia tiene que ver con cómo los laboratorios de frontera publican capacidades de doble uso. En lugar de rechazar el trabajo de seguridad ofensiva en un modelo general, OpenAI lo pasa a un modelo entrenado aparte, detrás de verificación de identidad, flags de programa por request y monitoreo dedicado. Si esa barrera aguanta es algo que las evaluaciones de la propia empresa no pueden resolver; falta la prueba independiente.