El 5 de noviembre de 2026 OpenAI presentó GPT-6 Cyber, una versión de GPT-6 entrenada específicamente para la investigación en seguridad: encontrar vulnerabilidades, demostrar que se pueden explotar y ayudar a escribir las correcciones. No está disponible en ChatGPT. El acceso se limita a equipos de seguridad verificados mediante el programa Daybreak de OpenAI. Es el segundo modelo de este tipo en dos semanas, tras Gemini 4 Carbon de Google, y confirma una tendencia: los modelos de IA más capaces se entregan ahora primero a quienes defienden.
Los resultados de los benchmarks
Fuente: OpenAI, 5 de noviembre de 2026. GPT-6 Astra con las protecciones estándar rechaza estas tareas, por eso obtiene 0 %. Daybreak Blue es el nivel de acceso de OpenAI para defensores verificados.
En una nueva prueba de test de intrusión web sin acceso al código fuente, GPT-6 Cyber encontró el 40,3 % de las vulnerabilidades, frente al 32,0 % de GPT-6 Astra. En otro benchmark nuevo, RemoteExploitBench, que usa fallos conocidos de aplicaciones reales como GitLab, PostgreSQL y Jenkins, GPT-6 Cyber completó el 95 % de las tareas, mientras que GPT-6 Astra las rechazó todas.
Lo que ya ha encontrado
GPT-6 Cyber en el mundo real
948 exploits funcionales
Reprodujo 1.724 vulnerabilidades del kernel y escribió exploits de escalada de privilegios funcionales para 948, más de cinco veces los 166 de GPT-5.6 Sol con el mismo entorno. OpenAI comunicó 304 hallazgos críticos a los mantenedores.
81 nuevos fallos graves
Además de 30 problemas conocidos que resultaron ser más graves de lo indicado. Mozilla ya ha publicado correcciones para muchos de ellos.
Ejecución remota de código demostrada
Una librería de compresión que usan Node.js y otros programas.
Equipos de seguridad en producciónAhora
Entre los usuarios citados están Mozilla, Cisco, CrowdStrike, Palo Alto Networks, SentinelOne, Perplexity y CodeRabbit.
Quedarse dentro de los límites
El riesgo de un agente de seguridad no es solo lo que sabe hacer, sino si hace únicamente lo que se le pide. OpenAI creó una prueba llamada ExploitGym Honeypot: el modelo recibe una tarea difícil y algunos servicios fáciles de atacar pero explícitamente fuera de su alcance. GPT-6 Cyber dejó en paz esos servicios en el 99,93 % de los intentos sin su instrucción de despliegue (GPT-5.6 Cyber: 94,49 %) y en el 100 % con ella. OpenAI también exige una lista de IP autorizadas para el acceso por API a Daybreak Red, vigila las credenciales robadas y añade controles contra ataques a infraestructuras críticas como la electricidad y el agua.
GPT-6 Cyber frente a Gemini 4 Carbon
GPT-6 Cyber
OpenAI, 5 de noviembre- Pensado para
- encontrar, explotar y corregir vulnerabilidades
- Acceso
- clientes de Daybreak Red seleccionados mediante la API y Codex, y después todos los de Daybreak Red
- Lo destacado
- 48,5 % en ExploitGym, 948 exploits de Linux
- Modelo especializado con entrenamiento específico para no salirse del alcance
Una herramienta para equipos de seguridad, no un asistente general.
Gemini 4 Carbon
Google, 28 de octubre- Pensado para
- un modelo general de frontera, entregado primero a los ciberdefensores
- Acceso
- ciberdefensores y después el programa de socios Fairwind
- Lo destacado
- primero en el índice de Artificial Analysis con 59,4; 71 % en CWE-bench
- También es el modelo general más potente en las pruebas públicas
Se espera que más adelante sea un modelo de uso general.
Qué significa para los equipos de datos
Probablemente nunca usarás GPT-6 Cyber. Pero los sistemas de los que dependen los equipos de datos, como PostgreSQL, Jenkins, GitLab, los servidores de notebooks y las librerías de código abierto, son justo lo que estos modelos están aprendiendo a atacar. OpenAI habla de una "ventana limitada" en la que los defensores pueden usar estos modelos antes de que los atacantes tengan otros parecidos. Pasos prácticos:
- 1
Parchea más rápido
Reduce el tiempo entre una versión de seguridad y tu actualización, sobre todo en bases de datos, servidores de CI y todo lo expuesto a internet.
- 2
Sabe qué tienes
Mantén una lista de las versiones de PostgreSQL, Spark, Airflow, Jenkins y librerías de Python en producción para reaccionar rápido a los avisos.
- 3
Quita la exposición pública
Pon los puertos de bases de datos, los servidores de notebooks y las consolas de administración detrás de una VPN o una red privada.
- 4
Da permisos mínimos a los agentes
Si usas agentes de IA en tu plataforma de datos, sigue nuestra lista de comprobación para proteger agentes de IA.
- 5
Usa la IA sobre tu propio código
Los modelos generales ya ayudan a revisar código y encontrar fallos; pídeles que revisen tus pipelines y tu SQL en busca de inyecciones y secretos.
Pon a prueba lo que has aprendido
1/3¿Dónde se puede usar GPT-6 Cyber?
El acceso empieza con clientes de Daybreak Red seleccionados mediante la API y Codex.
2/3¿Qué resultado obtuvo GPT-6 Cyber en ExploitGym?
Es una mejora relativa del 51 % frente a GPT-5.6 Cyber.
3/3¿Cuál es la lección principal para quien gestiona bases de datos y servidores de CI?
Modelos como este acortan el tiempo entre el descubrimiento y la explotación.
Has acertado 0 de 3.
Relacionado: Gemini 4 Carbon explicado, los mejores modelos de IA de noviembre de 2026 y cuando los agentes de IA se salen del guion.
Fuentes: OpenAI, "GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents" (5 de noviembre de 2026) y su system card; artículos de Fortune y TechCrunch (5 de noviembre de 2026); Google DeepMind y Artificial Analysis sobre Gemini 4 Carbon (del 28 de octubre al 3 de noviembre de 2026).
Alessandro Ecclesie AgazziEscrito por Alessandro Ecclesie Agazzi, analytics engineer en Londres. Actualizado el 9 de noviembre de 2026. Sobre mí