Il 5 novembre 2026 OpenAI ha presentato GPT-6 Cyber, una versione di GPT-6 addestrata apposta per la ricerca sulla sicurezza: trovare vulnerabilità, dimostrare che si possono sfruttare e aiutare a scrivere le correzioni. Non è disponibile in ChatGPT. L'accesso è limitato a team di sicurezza verificati tramite il programma Daybreak di OpenAI. È il secondo modello di questo tipo in due settimane, dopo Gemini 4 Carbon di Google, e conferma una tendenza: i modelli AI più capaci ora vengono dati prima a chi difende.
I risultati dei benchmark
Fonte: OpenAI, 5 novembre 2026. GPT-6 Astra con le protezioni standard rifiuta questi compiti, quindi ottiene 0%. Daybreak Blue è il livello di accesso di OpenAI per i difensori verificati.
In un nuovo test di penetration testing web senza accesso al codice sorgente, GPT-6 Cyber ha trovato il 40,3% delle vulnerabilità contro il 32,0% di GPT-6 Astra. In un altro nuovo benchmark, RemoteExploitBench, che usa falle note in applicazioni reali come GitLab, PostgreSQL e Jenkins, GPT-6 Cyber ha completato il 95% dei compiti, mentre GPT-6 Astra li ha rifiutati tutti.
Cosa ha già trovato
GPT-6 Cyber nel mondo reale
948 exploit funzionanti
Ha riprodotto 1.724 vulnerabilità del kernel e scritto exploit di escalation dei privilegi funzionanti per 948, più di cinque volte i 166 di GPT-5.6 Sol con lo stesso sistema. OpenAI ha segnalato 304 casi critici ai maintainer.
81 nuovi bug gravi
Più 30 problemi noti dimostrati più gravi di quanto segnalato. Mozilla ha già rilasciato correzioni per molti di essi.
Esecuzione di codice remoto dimostrata
Una libreria di compressione usata da Node.js e da altri software.
Team di sicurezza in produzioneOra
Tra gli utenti citati ci sono Mozilla, Cisco, CrowdStrike, Palo Alto Networks, SentinelOne, Perplexity e CodeRabbit.
Restare entro i limiti
Il rischio di un agente di sicurezza non è solo ciò che sa fare, ma se fa soltanto ciò che gli è stato chiesto. OpenAI ha costruito un test chiamato ExploitGym Honeypot: il modello riceve un compito difficile più alcuni servizi facili da attaccare ma esplicitamente fuori perimetro. GPT-6 Cyber ha lasciato stare quei servizi nel 99,93% delle prove senza le sue istruzioni di deployment (GPT-5.6 Cyber: 94,49%) e nel 100% con le istruzioni. OpenAI richiede anche una lista di IP autorizzati per l'accesso API a Daybreak Red, controlla le credenziali rubate e aggiunge verifiche contro attacchi a infrastrutture critiche come reti elettriche e idriche.
GPT-6 Cyber contro Gemini 4 Carbon
GPT-6 Cyber
OpenAI, 5 novembre- Pensato per
- trovare, sfruttare e correggere vulnerabilità
- Accesso
- clienti Daybreak Red selezionati tramite API e Codex, poi tutti i clienti Daybreak Red
- In evidenza
- 48,5% su ExploitGym, 948 exploit Linux
- Modello specializzato con addestramento dedicato a restare nel perimetro
Uno strumento per team di sicurezza, non un assistente generico.
Gemini 4 Carbon
Google, 28 ottobre- Pensato per
- un modello generale di frontiera, dato prima ai difensori informatici
- Accesso
- difensori informatici, poi il programma di partner Fairwind
- In evidenza
- primo nell'indice di Artificial Analysis con 59,4; 71% su CWE-bench
- Anche il modello generale più forte nei test pubblici
Dovrebbe diventare un modello generico più avanti.
Cosa significa per i team dei dati
Probabilmente non userai mai GPT-6 Cyber. Ma i sistemi da cui dipendono i team dei dati, come PostgreSQL, Jenkins, GitLab, i server di notebook e le librerie open source, sono proprio ciò che questi modelli stanno imparando ad attaccare. OpenAI parla di una "finestra limitata" in cui chi difende può usare questi modelli prima che gli attaccanti ne abbiano di simili. Passi pratici:
- 1
Aggiorna più in fretta
Accorcia il tempo tra un rilascio di sicurezza e il tuo aggiornamento, soprattutto per database, server di CI e tutto ciò che è esposto su internet.
- 2
Sappi cosa usi
Tieni un elenco delle versioni di PostgreSQL, Spark, Airflow, Jenkins e delle librerie Python in produzione, per reagire in fretta agli avvisi.
- 3
Togli l'esposizione pubblica
Metti porte dei database, server di notebook e console di amministrazione dietro una VPN o una rete privata.
- 4
Dai permessi ristretti agli agenti
Se usi agenti AI sulla piattaforma dati, segui la nostra checklist per mettere in sicurezza gli agenti AI.
- 5
Usa l'AI sul tuo codice
I modelli principali aiutano già a rivedere il codice e trovare bug; chiedi loro di controllare pipeline e SQL per injection e segreti.
Verifica cosa hai capito
1/3Dove si può usare GPT-6 Cyber?
L'accesso inizia con clienti Daybreak Red selezionati tramite API e Codex.
2/3Quanto ha ottenuto GPT-6 Cyber su ExploitGym?
È un miglioramento relativo del 51% rispetto a GPT-5.6 Cyber.
3/3Qual è la lezione principale per chi gestisce database e server di CI?
Modelli come questo accorciano il tempo tra scoperta e sfruttamento.
Hai risposto correttamente a 0 domande su 3.
Correlati: Gemini 4 Carbon spiegato, i migliori modelli AI di novembre 2026 e quando gli agenti AI escono dal copione.
Fonti: OpenAI, "GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents" (5 novembre 2026) e la relativa system card; articoli di Fortune e TechCrunch (5 novembre 2026); Google DeepMind e Artificial Analysis su Gemini 4 Carbon (dal 28 ottobre al 3 novembre 2026).
Alessandro Ecclesie AgazziScritto da Alessandro Ecclesie Agazzi, analytics engineer a Londra. Aggiornato il 9 novembre 2026. Chi sono