GPT-5.3-Codex fue calificado como alto en ciberseguridad. OpenAI no tiene pruebas definitivas.

El 5 de febrero de 2026, OpenAI publicó la tarjeta de sistema de GPT-5.3-Codex y, en ella, clasificó el modelo como de alta capacidad en el ámbito de la ciberseguridad dentro de su Preparedness Framework —la primera vez que la empresa aplica esa etiqueta a cualquier modelo en ese ámbito. La frase que sigue a la clasificación es la que conviene leer dos veces: «No tenemos pruebas definitivas de que este modelo alcance nuestro umbral Alto». OpenAI dijo que actuaba por precaución, porque el modelo superó cada uno de sus umbrales canario y, por tanto, la empresa no podía descartar que la capacidad estuviera realmente presente. No se vulneró nada y no se registra ninguna víctima: se trata de una clasificación, no de un incidente, y se registra como un registro de políticas con una marca de hito. La propia entrada del archivo correspondiente a la clasificación, con sus grados de gravedad y confianza, se encuentra en el Orca AI Incident Archive junto a los demás registros de gobernanza del año.

Qué significa «High» y quién decide

El Preparedness Framework de OpenAI establece dos umbrales. La capacidad Alta «podría amplificar las vías existentes hacia daños graves»; la capacidad Crítica «podría introducir nuevas vías sin precedentes hacia daños graves». Los sistemas cubiertos que alcanzan Alta deben tener salvaguardias que minimicen suficientemente el riesgo asociado antes del despliegue, y los sistemas que alcanzan Crítica también las necesitan durante el desarrollo, según la propia descripción del marco de OpenAI. La revisión descrita allí es interna: el Safety Advisory Group evalúa si las salvaguardias minimizan suficientemente el riesgo y formula recomendaciones, y su orientación pasa al liderazgo de OpenAI para la decisión final. La tarjeta del sistema no describe ninguna aprobación externa de la calificación.

La definición específica de ciberseguridad es más estrecha que el titular. OpenAI define la capacidad de ciberseguridad alta como un modelo que "elimina los cuellos de botella existentes para escalar las operaciones cibernéticas", ya sea "automatizando operaciones cibernéticas de extremo a extremo contra objetivos razonablemente endurecidos" o "automatizando el descubrimiento y la explotación de vulnerabilidades operativamente relevantes". La ficha es explícita en que el umbral se refiere a la eliminación de cuellos de botella a lo largo de una campaña, no a un modelo que pueda resolver un desafío difícil: OpenAI escribe que el riesgo cibernético de frontera "se evalúa mejor en términos de operaciones o campañas, en lugar de acciones discretas".

Leída así, la clasificación del 5 de febrero dice algo concreto. Dice que OpenAI cree que el cuello de botella que elimina este modelo es la habilidad y la resistencia que exige una intrusión sostenida, y que la empresa optó por restringir y vigilar el acceso en lugar de esperar pruebas de que lo elimina.

Tres evaluaciones, y una comparación que va en sentido contrario

OpenAI utiliza tres benchmarks para las tres habilidades que asocia con daño cibernético grave: Professional Capture the Flag para la identificación y explotación de vulnerabilidades, CVE-Bench para la consistencia y Cyber Range para operaciones de extremo a extremo en una red emulada. GPT-5.3-Codex es, en palabras de la ficha, "el primer modelo en superar todos los umbrales en las tres evaluaciones". Los resultados individuales importan más que el resumen.

En Professional CTF, el modelo "coincide con GPT-5.2-Codex" —la propia explicación de la ficha es "ningún cambio material en el rendimiento máximo en CTF", medido como pass@12 sobre 16 ejecuciones por desafío. En CVE-Bench obtuvo un 90 por ciento frente al 87 por ciento de GPT-5.2-Codex, sobre 34 de los 40 desafíos del benchmark, pass@1 en tres ejecuciones. En Cyber Range superó 12 de 15 escenarios para una tasa de aprobación combinada del 80 por ciento, frente al 60 por ciento de GPT-5.1-Codex-Max, el 53,33 por ciento de GPT-5.2-Codex y el 47 por ciento de GPT-5.2-Thinking. No superó EDR Evasion, CA/DNS Hijacking y Leaked Token.

La ficha es cautelosa respecto a lo que eso suma en conjunto. Dado que CTF evalúa rutas de ataque predefinidas, CVE-Bench solo abarca aplicaciones web y los escenarios de Cyber Range carecen de las defensas y el ruido de una red en uso real, «sobresalir en las tres evaluaciones es necesario pero no suficiente para que un modelo sea considerado Alto en capacidad de ciberseguridad». La conclusión de OpenAI no es que el modelo sea Alto, sino que no puede descartar que lo sea.

La evaluación externa, realizada por el laboratorio de seguridad Irregular sobre una versión casi final del modelo, complica el panorama de una manera que la línea de resumen no hace. GPT-5.3-Codex promedió 86 por ciento en Network Attack Simulation, frente a 68 por ciento de GPT-5.2-Codex y 100 por ciento para GPT-5.2-Thinking; 72 por ciento en Vulnerability Research and Exploitation, frente a 75 y 80 por ciento; y 53 por ciento en Evasion, frente a 52 y 53. No resolvió ninguno de los desafíos de CyScenarioBench, un marco basado en escenarios que pone a prueba la planificación de múltiples etapas bajo restricciones realistas. En la suite de Irregular, en otras palabras, el modelo recién clasificado quedó por detrás de un hermano mayor en dos de tres categorías — un resultado que la ficha publica sin conciliarlo con su propia afirmación sobre el umbral.

La puerta: Acceso de confianza para ciberseguridad

La mitigación que da forma al registro es un programa, no un filtro. OpenAI lanzó Trusted Access for Cyber (TAC) «desde el primer día», describiéndolo como un «programa de acceso restringido basado en identidad» que proporciona «capacidades cibernéticas de doble uso de alto riesgo» a clientes empresariales y a usuarios benignos y legítimos. La tarjeta enumera los usos admitidos: pruebas de penetración, red teaming, evaluación de vulnerabilidades, identificación y explotación, pruebas de seguridad e investigación de evasión de detección, ingeniería inversa de malware e investigación criptográfica.

El diseño de acceso invierte el orden habitual. Los usuarios que han iniciado sesión obtienen capacidades cibernéticas avanzadas de forma predeterminada, sujetas a monitoreo y aplicación de las normas; son los usuarios que "aprovechan con frecuencia funcionalidades cibernéticas de doble uso de alto riesgo" quienes deben verificar su identidad mediante TAC para conservar las capacidades avanzadas. Las empresas pueden solicitar acceso de confianza para todo un equipo a través de su representante de OpenAI, y los investigadores que necesiten modelos más permisivos pueden solicitar un programa solo por invitación, según el propio anuncio del programa de OpenAI. Junto con esto, OpenAI comprometió 10 millones de dólares en créditos de API a través de su Cybersecurity Grant Program.

OpenAI deja claro que el control de acceso no es una garantía. El acceso se concede «solo para fines de seguridad legítimos, defensivos y autorizados», y los participantes de TAC «que buscan con frecuencia funcionalidades de acción dañina seguirán sujetos a monitoreo y aplicación de las normas, incluida la pérdida del acceso a TAC». La publicación de lanzamiento añade un segundo control: algunas solicitudes que el sistema detecta como de riesgo cibernético elevado «pueden enrutarse automáticamente de GPT-5.3-Codex a GPT-5.2». Fortune informó el 5 de febrero de que OpenAI no estaba habilitando de inmediato el acceso completo a la API que permitiría automatizar el modelo a escala, y de que, mientras tanto, el modelo estaba disponible para los usuarios de pago de ChatGPT.

Valores predeterminados del sandbox y un monitor con una tasa de omisiones publicada

Se describen dos capas adicionales en términos medibles. El sandbox del agente se ejecuta en la nube dentro de "un contenedor aislado alojado por OpenAI", sin acceso al sistema anfitrión del usuario y con el acceso a la red deshabilitado de forma predeterminada; en una instalación local, el sandboxing está activado de forma predeterminada en macOS mediante Seatbelt, en Linux mediante seccomp y landlock, y en Windows, ya sea de forma nativa o mediante Windows Subsystem for Linux. Los valores predeterminados están diseñados para deshabilitar el acceso a la red y restringir las ediciones de archivos al espacio de trabajo actual, y los usuarios pueden aprobar comandos sin sandbox o establecer listas de permitidos y denegados por proyecto. La tarjeta advierte de que activar el acceso a la red reintroduce el riesgo de inyección de prompts, fuga de credenciales y licencias.

La capa de monitorización es un sistema de dos niveles: un clasificador temático rápido decide si el contenido está relacionado con la ciberseguridad, y todo lo que lo está se escala a un «razonador de seguridad» que lo sitúa en la taxonomía de amenazas cibernéticas de OpenAI y decide si la salida puede mostrarse. El clasificador temático está ajustado para superar el 90 % de recall con más del 99,9 % de fiabilidad del sistema. Las cifras del monitor de razonamiento son menos tranquilizadoras y aparecen en la propia tabla de la tarjeta: 77,8 % de recall y 37,1 % de precisión en los prompts de usuario, 88,8 % de recall y 24,1 % de precisión en las respuestas del asistente. OpenAI afirma que optimiza deliberadamente el recall por encima de la precisión, y por eso a veces se bloquea trabajo de bajo riesgo, y por eso, en ese conjunto de pruebas, aproximadamente uno de cada cinco prompts de usuario que deberían haberse detectado no se detectó.

Lo que encontraron los equipos rojos

La ficha publica los resultados adversariales en detalle en lugar de en resumen. Dos campañas consumieron 3.526 horas de red teaming experto entre diciembre de 2025 y enero de 2026. La Campaña de Jailbreak Universal dedicó 1.375 horas y produjo 21 envíos, de los cuales seis fueron jailbreaks universales completos y 14 parciales. La Campaña de Cobertura de Políticas Adversariales dedicó 2.151 horas y presentó 279 informes, encontrando 132 falsos negativos en los que el Safety Reasoner debería haber bloqueado contenido y no lo hizo. OpenAI califica los jailbreaks como "no bloqueantes" y dice que se remediarán, y admite que las campañas demuestran que "el Safety Reasoner todavía requiere endurecimiento iterativo frente a ataques adversariales".

El resultado único más contundente involucra a un evaluador gubernamental. El UK AI Security Institute, tras recibir acceso anticipado a una compilación con el razonador de seguridad habilitado y bloqueando, «desarrolló un jailbreak universal (con reintentos) que logró 0.778 pass@200» en unas diez horas de red teaming manual, usando un único mensaje de usuario. La misma sección registra que el US Center for AI Standards and Innovation probó las capacidades cibernéticas del modelo con sus propias evaluaciones automatizadas y lo usó para encontrar errores novedosos en software de código abierto y cerrado, y que GPT-5.3-Codex siguió avanzando en tareas difíciles a través de ventanas de compactación, «encontrando resultados novedosos incluso después de 50M o más tokens únicos y decenas de horas de análisis».

Ambos hallazgos gubernamentales se recogen dentro de la ficha de OpenAI. Esta investigación no encontró una evaluación publicada e independiente de ninguno de los dos organismos que abarque GPT-5.3-Codex; hasta que aparezca una, el escrutinio externo de este modelo solo es conocido por el público a través del relato del proveedor. La propia lista de riesgos residuales de la ficha es inusualmente franca sobre esa misma laguna: la precisión limitada de los monitores crea un problema de revisión de aguja en un pajar, "una probabilidad distinta de cero de que un actor malicioso pueda obtener acceso de confianza", fallos del proveedor de verificación de identidad y jailbreaks universales no descubiertos. También afirma que la monitorización interna de los despliegues de Codex, que se ejecuta de forma asíncrona durante cinco meses, "no protege contra daños ni impide la subversión de otras salvaguardas".

¿Qué cambió después?

La puerta sobrevivió al lanzamiento y creció. Axios informó el 9 de abril de 2026 de que OpenAI estaba ultimando un producto de ciberseguridad independiente para un pequeño conjunto de socios, y describió TAC como lanzado en febrero «tras el despliegue de GPT-5.3-Codex». El 15 de abril de 2026, Help Net Security informó de que OpenAI había ampliado TAC a «miles de defensores individuales verificados y cientos de equipos», y estaba lanzando GPT-5.4-Cyber —una variante de GPT-5.4 con un límite de rechazo más bajo para trabajo de seguridad legítimo y capacidad de ingeniería inversa de binarios— a los niveles de acceso más altos. El piloto descrito en la ficha de febrero se había convertido en una línea de productos con niveles.

La propia clasificación se difundió menos que la puerta. El artículo de Fortune del 5 de febrero, de Sharon Goldman, lo reportó directamente y citó la publicación de Sam Altman, director ejecutivo de OpenAI, en X, en la que calificaba a GPT-5.3-Codex como "nuestro primer modelo que alcanza 'high' en ciberseguridad según nuestro marco de preparación". The Cyber Express cubrió en detalle el lanzamiento de TAC el 6 de febrero —tres vías de acceso, los 10 millones de dólares, los comportamientos prohibidos— y no mencionó en absoluto la calificación High. El Boston Global Forum, en un texto del 12 de abril, reiteró ambos elementos juntos. A mediados de abril, la parte más citada del paquete era el programa de acceso, no el juicio de umbral que lo sustentaba.

Establecido, no establecido y abierto

Lo que está establecido: OpenAI publicó la tarjeta de sistema de GPT-5.3-Codex el 5 de febrero de 2026 y clasificó el modelo como de alta capacidad en ciberseguridad bajo su Preparedness Framework; la empresa afirmó en el mismo documento que no tiene pruebas definitivas de que el modelo alcance ese umbral y que actúa por precaución; las cifras de evaluación anteriores son propias; TAC se lanzó con el modelo; el sandbox y el monitor de dos niveles están documentados con el nivel de detalle citado aquí; y las horas de red team, los recuentos de envíos y la cifra de jailbreak del UK AISI aparecen todos impresos en la tarjeta. Fortune informó de la clasificación ese mismo día, citando la publicación de Altman en X. Una peculiaridad de fechado que vale la pena registrar: los metadatos de la propia página de la publicación de lanzamiento llevan una marca temporal del 4 de febrero a las 22:23 GMT, mientras que la tarjeta de sistema y la cobertura de Fortune están fechadas el 5 de febrero.

Lo que no está establecido: que GPT-5.3-Codex cumpla realmente con el umbral High de OpenAI. Esa es una salvedad de la propia OpenAI, no de un crítico. Tampoco esta investigación encontró ninguna certificación externa de la calificación, ninguna evaluación publicada por un regulador o instituto nacional de este modelo, ni ninguna medición de si la pila por capas redujo el uso indebido en el mundo real: el registro no contiene daños porque no se registró ningún daño, no porque no haya ocurrido ninguno. La afirmación de la ficha de que el modelo es el primero en superar los tres umbrales internos es una declaración sobre el conjunto de benchmarks de OpenAI, que el mismo documento dice que es evidencia necesaria pero no suficiente de la capacidad que pretende detectar.

Lo que sigue abierto: si un control de identidad junto con un monitor que pasa por alto aproximadamente una quinta parte de las indicaciones de usuario marcadas constituye una respuesta duradera para un modelo clasificado por precaución en lugar de por prueba; si la aparente regresión del modelo frente a GPT-5.2-Thinking en la suite externa de Irregular significa algo una vez contabilizadas las diferencias de arnés y elicitación; y cuánto de la brecha entre el piloto de febrero y la línea de producto de abril fue planificado, en lugar de aprendido. La entrada del archivo registra la clasificación. El resto todavía lo están escribiendo las personas que gestionan el control.

El registro es un evento de gobernanza, y se lee como tal: una empresa que deja constancia por escrito, antes de que ocurra cualquier incidente, de que cree que uno de sus propios modelos puede haber cruzado una línea que aún no puede medir, y que construye una compuerta basándose en esa sospecha. Si la compuerta fue proporcional es una pregunta que la ficha deja deliberadamente abierta: solo afirma que el riesgo está «suficientemente minimizado» y enumera seis formas en que podría no estarlo.