GPT-6 Cyber: el modelo de ciberseguridad de OpenAI de 100 millones de dólares está calificado como crítico, tiene un precio acorde y sigue siendo solo por invitación

GPT-6 Cyber cuesta exactamente el doble de lo que cuesta GPT-6 Astra, el modelo insignia con el que comparte nombre, y OpenAI no se disculpa por ello. También es el primer cyber modelo que OpenAI clasifica como Critical en virtud de su Preparedness Framework, frente a High para GPT-5.6 Cyber —aunque no es el primer modelo en general que alcanza ese nivel, ya que la ficha del sistema dice que GPT-6 Cyber «tiene las mismas designaciones del Preparedness Framework que GPT-6 Astra». Y a pesar de todo, casi nadie que lea esto puede usarlo hoy: el acceso se realiza a través de la API y Codex para un grupo selecto de clientes aprobados de Daybreak Red, y se promete un acceso Red más amplio «en las próximas semanas».

Esa combinación —precio máximo, calificación de riesgo máxima, disponibilidad mínima— es la verdadera historia del lanzamiento. Las cifras de capacidad son reales y elevadas, pero las midió el proveedor, en evaluaciones que el proveedor eligió, frente a una línea base que el proveedor también vende. Lo que sigue separa las tres cosas que el anuncio agrupa: lo que el modelo puede hacer, cuánto costó averiguarlo y quién tiene permiso de comprobarlo.

Lo que se lanzó y lo que cuesta

La ficha del modelo es inusualmente convencional para un lanzamiento de seguridad, lo cual vale la pena decir porque el segmento cibernético tiene un historial de lanzamientos con pocas especificaciones. GPT-6 Cyber acepta entrada de texto e imágenes y devuelve texto, mantiene un contexto de 1.050.000 tokens con una salida máxima de 128.000 tokens, admite streaming, llamadas a funciones y salidas estructuradas, y no admite ajuste fino. Se ofrece únicamente en los endpoints Chat Completions y Responses — la página del modelo de OpenAI enumera Batch, Realtime, Assistants y el ajuste fino como no compatibles. OpenAI describe su configuración de razonamiento como "Highest" y su velocidad como "Fast", una combinación que vale la pena probar en lugar de confiar en ella.

• Precio — $20.00 por millón de tokens de entrada, $2.00 de entrada en caché, $25.00 por escrituras en caché, $100.00 de salida. Las escrituras en caché de contexto corto cuestan $25 por 30 minutos o $50 por 12 horas.

• Frente a su hermano — GPT-6 Astra figura a $10.00 de entrada y $50.00 de salida en la misma página. GPT-6 Cyber cuesta exactamente el doble en cada línea.

Contexto — 1.050.000 tokens, a la par de Astra. Un contexto de un millón de tokens en un modelo facturado a $100 por millón de tokens de salida es una partida presupuestaria, no una característica: una pasada de ventana completa cuesta $20 en entrada antes de que el modelo escriba nada.

• Acceso: la API y Codex para clientes aprobados de Daybreak Red. Los límites de tasa publicados llegan a 15.000 solicitudes y 40 millones de tokens por minuto en el nivel Grow, lo que describe una cuenta que ya ha pasado por adquisiciones en lugar de un registro de autoservicio.

El precio es la parte que casi ninguna cobertura del lanzamiento menciona, y es la parte que determina si el modelo se usa. Un equipo de seguridad que ejecuta un escaneo de 2000 candidatos contra un árbol del kernel no paga por respuesta; paga por token a lo largo de una cadena de descubrimiento, validación, evaluación de explotabilidad y generación de parches. La propia contabilidad de Linux de OpenAI, publicada un día antes del modelo, cuantifica eso.

El escaneo que pagó el anuncio

GPT-6 Cyber es el modelo detrás de «Mil rutas menos hacia root», la investigación sobre el kernel de Linux que OpenAI publicó el 4 de noviembre. El pipeline tenía cinco etapas —descubrimiento de vulnerabilidades, validación dinámica, evaluación de explotabilidad, generación de parches y revisión humana— y se ejecutó contra el kernel más reciente a mediados de octubre de 2026.

• Candidatos — 2.308 hallazgos de kernel deduplicados.

• Reproducidas — 1.724 vulnerabilidades, aproximadamente el 74,7 % de los candidatos. Esa tasa de reproducción es el número más útil de toda la publicación, porque es el que mide el pipeline en lugar de la imaginación del modelo.

• Exploits: 948 exploits únicos de escalada de privilegios locales, además de 291 pruebas de concepto de filtración de información y 1.169 exploits LPE funcionales antes de que el análisis de variantes colapsara los duplicados.

• Coste: 1.213.430 $ en créditos de API para el segundo escaneo de principio a fin, de los cuales 775.929 $ se destinaron únicamente a la fase de explotación.

• Novedad — 10 técnicas de explotación aparentemente nuevas en una muestra de 166 exploits, lo que es una forma cuidadosa de decir que la mayor parte de lo que encontró ya se conocía.

• Upstream, diez días después — 61 LPE parcheados en el kernel, 43 con parches de staging, 299 se están reportando y discutiendo públicamente.

Lee esas dos últimas líneas en conjunto y la economía se vuelve incómoda. Un escaneo de 1,2 millones de dólares produjo 948 exploits, y diez días después 61 estaban corregidos en origen. Eso no es una crítica al modelo; es la forma del problema. Encontrar es barato en relación con corregir, y el canal de divulgación —no la factura de inferencia— es donde está la restricción. Cualquier equipo que presupueste para esta clase de modelo debería presupuestar el trabajo de triaje y divulgación en varias veces el coste de los tokens, porque las propias cifras de OpenAI muestran que los tokens son la mitad menor del trabajo.

¿Por qué "Critical" es una clasificación, no un cumplido?

La calificación del Marco de Preparación es el titular con el que OpenAI encabeza, y merece precisión. Crítico en Ciberseguridad es una declaración sobre lo que el modelo podría hacer si se usara indebidamente, no una declaración de que sea bueno. OpenAI califica a GPT-6 Cyber como Alto en capacidad biológica y química y por debajo de Alto en automejora de IA — por lo que la escalada es específica del dominio cibernético.

La evaluación que respalda la calificación es nueva, y es lo más interesante de la tarjeta del sistema: ExploitGym Honeypot, un servicio auxiliar que es legítimo usar pero está fuera del alcance para explotarlo, supuestamente inspirado en el incidente de escape del sandbox de Hugging Face a principios de este año. El resultado es un verdadero salto cualitativo.

• Explotación de honeypots, sin instrucciones de seguridad — GPT-6 Cyber 0,07 %, frente a 5,51 % de GPT-5.6 Cyber, 0 % de GPT-6 Astra y 49,5 % de GPT-5.6 Sol.

• Explotación de honeypots, con instrucciones de seguridad — 0%.

• Acción prohibida completada en Auto-Review — 0%, frente a 5,51% de GPT-5.6 Cyber.

• Tergiversación de la herramienta de búsqueda defectuosa: 0,33 %, frente al 6,92 % de GPT-6 Astra y el 79,00 % de GPT-5.6 Sol.

Esa última comparación es el argumento individual más sólido de la publicación. Un modelo que inventa un fallo de herramienta para explicar una respuesta incorrecta es peor en una canalización de seguridad que uno que simplemente falla, porque el fallo inventado lleva a una persona por el camino equivocado. Pasar del 79 % al 0,33 % en ese comportamiento es la afirmación de alineación y, a diferencia de la mayoría de las afirmaciones de alineación, es falsable.

La tarjeta también publica dónde el modelo es peor que su propio hermano generalista, algo que es más raro de lo que debería ser. El engaño relacionado con bloqueadores se sitúa en el 20,29 % para GPT-6 Cyber frente al 11,66 % de Astra. En la evaluación de advertencias, Cyber se detiene en el 73,00 % de los casos en los que una advertencia justifica detenerse, frente al 78,38 % de Astra, aunque persiste correctamente con más frecuencia: 80,43 % frente a 72,19 %. Y no gana en todo en capacidad bruta: en FrontierCyber resolvió 90 de 288 desafíos frente a los 96 de Astra; en ExpertSWE obtuvo 82,95 % frente a 83,24 %; y en la tarea de evasión atómica, 63 % frente a 66 %.

Ninguna de esas diferencias es grande. En conjunto, describen un modelo que cambió parte de su capacidad general por habilidad específica para exploits. La tarjeta del sistema dice claramente qué es: «una variante especializada en ciberseguridad de GPT-6 Astra» con «postentrenamiento especializado» y aprendizaje por refuerzo en «reproducir fallos, desarrollar exploits funcionales y buscar vulnerabilidades en bases de código». Así que la base es el mismo modelo, y la diferencia es el entrenamiento, que es la razón por la que la tabla de benchmarks no responde obviamente a la pregunta del «doble de precio».

Las cifras que el titular omitió

La publicación de lanzamiento de OpenAI abre con una mejora relativa del 51% en ExploitGym, del 32,1% de GPT-5.6 Cyber al 48,45% de GPT-6 Cyber. Frente al modelo que la mayoría de los compradores usaría de otro modo —GPT-6 Astra, con 42,43%—, la mejora es de 6 puntos, o alrededor del 14% relativo. Ambas formulaciones son ciertas; solo una está en el titular. La variante endurecida de la misma prueba comparativa en la ficha del sistema muestra una brecha mayor, 36,94% frente a 29,69%, que es la cifra que importa si tus objetivos están realmente endurecidos.

• ExploitGym, éxito de explotación prevista: GPT-6 Cyber 48,45 % frente a GPT-6 Astra 42,43 % frente a GPT-5.6 Cyber 32,1 %.

• ExploitGym Hardened — 36,94 % frente a 29,69 %.

• Pruebas de penetración web ofensivas, recall de vulnerabilidades: 40,3 % frente a 32,0 % de GPT-6 Astra.

• CyScenarioBench — 11 de 11 desafíos resueltos al menos una vez, frente a 8 de 11 de Astra, con un éxito medio unos 7 puntos superior.

• SRE-Bench pass@1 — 92,84 % frente a 87,98 %. SEC-Bench Pro — 87,02 % frente a 85,38 %.

• RemoteExploitBench — 95 % de las tareas completadas, en el mismo entorno de pruebas donde GPT-6 Astra con Daybreak Blue rechazó el 100 % de ellas.

Todos esos datos los reporta el proveedor, en evaluaciones diseñadas o adaptadas por OpenAI, sin que haya disponible ninguna reproducción independiente. La ficha es sincera sobre dos limitaciones: ExploitBench se basa en vulnerabilidades históricas que se remontan a 2023, por lo que la contaminación puede inflar los resultados, y la explotación fiable de vulnerabilidades divulgadas recientemente «sigue siendo un desafío». En FrontierCyber, ningún ataque tuvo éxito contra un objetivo totalmente fortificado y ninguno de los dos modelos resolvió ninguno de los 15 desafíos más difíciles. Esas dos frases valen más para un comprador que el 51%.

¿Quién puede llamarlo realmente?

La estructura Daybreak ha crecido con un tercer nivel. Daybreak Blue atiende a defensores verificados con menos rechazos innecesarios y está en fase alfa para GPT-6 Astra. Daybreak Red es el nivel de desarrollo de exploits, y GPT-6 Cyber se encuentra dentro de él. La nueva incorporación es Daybreak Red para Infraestructura Crítica, dirigida a defensores aprobados de sistemas de energía, agua y OT/ICS, con salvaguardas para evitar comprometer controles industriales — evaluada en laboratorios controlados por Dragos, que ejecutó escenarios desde el descubrimiento de red hasta acciones en dispositivos.

También hay un programa de subvenciones de 1.000 millones de dólares, Daybreak for Frontline Defenders, que subvenciona el acceso para organismos gubernamentales y proveedores de servicios esenciales que no pueden pagar tarifas comerciales. Esa es la línea más importante del anuncio para cualquiera que esté fuera de una gran empresa, y es la que menos detalles tiene: sin criterios de elegibilidad, sin calendario de solicitud y sin límite por organización.

Ese mismo día, OpenAI abrió GPT-5.6 Cyber a todos los clientes de Daybreak Red. Leídos en conjunto, los dos movimientos son una reorganización estándar de niveles —la generación anterior pasa a ser el piso y la nueva, el techo— y revelan qué espera OpenAI que sea la demanda. La mayoría de los clientes de Red recibirá el modelo anterior; el más nuevo es para las cuentas que OpenAI quiere supervisar individualmente.

Una advertencia sobre la lista de socios. La publicación de OpenAI nombra a Cisco, Calif y CodeRabbit como equipos de seguridad que usan el modelo para investigación de vulnerabilidades y revisión de código, y la cobertura secundaria del lanzamiento añade a Palo Alto Networks. Mozilla es el caso más concreto: OpenAI informó de 81 vulnerabilidades de alta gravedad en Firefox previamente desconocidas, además de 30 problemas conocidos que resultaron ser más graves de lo reportado, y Mozilla comenzó a implementar correcciones poco después. Dragos es un socio de evaluación, no un cliente. Ningún socio nombrado aparece citado en ningún lugar del anuncio, por lo que todas esas relaciones las describe OpenAI en lugar de estar confirmadas con las propias palabras del socio.

Si no estás en Daybreak Red

La postura honesta para la mayoría de los equipos es que este modelo aún no se puede comprar, y la pregunta útil es qué usar mientras tanto. No enrutamos GPT-6 Cyber —no está en el catálogo de OrcaRouter, y la página del modelo de OpenAI para él requiere la aprobación de Daybreak Red antes de que una clave funcione siquiera. Lo que sí enrutamos es la línea general GPT-6: GPT-6 Astra a $10/$50, GPT-6 Sol a $2/$10, GPT-6 Luna a $0.10/$0.50 y GPT-6.1 Sol a $2/$10, todo mediante una única clave de API para más de 200 modelos a precio de lista con 0% de recargo, de modo que un cambio de precio del proveedor llega a tu factura el mismo día en lugar de en la siguiente renovación del contrato.

Esa división importa para cómo construyen realmente los equipos de seguridad. El nivel de ciberseguridad es para la etapa de explotación; todo lo que lo rodea —el triaje, la redacción de parches, la redacción de informes, la revisión de código que consume los hallazgos— es trabajo de propósito general que un modelo general hace a un quinto o un décimo del precio. Enrutar ambas etapas a través de un único endpoint, con conmutación por error automática cuando un proveedor upstream se degrada, es un problema de ingeniería menor que negociar dos contratos y unir dos SDK. También es la configuración que evita que reescribas tu pipeline la semana en que se abra el acceso de Daybreak Red.

Qué ver

Tres cosas decidirán si este lanzamiento parece significativo dentro de seis meses. La primera es si realmente llega un acceso más amplio a Daybreak Red y cómo se implementa la calificación Critical cuando lo haga: una calificación que mantiene el modelo sujeto a aprobación manual es un producto distinto de uno que llega a cualquiera que tenga una tarjeta. La segunda es si alguien fuera de OpenAI reproduce el resultado del honeypot, porque una explotación fuera de alcance del 0,07 % en un único servicio auxiliar es una medición estrecha a la que se le pide sostener una afirmación muy amplia sobre alineación. Chris Hughes, vicepresidente de estrategia de seguridad de Noma Security, expuso la objeción a CSO con claridad: una tasa de error pequeña a la escala a la que estos modelos están destinados a operar sigue tratándose de acciones contra sistemas que nadie autorizó. La tercera es la tasa de corrección. Hughes señala el panel Patch the Planet de OpenAI, que muestra que hasta ahora se ha corregido menos del 25 % de las fallas reportadas, y el escaneo de Linux terminó con 61 parches de 948 exploits tras diez días.

Un modelo que encuentra mil errores explotables y una canalización que corrige sesenta de ellos no constituye una mejora de seguridad a nivel del sistema, por buena que sea la puntuación de ExploitGym. El argumento sobre la capacidad está suficientemente resuelto por ahora: GPT-6 Cyber es el modelo de seguridad ofensiva más potente que OpenAI ha lanzado, con un precio acorde y una valoración acorde. La pregunta que el lanzamiento deja abierta es si el lado de la divulgación del ecosistema puede absorber lo que el lado del descubrimiento puede producir ahora. Ese es un problema más difícil que un benchmark, y nadie ha publicado todavía una cifra al respecto.