OrcaCyber Zero 1.0 y la reserva de $150,000: OrcaRouter se une a la Omacom Foundation como Patrono Corporativo Distinguido

OrcaRouter se ha unido a la Omacom Foundation como Patrono Corporativo Distinguido, con una donación de $150,000 en tokens a las Reservas Estratégicas de Tokens de la Fundación. Esa reserva está destinada al trabajo de seguridad, en primer lugar a los equipos de seguridad y del kernel de la Fundación, y no a la inferencia general. El primer modelo en el que se apoyarán esos equipos es OrcaCyber Zero 1.0, nuestro modelo de programación postentrenado para el análisis de vulnerabilidades, la reproducción y la investigación en seguridad, que hoy está en beta cerrada. Ese es el anuncio, y el resto de esta página es el razonamiento que lo sustenta.

El razonamiento comenzó con el tráfico. En los 30 días anteriores a este anuncio, nuestros modelos superaron los 1,5 millones de descargas en Hugging Face, y la forma de lo que circulaba por el router cambió con ello.

«Cuál es el modelo más barato para este resumen» dejó de ser la única pregunta que llegaba; «¿puede algo de aquí leer este fallo, este parche o este informe y decirme qué es en realidad?» se volvió una pregunta común. Un router es el lugar equivocado para responder esa pregunta y un buen lugar para notarla. Así que, en lugar de desestimar la inferencia general, que ya es barata y cada vez lo es más, estamos pagando por la parte del trabajo en la que una respuesta incorrecta cuesta más.

A qué se unió OrcaRouter y adónde van los tokens

Patrocinador Corporativo Distinguido es el nivel corporativo de Omacom Foundation. El patrocinio es una donación única en lugar de una suscripción, y la donación es de $150,000 en tokens ingresados en las Strategic Token Reserves, un fondo común al que los propios equipos de Omacom Foundation recurren para su propio trabajo.

El destino importa más que la cantidad. Una reserva no es un cupón, y nada de esto se entrega como un nivel gratuito ni como un código de descuento. Los tokens se gastan cuando un ingeniero de Foundation ejecuta una tarea real a través de OrcaRouter, la misma capa de enrutamiento que usa cualquier otro usuario. Preferimos financiar el cómputo que hay detrás de una pregunta de ingeniería concreta (¿se reproduce este error?, ¿se sostiene este parche?) en lugar de avalar un fondo ilimitado de chat.

Por qué la donación se dirige al trabajo de seguridad y no a la inferencia general

La inferencia general es la mitad ya resuelta de este mercado. Un modelo general competente está disponible a bajo costo, enrutar hacia él es casi un commodity, y 150.000 dólares adicionales de capacidad general le aportan muy poco a un equipo que no pudiera comprar ya. El token marginal ahí vale aproximadamente lo que cuesta.

El trabajo de seguridad se comporta de manera diferente en tres aspectos que le importan a quien paga la factura.

• Las tareas son largas. Leer un informe, crear un reproductor y comprobar una corrección no son trabajos de un solo turno, y consumen tokens de una manera que el resumen no lo hace.

• Los modelos que las hacen bien son especializados en lugar de generales.

• El trabajo tiene una respuesta comprobable: una vulnerabilidad se reproduce o no.

Esa última propiedad es lo que hace que el gasto sea defendible. No estamos financiando opiniones sobre seguridad. Estamos financiando intentos que terminan en algo que un equipo de kernel puede examinar y aceptar o rechazar.

¿Para qué se entrenó a OrcaCyber Zero 1.0?

Tres puestos, todos ellos de seguridad: análisis de vulnerabilidades, reproducción de vulnerabilidades e investigación de seguridad.

El análisis es la tarea de lectura: dado un informe, un diff o un componente, determinar cuál es el fallo y dónde se encuentra. La reproducción es la tarea de construcción, y es lo que separa a un modelo de seguridad de un modelo de codificación general con un severo prompt de sistema adjunto: producir una entrada que realmente desencadene la condición, no una descripción de ella. La investigación de seguridad es la parte abierta, donde nadie te entrega un ticket ordenado y primero hay que encontrar el objetivo.

El resultado medido del que disponemos cubre el trabajo de reproducción. En CyberGym Level 1, un benchmark extraído de 188 proyectos de código abierto, OrcaCyber Zero 1.0 reproduce 1.478 de 1.507 vulnerabilidades del mundo real en el primer intento, una tasa de éxito del 98,07 %. El primer intento es la cifra que hay que leer dos veces. La medición no ofrece un segundo intento, y una ventana de lanzamiento tampoco. Qué es el modelo y dónde se sitúa en el catálogo está en la OrcaCyber Zero 1.0página

Dónde está realmente el perímetro: las llamadas que hace un modelo

Zero 1.0 lee y reproduce fallos en el código. No dice nada sobre la capa que la mayoría de los equipos está construyendo ahora a su alrededor. En el momento en que se le entregan herramientas a un modelo, los fallos interesantes dejan de ser texto y se convierten en llamadas: qué herramienta elige, qué argumentos pasa, si se permite que el resultado que recibe cambie lo que hará después. Un modelo que lee bien C no protege un pipeline en el que se puede convencer a un agente de llamar al endpoint equivocado con los argumentos equivocados.

Esa es la segunda mitad del trabajo de seguridad aquí, y es la razón por la que la palabra «seguridad» en nuestro catálogo no empieza y termina con la investigación de vulnerabilidades. Los equipos que ejecutan agentes contra sistemas internos tienen que tratar la capa de llamadas como una superficie de ataque, que es el problema un firewall de agentes para llamadas de herramientas y MCP existe para resolver. El trabajo del kernel y el trabajo de seguridad ven ambas mitades de esto, y la reserva cubre ambas.

¿Qué significa la beta cerrada para un equipo que quiere acceso?

El acceso se concede por caso de uso, no se habilita para todo el mundo. OrcaCyber Zero 1.0 está en beta cerrada, y el alcance se delimita de forma estrecha a propósito: investigación de seguridad de confianza, análisis y reproducción de vulnerabilidades, y flujos de trabajo de red team. «Cerrada» es la palabra clave, y el acceso está acotado a ese trabajo en lugar del tráfico general del modelo.

En la práctica, la solicitud que avanza más rápido es la que llega con un objetivo adjunto: un componente que mantienes, una clase de vulnerabilidad que persigues, un proyecto que estás ejecutando este trimestre. Si quieres entrar, di hacia qué pretendes dirigir el modelo. Las solicitudes de chat generales no se ponen en cola delante de un equipo de seguridad que tiene un caso de prueba real, y no deberían hacerlo. La beta se amplía a medida que la evaluación se sostiene; no la estamos abriendo más rápido de lo que podemos juzgar lo que recibimos.

Cómo se gasta la reserva

Los tokens de una reserva no se asignan a un único modelo, y la mecánica merece un párrafo porque explica la forma de la donación. Las solicitudes llegan al enrutador, y el enrutamiento adaptativo decide adónde va cada una. En la práctica, la división se ve así.

• Revisión de parches, triaje de fallos, un intento de reproducción — Adónde va La ruta optimizada para seguridad: OrcaCyber Zero 1.0 vs Por qué: es larga, está especializada y la respuesta es comprobable

• Notas de la versión, resúmenes de changelog, nombres de pruebas, la docstring de un script — Dónde va Un modelo general como GLM 5.3 Flash vs Por qué cuesta menos y se adapta mejor a la tarea

Esta es la razón por la que la donación es en tokens en lugar de un nivel gratuito de un modelo. Los equipos de la Fundación reciben las mismas decisiones de enrutamiento que todos los demás, con la ruta de seguridad disponible cuando una tarea lo merece y sin que se les cobre cuando no. Una reserva gastada de esta manera dura más que una reserva gastada en un solo modelo, y deja la elección del modelo en manos de quien conoce la tarea.

La conclusión

El trabajo de seguridad es el lugar correcto para este dinero, y la razón no es una cuestión de sentimiento. La inferencia general es una mercancía con un precio en descenso; la reproducción de vulnerabilidades es una tarea con una respuesta verificable y un alto coste por intento, y es donde un token donado realiza un trabajo medible. A un equipo de kernel no le importa cómo suena un modelo. Le importa si el reproductor se ejecuta.

Si ya enrutas a través de nosotros, nada de tu tráfico cambia esta semana. Lo que cambia está de nuestro lado: el modelo que consideramos lo más trascendental que hemos construido ahora tiene su primer usuario exigente, alguien con un problema difícil y sin paciencia para una respuesta incorrecta que suene plausible. Es una prueba mejor que cualquier publicación de lanzamiento, y preferimos que nos midan por ella.

Nota de fuentes: las cifras reportadas por el proveedor son la donación de tokens de $150.000 a las Strategic Token Reserves de la Omacom Foundation, el alcance al que se dirige esa reserva, y el estado de beta cerrada y las condiciones de acceso de OrcaCyber Zero 1.0. Nuestra propia medición es el resultado de CyberGym Level 1 de 1.478 de 1.507 reproducciones en el primer intento, una tasa de éxito del 98,07%, en un benchmark extraído de 188 proyectos de código abierto que ejecutamos nosotros mismos. Lo reportado por la plataforma son las 1,5 millones de descargas de nuestros modelos en Hugging Face durante los 30 días previos a este anuncio, tomado de los propios contadores de la plataforma. Aquí no se cita a ningún tercero para una cifra, y ninguna parte externa recibe crédito por un hallazgo. Publicado el 2026-09-19, cifras verificadas contra nuestros propios registros ese mismo día.