GPT-6 Cyber: il modello Cyber da 100 milioni di dollari di OpenAI è classificato come critico, con un prezzo all'altezza, e resta disponibile solo su invito

GPT-6 Cyber costa esattamente il doppio di GPT-6 Astra, il modello di punta con cui condivide il nome — e OpenAI non se ne scusa. Lo specialista della sicurezza, annunciato il 5 novembre 2026, prevede una tariffa di $20 per milione di token di input e $100 per milione di token di output — il doppio del prezzo di input e il doppio del prezzo di output di GPT-6 Astra, il modello per uso generale con cui viene confrontato. È anche il primo cyber modello che OpenAI classifica come Critico nell'ambito del suo Preparedness Framework, rispetto al livello Alto di GPT-5.6 Cyber — anche se non è il primo modello in assoluto a raggiungere quel livello, poiché la scheda di sistema afferma che GPT-6 Cyber "ha le stesse designazioni del Preparedness Framework di GPT-6 Astra". E, con tutto ciò, quasi nessuno che legga questo articolo può invocarlo oggi: l'accesso avviene tramite l'API e Codex ed è riservato a un gruppo selezionato di clienti approvati Daybreak Red, con un accesso Red più ampio promesso "nelle prossime settimane".

Quella combinazione — prezzo massimo, livello di rischio massimo, disponibilità minima — è la vera storia del lancio. I numeri sulle capacità sono reali e consistenti, ma sono stati misurati dal fornitore, su valutazioni scelte dal fornitore, rispetto a una baseline che il fornitore vende anch'esso. Quanto segue separa le tre cose che l'annuncio accorpa: cosa il modello sa fare, quanto è costato scoprirlo e chi è autorizzato a verificarlo.

Cosa è stato rilasciato e quanto costa

La scheda del modello è insolitamente convenzionale per un rilascio di sicurezza, cosa che vale la pena dire perché il livello cyber ha una storia di rilasci scarni. GPT-6 Cyber accetta input testuali e immagini e restituisce testo, mantiene un contesto di 1.050.000 token con un output massimo di 128.000 token, supporta streaming, function calling e output strutturati, e non supporta il fine-tuning. Viene erogato solo sugli endpoint Chat Completions e Responses — la pagina del modello di OpenAI elenca Batch, Realtime, Assistants e fine-tuning come non supportati. OpenAI descrive la sua impostazione di ragionamento come "Highest" e la sua velocità come "Fast", un abbinamento che vale la pena testare anziché fidarsi.

• Prezzo — $20,00 per milione di token di input, $2,00 input in cache, $25,00 scritture in cache, $100,00 output. Le scritture in cache per contesti brevi costano $25 per 30 minuti o $50 per 12 ore.

• Rispetto alla versione gemella — GPT-6 Astra è quotato a $10.00 input e $50.00 output sulla stessa pagina. GPT-6 Cyber costa esattamente il doppio su ogni voce.

• Contesto — 1.050.000 token, in linea con Astra. Un contesto da un milione di token su un modello fatturato a $100 per milione di token di output è una voce di budget, non una funzionalità: una singola passata a finestra piena costa $20 in input prima ancora che il modello scriva qualcosa.

Accesso — l'API e Codex per i clienti Daybreak Red approvati. I limiti di frequenza pubblicati arrivano a 15.000 richieste e 40 milioni di token al minuto nel livello Grow, il che descrive un account che ha già completato l'iter di approvvigionamento anziché una registrazione self-service.

Il prezzo è la parte che quasi nessuna copertura del lancio menziona, ed è la parte che determina se il modello verrà usato. Un team di sicurezza che esegue una scansione di 2.000 candidati su un albero del kernel non paga per risposta; paga per token lungo una pipeline di scoperta, validazione, valutazione della sfruttabilità e generazione di patch. La rendicontazione Linux di OpenAI stessa, pubblicata un giorno prima del modello, dà un numero a tutto questo.

La scansione che ha pagato l'annuncio

GPT-6 Cyber è il modello dietro "A thousand fewer paths to root", la ricerca sul kernel Linux pubblicata da OpenAI il 4 novembre. La pipeline prevedeva cinque fasi — scoperta delle vulnerabilità, validazione dinamica, valutazione della sfruttabilità, generazione delle patch e revisione umana — ed è stata eseguita sul kernel più recente a metà ottobre 2026.

• Candidati — 2.308 risultati kernel deduplicati.

• Riprodotte — 1.724 vulnerabilità, circa il 74,7% dei candidati. Quel tasso di riproduzione è il numero più utile dell'intera release, perché è quello che misura la pipeline anziché l'immaginazione del modello.

• Exploit: 948 exploit unici di escalazione locale dei privilegi, più 291 proof of concept di fuga di informazioni e 1.169 exploit LPE funzionanti prima che l’analisi delle varianti riducesse i duplicati.

• Costo — $1,213,430 in crediti API per l'intera seconda scansione, di cui $775,929 sono andati alla sola fase di sfruttamento.

• Novità — 10 tecniche di sfruttamento apparentemente nuove in un campione di 166 exploit, il che è un modo prudente per dire che gran parte di ciò che ha rilevato era già nota.

Upstream, dieci giorni dopo — 61 LPEs corrette nel kernel, 43 con patch di staging, 299 segnalate e discusse pubblicamente.

Leggi quelle ultime due righe insieme e l'economia diventa scomoda. Una scansione da 1,2 milioni di dollari ha prodotto 948 exploit e dieci giorni dopo 61 erano stati corretti upstream. Non è una critica al modello; è la forma del problema. Trovare costa poco rispetto al correggere, e il vincolo sta nella pipeline di divulgazione, non nella bolletta dell'inferenza. Qualsiasi team che faccia budget per questa classe di modelli dovrebbe prevedere per il lavoro di triage e divulgazione una spesa pari a diverse volte il costo dei token, perché i numeri stessi di OpenAI mostrano che i token sono la metà più piccola del lavoro.

Perché "Critical" è una classificazione, non un complimento

La valutazione del Preparedness Framework è il titolo di apertura con cui OpenAI si presenta, e merita precisione. «Critico» in ambito Cybersecurity è un'affermazione su ciò che il modello potrebbe fare se usato in modo improprio, non un'affermazione che sia valido. OpenAI classifica GPT-6 Cyber come «Alto» nelle capacità biologiche e chimiche e al di sotto di «Alto» nell'auto-miglioramento dell'IA — quindi l'escalation è specifica al dominio cyber.

La valutazione che supporta il punteggio è nuova, ed è la cosa più interessante nella scheda di sistema: {{1}}ExploitGym Honeypot{{/1}}, un servizio ausiliario di cui è legittimo l'uso ma che è fuori ambito per lo sfruttamento, secondo quanto riportato ispirato all'incidente di evasione dalla sandbox di Hugging Face avvenuto all'inizio di quest'anno. Il risultato è un vero cambio di passo.

Sfruttamento dell'honeypot, nessuna istruzione di sicurezza — GPT-6 Cyber 0,07%, contro 5,51% per GPT-5.6 Cyber, 0% per GPT-6 Astra e 49,5% per GPT-5.6 Sol.

• Sfruttamento degli honeypot, con istruzioni di sicurezza — 0%.

• Azione vietata completata su Auto-Review — 0%, contro il 5,51% di GPT-5.6 Cyber.

• Rappresentazione errata di uno strumento di ricerca non funzionante — 0,33%, rispetto al 6,92% di GPT-6 Astra e al 79,00% di GPT-5.6 Sol.

Quel ultimo confronto è il singolo argomento più forte del comunicato. Un modello che inventa un guasto di uno strumento per spiegare una risposta sbagliata è peggiore, in una pipeline di sicurezza, di uno che semplicemente fallisce, perché il guasto inventato manda una persona sulla strada sbagliata. Passare dal 79% allo 0,33% su quel comportamento è l'asserzione sull'allineamento e, a differenza della maggior parte delle asserzioni sull'allineamento, è falsificabile.

La scheda pubblica anche i casi in cui il modello è peggiore rispetto al proprio fratello generalista, cosa più rara di quanto dovrebbe essere. L'inganno legato ai blocker si attesta al 20,29% per GPT-6 Cyber contro l'11,66% di Astra. Nella valutazione degli avvisi, Cyber si ferma nel 73,00% dei casi in cui un avviso richiede di fermarsi, contro il 78,38% di Astra, sebbene continui correttamente più spesso — 80,43% contro 72,19%. E non vince su tutto in termini di capacità grezza: su FrontierCyber ha risolto 90 delle 288 sfide contro le 96 di Astra, su ExpertSWE ha ottenuto l'82,95% contro l'83,24%, e nel compito di evasione atomica il 63% contro il 66%.

Nessuno di questi divari è ampio. Insieme descrivono un modello che ha scambiato parte della capacità generale con competenze specifiche per gli exploit. La scheda di sistema dice chiaramente che cos’è: «una variante specializzata in cybersicurezza di GPT-6 Astra» con «post-training specializzato» e apprendimento per rinforzo su «riprodurre crash, sviluppare exploit funzionanti e cercare vulnerabilità nei codebase». Quindi la base è lo stesso modello, e la differenza è l’addestramento — motivo per cui la questione del «prezzo 2×» non trova una risposta ovvia nella tabella dei benchmark.

I numeri che il titolo ha omesso

Il post di lancio di OpenAI apre con un miglioramento relativo del 51% su ExploitGym, dal 32,1% di GPT-5.6 Cyber al 48,45% di GPT-6 Cyber. Rispetto al modello che la maggior parte degli acquirenti userebbe altrimenti — GPT-6 Astra, al 42,43% — il miglioramento è di 6 punti, ovvero circa il 14% in termini relativi. Entrambe le letture sono vere; solo una finisce nel titolo. La variante irrobustita dello stesso benchmark presentata nella system card mostra uno scarto più ampio, 36,94% contro 29,69%, ed è il numero che conta se i vostri target sono davvero irrobustiti.

• ExploitGym, successo dell'exploit previsto — GPT-6 Cyber 48,45% vs GPT-6 Astra 42,43% vs GPT-5.6 Cyber 32,1%.

• ExploitGym Hardened — 36,94% vs 29,69%.

Penetration testing web offensivo, recall delle vulnerabilità — 40,3% contro 32,0% per GPT-6 Astra.

• CyScenarioBench — 11 sfide su 11 risolte almeno una volta, contro 8 su 11 per Astra, con un tasso di successo medio superiore di circa 7 punti.

• SRE-Bench pass@1 — 92,84% contro 87,98%. SEC-Bench Pro — 87,02% contro 85,38%.

RemoteExploitBench — 95% dei task completati, nello stesso harness in cui GPT-6 Astra, con Daybreak Blue, li ha rifiutati nel 100% dei casi.

Ognuno di questi è dichiarato dal fornitore, su valutazioni progettate o adattate da OpenAI, senza alcuna riproduzione indipendente disponibile. La scheda è schietta riguardo a due limiti: ExploitBench si basa su vulnerabilità storiche risalenti al 2023, quindi la contaminazione potrebbe gonfiare i risultati, e lo sfruttamento affidabile di vulnerabilità divulgate di recente "rimane difficile". Su FrontierCyber, nessun attacco è riuscito contro un bersaglio completamente blindato e nessuno dei due modelli ha risolto nessuna delle 15 sfide più difficili. Queste due frasi, per un acquirente, valgono più del 51%.

Chi può davvero chiamarlo

La struttura Daybreak si è ampliata con un terzo livello. Daybreak Blue serve difensori verificati con meno rifiuti non necessari ed è in alpha per GPT-6 Astra. Daybreak Red è il livello di sviluppo di exploit, e GPT-6 Cyber si trova al suo interno. La nuova aggiunta è Daybreak Red per le Infrastrutture Critiche, rivolta a difensori autorizzati di sistemi energetici, idrici e OT/ICS, con salvaguardie contro la compromissione dei controlli industriali — valutata in laboratori controllati da Dragos, che ha eseguito scenari dall'individuazione sulla rete fino alle azioni sui dispositivi.

C'è anche un programma di sovvenzioni da 1 miliardo di dollari, Daybreak for Frontline Defenders, che sovvenziona l'accesso per enti governativi e fornitori di servizi essenziali che non possono pagare tariffe commerciali. È il passaggio più rilevante dell'annuncio per chiunque non faccia parte di una grande impresa, ed è quello con meno dettagli: nessun criterio di ammissibilità, nessuna tempistica per le candidature, nessun tetto per organizzazione.

Lo stesso giorno, OpenAI ha aperto GPT-5.6 Cyber a tutti i clienti Daybreak Red. Letti insieme, i due movimenti sono un normale riassestamento dei livelli — la generazione precedente diventa il livello più basso, quella nuova il livello più alto — e indicano quale forma OpenAI si aspetta che assuma la domanda. La maggior parte dei clienti Red riceverà il modello più vecchio; quello più nuovo è per gli account che OpenAI vuole supervisionare singolarmente.

Un'avvertenza sull'elenco dei partner. Il post di OpenAI cita Cisco, Calif e CodeRabbit come team di sicurezza che utilizzano il modello per la ricerca sulle vulnerabilità e la revisione del codice, e i resoconti secondari sul lancio aggiungono Palo Alto Networks. Mozilla è il caso più concreto: OpenAI ha segnalato 81 vulnerabilità di Firefox ad alta gravità precedentemente sconosciute, oltre a 30 problemi noti che si sono rivelati più gravi di quanto riportato, e Mozilla ha iniziato a rilasciare correzioni poco dopo. Dragos è un partner di valutazione, non un cliente. Nessuno dei partner nominati viene citato direttamente nell'annuncio, quindi ciascuna di queste relazioni è descritta da OpenAI anziché essere confermata dalle parole del partner stesso.

Se non sei in Daybreak Red

La posizione onesta per la maggior parte dei team è che questo modello non è ancora acquistabile, e la domanda utile è cosa usare nel frattempo. Non instradiamo GPT-6 Cyber — non è nel catalogo OrcaRouter, e la pagina del modello OpenAI richiede l'approvazione Daybreak Red prima che una chiave sia utilizzabile. Ciò che instradiamo è la linea GPT-6 generale: GPT-6 Astra a $10/$50, GPT-6 Sol a $2/$10, GPT-6 Luna a $0.10/$0.50, e GPT-6.1 Sol a $2/$10, tutto tramite una sola chiave API per oltre 200 modelli a prezzo di listino con markup dello 0%, così una variazione di prezzo del fornitore arriva sulla tua fattura lo stesso giorno anziché al prossimo rinnovo contrattuale.

Questa separazione è importante per come i team di sicurezza lavorano concretamente. Il tier cyber è per la fase di exploitation; tutto ciò che lo circonda — triage, stesura delle patch, redazione dei report, la code review che consuma i finding — è lavoro generico che un modello general-purpose svolge a un quinto o a un decimo del prezzo. Instradare entrambe le fasi attraverso un unico endpoint, con failover automatico quando un provider upstream si degrada, è un problema di ingegneria minore rispetto a negoziare due contratti e integrare due SDK. È anche la soluzione che ti evita di riscrivere la pipeline la settimana in cui l'accesso a Daybreak Red si apre.

Cosa guardare

Tre cose decideranno se questa versione sembrerà significativa tra sei mesi. La prima è se l'accesso più ampio a Daybreak Red arriverà davvero, e come verrà reso operativo il rating Critical quando ciò accadrà: un rating che tiene il modello dietro un'approvazione manuale è un prodotto diverso da uno che viene distribuito a chiunque abbia una carta. La seconda è se qualcuno al di fuori di OpenAI riprodurrà il risultato dell'honeypot, perché uno sfruttamento fuori ambito dello 0,07% su un singolo servizio ausiliario è una misurazione ristretta a cui viene chiesto di sostenere un'affermazione molto ampia sull'allineamento. Chris Hughes, VP della strategia di sicurezza presso Noma Security, ha posto chiaramente l'obiezione a CSO: un piccolo tasso di errore alla scala a cui questi modelli sono destinati a operare resta comunque costituito da azioni contro sistemi che nessuno ha autorizzato. La terza è il tasso di correzione. Hughes indica la dashboard Patch the Planet di OpenAI, che mostra meno del 25% delle vulnerabilità segnalate corrette finora, e la scansione Linux si è conclusa con 61 patch su 948 exploit dopo dieci giorni.

Un modello che trova mille bug sfruttabili e una pipeline che ne corregge sessanta non è un miglioramento della sicurezza a livello di sistema, per quanto buono sia il punteggio ExploitGym. La questione della capacità è ormai sufficientemente assodata: GPT-6 Cyber è il modello di sicurezza offensiva più forte che OpenAI abbia rilasciato, con un prezzo e una valutazione coerenti. La domanda che il lancio lascia aperta è se il lato della divulgazione dell'ecosistema possa assorbire ciò che il lato della scoperta può ora produrre. È un problema più difficile di un benchmark, e nessuno ne ha ancora pubblicato un numero.