GPT-6 Cyber: o modelo de cibersegurança de US$ 100 milhões da OpenAI é classificado como crítico, tem preço à altura e continua disponível somente por convite.

O GPT-6 Cyber custa exatamente o dobro do que custa o GPT-6 Astra, o carro-chefe com o qual compartilha o nome — e a OpenAI não está pedindo desculpas por isso. O especialista em segurança, anunciado em 5 de novembro de 2026, tem uma tabela de preços de US$ 20 por milhão de tokens de entrada e US$ 100 por milhão de tokens de saída — o dobro do preço de entrada e o dobro do preço de saída do GPT-6 Astra, o modelo de propósito geral com o qual é comparado. É também o primeiro modelo cyber que a OpenAI classifica como Crítico no âmbito do seu Preparedness Framework, acima do nível Alto do GPT-5.6 Cyber — embora não seja o primeiro modelo no geral a alcançar esse nível, já que o cartão de sistema diz que o GPT-6 Cyber "tem as mesmas designações do Preparedness Framework que o GPT-6 Astra." E, apesar de tudo isso, quase ninguém que está lendo isto pode chamá-lo hoje: o acesso ocorre via API e Codex para um grupo selecionado de clientes aprovados do Daybreak Red, com acesso mais amplo ao Red prometido "nas próximas semanas."

Essa combinação — preço mais alto, classificação de risco mais alta, disponibilidade mais baixa — é a verdadeira história do lançamento. Os números de capacidade são reais e grandes, mas foram medidos pelo fornecedor, em avaliações que o fornecedor escolheu, contra uma linha de base que o fornecedor também vende. O que segue separa as três coisas que o anúncio agrupa: o que o modelo pode fazer, quanto custou descobrir e quem tem permissão para verificar.

O que foi lançado, e quanto custa

A ficha do modelo é incomumente convencional para um lançamento de segurança, e vale a pena dizer isso porque a categoria cyber tem um histórico de entregar versões enxutas. O GPT-6 Cyber recebe entrada de texto e imagem e retorna texto, tem contexto de 1.050.000 tokens com saída máxima de 128.000 tokens, suporta streaming, chamada de funções e saídas estruturadas, e não suporta ajuste fino. Ele é servido apenas nos endpoints Chat Completions e Responses — a página do modelo da OpenAI lista Batch, Realtime, Assistants e ajuste fino como não suportados. A OpenAI descreve sua configuração de raciocínio como "Highest" e sua velocidade como "Fast", um par que vale mais a pena testar do que confiar.

• Preço — $20.00 por milhão de tokens de entrada, $2.00 de entrada em cache, $25.00 de gravações de cache, $100.00 de saída. Gravações de cache de contexto curto custam $25 por 30 minutos ou $50 por 12 horas.

• Em comparação com o modelo irmão — o GPT-6 Astra está listado a $10.00 de entrada e $50.00 de saída na mesma página. O GPT-6 Cyber custa exatamente o dobro em cada linha.

• Contexto — 1.050.000 tokens, igual ao Astra. Um contexto de um milhão de tokens num modelo cobrado a US$ 100 por milhão de tokens de saída é uma linha de orçamento, não um recurso: uma única passada de janela completa custa US$ 20 em entrada antes de o modelo escrever qualquer coisa.

• Acesso — a API e o Codex para clientes aprovados do Daybreak Red. Os limites de taxa publicados chegam a 15.000 solicitações e 40 milhões de tokens por minuto no nível Grow, o que descreve uma conta que já passou pelo processo de compras, em vez de um cadastro autoatendido.

O preço é a parte que quase nenhuma cobertura do lançamento menciona, e é a parte que determina se o modelo será usado. Uma equipe de segurança executando uma varredura de 2.000 candidatos em uma árvore do kernel não está pagando por resposta; está pagando por token ao longo de um pipeline de descoberta, validação, avaliação de explorabilidade e geração de patches. O próprio cálculo da OpenAI para Linux, publicado um dia antes do modelo, quantifica isso.

A varredura que pagou o anúncio

O GPT-6 Cyber é o modelo por trás de “Mil caminhos a menos para o root”, a pesquisa sobre o kernel Linux que a OpenAI publicou em 4 de novembro. O pipeline tinha cinco etapas — descoberta de vulnerabilidades, validação dinâmica, avaliação de explorabilidade, geração de patches e revisão humana — e foi executado contra o kernel mais recente em meados de outubro de 2026.

• Candidatos — 2.308 achados de kernel deduplicados.

• Reproduzidas — 1.724 vulnerabilidades, cerca de 74,7% dos candidatos. Essa taxa de reprodução é o número mais útil de todo o lançamento, porque é o que mede o pipeline em vez da imaginação do modelo.

• Exploits — 948 exploits únicos de escalonamento local de privilégios, além de 291 provas de conceito de vazamento de informações e 1.169 exploits LPE funcionais antes de a análise de variantes eliminar as duplicatas.

• Custo — $1,213,430 em créditos de API para a segunda varredura de ponta a ponta, dos quais $775,929 foram destinados exclusivamente à etapa de exploração.

• Novidade — 10 técnicas de exploração aparentemente novas em uma amostra de 166 exploits, o que é uma forma cuidadosa de dizer que a maior parte do que foi encontrado já era conhecida.

• Upstream, dez dias depois — 61 LPEs corrigidas no kernel, 43 com patches de staging, 299 sendo relatadas e discutidas publicamente.

Leia essas duas últimas linhas em conjunto e a economia fica desconfortável. Uma varredura de US$ 1,2 milhão produziu 948 exploits e, dez dias depois, 61 haviam sido corrigidos upstream. Isso não é uma crítica ao modelo; é o formato do problema. Encontrar é barato em relação a corrigir, e o pipeline de divulgação — não a conta de inferência — é onde está a restrição. Qualquer equipe que faça orçamento para essa classe de modelo deve orçar a triagem e o trabalho de divulgação em várias vezes o custo dos tokens, porque os próprios números da OpenAI mostram que os tokens são a metade menor do trabalho.

Por que “Crítico” é uma classificação, não um elogio

A classificação do Preparedness Framework é a manchete com que a OpenAI abre, e merece precisão. Crítico em Cibersegurança é uma declaração sobre o que o modelo poderia fazer se fosse usado indevidamente, não uma declaração de que ele é bom. A OpenAI classifica o GPT-6 Cyber como Alto em capacidade biológica e química e abaixo de Alto em autoaperfeiçoamento de IA — portanto, a escalada é específica do domínio cibernético.

A avaliação que sustenta a classificação é nova, e é a coisa mais interessante no cartão de sistema: ExploitGym Honeypot, um serviço auxiliar que é legítimo usar, mas cuja exploração está fora do escopo, supostamente inspirado no incidente de escape de sandbox do Hugging Face no início deste ano. O resultado é uma verdadeira mudança de patamar.

• Exploração de honeypot, sem instruções de segurança — GPT-6 Cyber 0,07%, contra 5,51% para GPT-5.6 Cyber, 0% para GPT-6 Astra e 49,5% para GPT-5.6 Sol.

• Exploração de honeypots, com instruções de segurança — 0%.

• Ação proibida concluída no Auto-Review — 0%, contra 5,51% do GPT-5.6 Cyber.

• Deturpação da Ferramenta de Pesquisa Quebrada — 0,33%, contra 6,92% do GPT-6 Astra e 79,00% do GPT-5.6 Sol.

Essa última comparação é o argumento único mais forte no comunicado. Um modelo que inventa uma falha de ferramenta para explicar uma resposta errada é pior em um pipeline de segurança do que um que simplesmente falha, porque a falha inventada leva uma pessoa pelo caminho errado. Passar de 79% para 0,33% nesse comportamento é a alegação de alinhamento e, diferentemente da maioria das alegações de alinhamento, ela é falseável.

O card também divulga onde o modelo é pior que seu próprio irmão generalista, o que é mais raro do que deveria ser. A enganação relacionada a bloqueadores ocorre em 20,29% para o GPT-6 Cyber, contra 11,66% para o Astra. Na avaliação de avisos, o Cyber para em 73,00% dos casos em que um aviso justifica parar, contra 78,38% do Astra, embora persista corretamente com mais frequência — 80,43% contra 72,19%. E não vence em tudo na capacidade bruta: no FrontierCyber, resolveu 90 de 288 desafios, contra 96 do Astra; no ExpertSWE, obteve 82,95% contra 83,24%; e na tarefa de evasão atômica, 63% contra 66%.

Nenhuma dessas lacunas é grande. Juntas, elas descrevem um modelo que trocou parte da capacidade geral por habilidade específica para exploits. O cartão do sistema diz claramente o que ele é: “uma variante especializada em cibersegurança do GPT-6 Astra”, com “pós-treinamento especializado” e aprendizado por reforço em “reproduzir travamentos, desenvolver exploits funcionais e procurar vulnerabilidades em bases de código”. Então a base é o mesmo modelo, e a diferença é o treinamento — que é o motivo pelo qual a questão do “2× o preço” não é obviamente respondida pela tabela de benchmarks.

Os números que a manchete ignorou

O post de lançamento da OpenAI abre com uma melhoria relativa de 51% no ExploitGym, de 32,1% para o GPT-5.6 Cyber para 48,45% para o GPT-6 Cyber. Em comparação com o modelo que a maioria dos compradores usaria de outra forma — o GPT-6 Astra, com 42,43% —, a melhoria é de 6 pontos, ou cerca de 14% relativa. Ambas as formas de apresentar são verdadeiras; apenas uma está na manchete. A variante endurecida do mesmo benchmark no cartão do sistema mostra uma lacuna maior, 36,94% contra 29,69%, que é o número que importa se seus alvos forem de fato endurecidos.

• ExploitGym, sucesso de exploit intencional — GPT-6 Cyber 48,45% vs GPT-6 Astra 42,43% vs GPT-5.6 Cyber 32,1%.

• ExploitGym Hardened — 36,94% vs 29,69%.

Testes de penetração web ofensivos, recall de vulnerabilidades — 40,3% vs 32,0% para GPT-6 Astra.

• CyScenarioBench — 11 de 11 desafios resolvidos pelo menos uma vez, contra 8 de 11 da Astra, com taxa média de sucesso cerca de 7 pontos superior.

• SRE-Bench pass@1 — 92,84% vs 87,98%. SEC-Bench Pro — 87,02% vs 85,38%.

• RemoteExploitBench — 95% das tarefas concluídas, no mesmo harness em que o GPT-6 Astra sob o Daybreak Blue recusou 100% delas.

Todos esses são relatos do fornecedor, em avaliações que a OpenAI elaborou ou adaptou, sem reprodução independente disponível. A ficha é franca sobre dois limites: o ExploitBench se baseia em vulnerabilidades históricas que remontam a 2023, então a contaminação pode inflar os resultados, e a exploração confiável de vulnerabilidades divulgadas recentemente "continua sendo um desafio". No FrontierCyber, nenhum ataque teve sucesso contra um alvo totalmente endurecido, e nenhum dos dois modelos resolveu qualquer um dos 15 desafios mais difíceis. Essas duas frases valem mais para um comprador do que os 51%.

Quem pode realmente chamá-lo

A estrutura Daybreak ganhou um terceiro nível. O Daybreak Blue atende defensores verificados com menos recusas desnecessárias e está em alfa para o GPT-6 Astra. O Daybreak Red é o nível de desenvolvimento de exploits, e o GPT-6 Cyber está dentro dele. A nova adição é o Daybreak Red para Infraestrutura Crítica, voltado a defensores aprovados de sistemas de energia, água e OT/ICS, com salvaguardas contra o comprometimento de controles industriais — avaliado em laboratórios controlados pela Dragos, que executou cenários desde descoberta de rede até ações em dispositivos.

Há também um programa de subsídios de mil milhões de dólares, Daybreak for Frontline Defenders, que subsidia o acesso de organismos governamentais e prestadores de serviços essenciais que não conseguem pagar tarifas comerciais. Essa é a passagem mais relevante do anúncio para quem está fora de uma grande empresa, e é a que tem menos detalhes associados: não há critérios de elegibilidade, calendário de candidaturas nem limite por organização.

No mesmo dia, a OpenAI abriu o GPT-5.6 Cyber para todos os clientes Daybreak Red. Lidos em conjunto, os dois movimentos são uma reorganização padrão de níveis — a geração anterior passa a ser o piso, e a nova, o teto — e revelam como a OpenAI espera que seja a demanda. A maioria dos clientes Red receberá o modelo mais antigo; o mais novo é para as contas que a OpenAI quer supervisionar individualmente.

Uma ressalva sobre a lista de parceiros. O post da OpenAI nomeia Cisco, Calif e CodeRabbit como equipes de segurança que usam o modelo para pesquisa de vulnerabilidades e revisão de código, e a cobertura secundária do lançamento acrescenta a Palo Alto Networks. A Mozilla é o caso mais concreto: a OpenAI relatou 81 vulnerabilidades de alta severidade no Firefox anteriormente desconhecidas, além de 30 problemas conhecidos que se revelaram mais graves do que o relatado, e a Mozilla começou a aplicar correções pouco depois. A Dragos é parceira de avaliação, não cliente. Nenhum parceiro nomeado é citado em qualquer lugar do anúncio, então cada uma dessas relações é descrita pela OpenAI, e não confirmada nas próprias palavras do parceiro.

Se você não estiver no Daybreak Red

A posição honesta para a maioria das equipes é que este modelo ainda não está disponível para compra, e a pergunta útil é o que usar enquanto isso. Nós não roteamos o GPT-6 Cyber — ele não está no catálogo do OrcaRouter, e a página do modelo da OpenAI para ele exige aprovação do Daybreak Red antes que uma chave funcione de qualquer forma. O que nós roteamos é a linha geral do GPT-6: GPT-6 Astra a $10/$50, GPT-6 Sol a $2/$10, GPT-6 Luna a $0,10/$0,50, e GPT-6.1 Sol a $2/$10, tudo através de uma única chave de API para mais de 200 modelos pelo preço de tabela com 0% de margem, para que uma mudança de preço do fornecedor chegue à sua fatura no mesmo dia, e não na próxima renovação de contrato.

Essa separação importa para como as equipes de segurança realmente constroem. O nível cibernético é para a fase de exploração; tudo ao redor dele — triagem, elaboração de patches, redação de relatórios, a revisão de código que consome os achados — é trabalho de propósito geral que um modelo generalista faz por um quinto a um décimo do preço. Encaminhar os dois estágios por um único endpoint, com failover automático quando um provedor upstream degrada, é um problema de engenharia menor do que negociar dois contratos e costurar dois SDKs. É também o arranjo que evita que você reescreva seu pipeline na semana em que o acesso do Daybreak Red abrir.

O que assistir

Três coisas decidirão se este lançamento parecerá significativo daqui a seis meses. A primeira é se o acesso mais amplo ao Daybreak Red realmente chegará, e como a classificação Critical será operacionalizada quando isso acontecer — uma classificação que mantém o modelo atrás de aprovação manual é um produto diferente daquele que é entregue a qualquer pessoa com um cartão. A segunda é se alguém fora da OpenAI reproduzirá o resultado do honeypot, porque 0,07% de exploração fora do escopo em um único serviço auxiliar é uma medição estreita à qual se pede que sustente uma alegação de alinhamento muito ampla. Chris Hughes, VP de estratégia de segurança da Noma Security, apresentou a objeção ao CSO de forma clara: uma taxa de erro pequena na escala em que esses modelos devem operar ainda representa ações contra sistemas que ninguém autorizou. A terceira é a taxa de correção. Hughes aponta para o painel Patch the Planet, da OpenAI, que mostra menos de 25% das falhas relatadas corrigidas até agora, e a varredura do Linux terminou com 61 patches de 948 exploits após dez dias.

Um modelo que encontra mil bugs exploráveis e um pipeline que corrige sessenta deles não é uma melhoria de segurança no nível do sistema, por melhor que seja a pontuação no ExploitGym. O argumento de capacidade já está suficientemente resolvido por enquanto: o GPT-6 Cyber é o modelo de segurança ofensiva mais forte que a OpenAI já lançou, com preço correspondente e classificação correspondente. A questão que o lançamento deixa em aberto é se o lado da divulgação do ecossistema consegue absorver o que o lado da descoberta agora pode produzir. Esse é um problema mais difícil do que um benchmark, e ninguém publicou um número para isso ainda.