OpenAI ha anunciado que su nuevo modelo GPT-6 Astra ha superado el umbral de capacidad de ciberseguridad "Crítico" bajo el marco interno Preparedness Framework de la empresa, convirtiéndose en el primer modelo de la línea de OpenAI en recibir esa calificación.

Junto a Astra, la compañía mantiene un modelo hermano especializado llamado GPT-6 Cyber, que, según OpenAI, ya está trabajando con equipos de seguridad de Mozilla, Palo Alto Networks y Cisco.

Lo que Astra realmente puede hacer

Según los hallazgos de investigación de OpenAI, GPT-6 Astra es capaz de encontrar y explotar de forma autónoma vulnerabilidades de día cero —fallas desconocidas para los mantenedores de un programa hasta que son descubiertas, sin un parche disponible— en sistemas complejos. El modelo también puede construir planes completos de ciberataque a partir de objetivos de alto nivel.

En la evaluación ExploitBench, Astra obtuvo una puntuación perfecta de 100%, una mejora notable respecto a su predecesor, GPT-5.6 Sol, que obtuvo 78,5% en la misma prueba.

Las pruebas internas de OpenAI se realizaron del 1 al 4 de septiembre de 2026. Durante ese período, Astra detectó dos vulnerabilidades de día cero previamente desconocidas. Según los hallazgos, esas dos fallas serán divulgadas a los mantenedores del software afectado.

GPT-6 Cyber entra en acción

OpenAI lanzó GPT-6 Cyber el 5 de noviembre de 2026. El modelo es una variante especializada diseñada para investigación controlada de vulnerabilidades y validación de exploits, con acceso limitado únicamente a clientes verificados.

En el benchmark ExploitGym, GPT-6 Cyber obtuvo 48,5%, frente al 32,1% registrado por la versión anterior, GPT-5.6 Cyber.

El equipo de investigación informó haber encontrado 81 vulnerabilidades graves previamente desconocidas en Firefox. El equipo también señaló que desarrolló exploits funcionales para 948 escalamientos de privilegios en el kernel de Linux —fallas que permitirían a un atacante obtener niveles de acceso superiores a los que el sistema permite—, de los cuales 588 eran nuevos. El kernel de Linux sustenta una gran parte de los servidores, plataformas en la nube y dispositivos integrados en uso actualmente, lo que da a los hallazgos a nivel de kernel un alcance que va mucho más allá de un solo producto.

Mozilla reconoció a OpenAI en su aviso de seguridad de Firefox 159 por las vulnerabilidades encontradas.

Lee Klarich, Chief Product Officer y Chief Technology Officer de Palo Alto Networks, elogió la eficacia del modelo para tareas defensivas. El ingeniero de Mozilla Brian Grinstead hizo lo mismo.

Por qué importa la calificación Crítico

El Preparedness Framework de OpenAI es el sistema interno de la empresa para clasificar el nivel de peligro que podrían tener las capacidades de un modelo en áreas sensibles, siendo la ciberseguridad una de ellas. Alcanzar "Crítico" significa que la propia OpenAI considera que las capacidades de Astra se sitúan en el punto más alto de su escala de riesgo.

La respuesta de OpenAI, al menos para la variante Cyber, parece ser el control de acceso. Al restringir el uso a clientes verificados y canalizar los descubrimientos mediante la divulgación responsable —la práctica de reportar fallas de forma privada a los mantenedores para que puedan preparar correcciones antes de que los hallazgos se hagan públicos—, la empresa intenta preservar el beneficio defensivo de la tecnología mientras limita su potencial ofensivo. El siguiente paso observable es la divulgación de los dos días cero que Astra detectó durante las pruebas de septiembre, que, según OpenAI, llegarán a los mantenedores del software afectado, un patrón que ya refleja el reconocimiento en el aviso de Firefox 159.