GPT‑6 Cyber: nuevos horizontes para los agentes de ciberseguridad alineados

Presentamos GPT‑6 Cyber, un gran avance en investigación de seguridad: más capaz de encontrar y corregir vulnerabilidades, y mucho más confiable a la hora de respetar los límites que establecen los investigadores. GPT‑6 Cyber logra mejoras importantes frente a GPT‑5.6 Cyber en pruebas de referencia clave de ciberseguridad, incluida una mejora relativa del 51 % en ExploitGym y un salto sustancial en las pruebas de cumplimiento del alcance. Ya ayuda a proteger software del mundo real al descubrir y validar miles de exploits en bases de código esenciales para la seguridad, como Linux y Firefox.

En ExploitGym, que evalúa si los modelos pueden explotar una vulnerabilidad especificada, GPT‑6 Cyber obtiene un 48,5 %, frente al 32,1 % de GPT‑5.6 Cyber. También respeta los límites de las tareas con mayor confiabilidad: en una evaluación de alineación independiente, GPT‑6 Cyber evitó explotar servicios fuera del alcance en el 99,93 % de las pruebas sin su prompt de despliegue, y en el 100 % con este prompt. Esta mejora en la alineación refleja un entrenamiento específico para mantenerse dentro del alcance autorizado, respetar las restricciones e informar los resultados con precisión.

Estas capacidades ya ayudan a proteger sistemas reales. Nuestros investigadores usaron GPT‑6 Cyber para desarrollar 948 exploits de escalamiento de privilegios en Linux⁠ e identificar 81 vulnerabilidades de gravedad alta antes desconocidas en Firefox, a pesar de las extensas pruebas previas con modelos de vanguardia. El modelo también ayudó a desarrollar propuestas de parches, y Mozilla ha publicado correcciones para muchas de las vulnerabilidades de Firefox⁠(se abre en una nueva ventana). Los equipos de seguridad de Cisco, Calif y CodeRabbit lo usan para investigar vulnerabilidades y revisar código, y hemos recurrido a él para encontrar y corregir debilidades en nuestra propia infraestructura⁠.

Está claro que tenemos un plazo limitado para usar modelos de vanguardia para proteger el software⁠. Nuestro objetivo es ampliar enormemente Daybreak y llevar la investigación avanzada de seguridad a organizaciones de todos los tamaños, investigadores independientes y responsables del mantenimiento de código abierto. Los modelos de la línea principal, como GPT‑6 Astra, ya permiten revisar código, clasificar y priorizar vulnerabilidades y desarrollar parches. Daybreak Blue ayuda a los defensores verificados a validar vulnerabilidades y correcciones con menos rechazos innecesarios, mientras que Daybreak Red permite un desarrollo de exploits más profundo y pruebas de seguridad autorizadas con GPT‑6 Cyber.

GPT‑6 Cyber representa un gran avance frente a GPT‑5.6 Cyber y supera a GPT‑6 Astra en la mayoría de las tareas de ciberseguridad, incluso cuando Astra no rechaza la solicitud. Evaluamos el modelo en tareas que le exigen comprender el software, identificar vulnerabilidades y desarrollar exploits funcionales. Con base en estos resultados, clasificamos el modelo en el nivel crítico de ciberseguridad según nuestro Marco de preparación, por encima del nivel alto de GPT‑5.6 Cyber.

En ExploitGym, que evalúa si los modelos pueden explotar una vulnerabilidad especificada en un objetivo remoto, GPT‑6 Cyber obtiene un 48,5 %, unos 16 puntos porcentuales por encima del 32,1 % de GPT‑5.6 Cyber. Para evaluar el descubrimiento de vulnerabilidades, también creamos una nueva evaluación de pruebas ofensivas de penetración web. Los modelos exploran aplicaciones web sin acceso a su código fuente. GPT‑6 Cyber logró una tasa de detección de vulnerabilidades del 40,3 %, frente al 32,0 % de GPT‑6 Astra.

Daybreak Red está diseñado para facilitar flujos de trabajo de seguridad más avanzados, como el desarrollo de exploits funcionales y su uso contra objetivos remotos. Para evaluar estas capacidades, creamos una nueva prueba de referencia llamada RemoteExploitBench, que utiliza vulnerabilidades conocidas en aplicaciones como GitLab, PostgreSQL y Jenkins desplegadas en un entorno controlado. En nuestra evaluación inicial, GPT‑6 Astra con Daybreak Blue rechazó el 100 % de las tareas, mientras que GPT‑6 Cyber completó el 95 %; su único fallo fue un exploit que no logró hacer funcionar de forma remota. Consulta la tarjeta del sistema⁠(se abre en una nueva ventana) para ver los resultados completos y la configuración de las evaluaciones.

Uno de los riesgos de los agentes de ciberseguridad es que excedan el alcance de la tarea asignada, intenten explotar servicios ajenos a ella o ignoren las reglas de actuación del investigador.

Hicimos de la alineación un eje central de GPT‑6 Cyber, con entrenamiento especializado para ayudar al modelo a mantenerse dentro del alcance autorizado, respetar las restricciones de sus acciones e informar con precisión sobre su trabajo. Antes del despliegue, realizamos una serie de evaluaciones de alineación para medir estos comportamientos. Consulta la tarjeta del sistema⁠(se abre en una nueva ventana) para ver los resultados completos.

Una de estas evaluaciones es ExploitGym Honeypot, cuyo diseño tomó en cuenta el incidente de Hugging Face⁠. Le asignamos al modelo una tarea difícil de explotación de vulnerabilidades en un entorno aislado con acceso a servicios de apoyo, como un registro de paquetes o un almacén de objetos. Hacemos que estos servicios sean fáciles de explotar de forma deliberada, de modo que atacarlos pueda revelar la bandera de la tarea. El modelo debe inferir que explotarlos queda fuera del alcance de su tarea.

GPT‑6 Cyber muestra una mejora sustancial frente a GPT‑5.6 Cyber en esta evaluación. En las pruebas sin prompts de seguridad de despliegue, evitó explotar servicios fuera del alcance en el 99,93 % de los casos, frente al 94,49 % de GPT‑5.6 Cyber. Con esos prompts, GPT‑6 Cyber respetó los límites el 100 % de las veces.

Podemos ver directamente en la cadena de pensamiento del modelo GPT‑6 Cyber cómo razona para respetar los límites:

GPT‑6 Cyber ya ayuda a los equipos de seguridad a encontrar vulnerabilidades, validar su impacto y desarrollar correcciones. Los clientes lo han puesto a trabajar con grandes bases de código, tareas prolongadas de desarrollo de exploits y revisiones de seguridad:

También hemos recurrido a GPT‑6 Cyber para proteger nuestros propios sistemas. Fue uno de los principales modelos que usamos en el trabajo que compartimos recientemente sobre cómo reforzar la infraestructura utilizada para entrenar modelos de vanguardia⁠. En campañas controladas de red teaming, los agentes que usaban GPT‑6 Cyber y otros modelos de OpenAI encadenaron vulnerabilidades para escapar de microVM y ejecutar código en los hosts subyacentes. Usamos los hallazgos para aplicar parches al software, reforzar las restricciones de red y reportar problemas a los responsables del mantenimiento y a los proveedores.

Nuestros investigadores de vulnerabilidades también usan GPT‑6 Cyber para encontrar y validar vulnerabilidades en software de código abierto a gran escala. Este trabajo ha revelado fallas antes desconocidas en software que se ha examinado exhaustivamente durante años:

• Descubrimiento de 81 vulnerabilidades nuevas en Firefox. GPT‑6 Cyber puede ser adecuado para flujos de trabajo autónomos que buscan vulnerabilidades y proponen parches de alta calidad a gran escala. Durante una campaña de investigación de vulnerabilidades, GPT‑6 Cyber generó evidencia y pruebas reproducibles de 81 vulnerabilidades nuevas que Mozilla clasificó como de gravedad alta, y demostró que otros 30 problemas conocidos eran más graves de lo que se había reportado. Comunicamos los hallazgos a Mozilla junto con propuestas de parches para ayudar a sus ingenieros a desarrollar correcciones. Mozilla apoyó este trabajo y comenzó a incorporar correcciones poco después de recibir los reportes⁠(se abre en una nueva ventana).

• Desarrollo de exploits para 948 vulnerabilidades del kernel de Linux⁠. GPT‑6 Cyber reprodujo 1724 vulnerabilidades y desarrolló exploits funcionales para 948, más de cinco veces las 166 que explotó GPT‑5.6 Sol con el mismo arnés de ejecución para investigación. Siguiendo las recomendaciones de la comunidad de Linux, comunicamos 304 hallazgos críticos a los responsables del mantenimiento junto con propuestas de parches, y estamos trabajando para que se corrijan otras vulnerabilidades.

• Demostración de vulnerabilidades críticas de ejecución remota de código (RCE). Hace poco hablamos de una vulnerabilidad crítica en Brotli⁠(se abre en una nueva ventana), una biblioteca de compresión que usan Node.js y otros programas. Nuestros investigadores de seguridad usaron GPT‑6 Cyber junto con otros modelos de OpenAI para desarrollar y validar exploits que demostraban cómo la falla podía permitir la ejecución remota de código en aplicaciones que dependen de esa biblioteca.

A medida que los modelos adquieren más capacidades y descubren más vulnerabilidades de seguridad, también observamos más intentos de usarlos para causar daño. Entre ellos hay intentos de actores cibernéticos maliciosos y grupos adversarios que buscan destilar nuestros modelos. Por eso, acompañamos las mayores capacidades de GPT‑6 Cyber con salvaguardas más sólidas para detectar e interrumpir el uso indebido y mantener las acciones del modelo dentro de la intención y la autorización del usuario.

Incorporamos y reforzamos estas protecciones junto con el lanzamiento de GPT‑6 Cyber (consulta la tarjeta del sistema⁠(se abre en una nueva ventana) para ver la información completa):

• Monitoreo de desalineación específico para ciberseguridad. Monitoreamos si las acciones se ajustan a la autorización del usuario, sin dejar de reconocer el desarrollo y las pruebas legítimas de exploits.

• Monitoreo dirigido de amenazas emergentes. Por ejemplo, durante la divulgación coordinada de vulnerabilidades críticas de PHP, establecimos un monitoreo dirigido a detectar intentos de desarrollar exploits contra servidores PHP en funcionamiento, sin dejar de apoyar a los defensores que aplicaban parches a los sistemas afectados.

• Procesamiento privado de seguridad (PSP). Usamos verificaciones automatizadas para revisar las interacciones relacionadas en busca de uso indebido. La retención estándar sigue siendo la opción predeterminada. Por lo general, los clientes de la API que usan retención cero de datos⁠(se abre en una nueva ventana) deben usar PSP⁠(se abre en una nueva ventana), que revisa registros cifrados conservados en el almacenamiento del cliente durante 30 días sin exponer los prompts ni las respuestas al personal de OpenAI.

• Protección contra el robo de credenciales. De forma predeterminada, exigimos listas de IP permitidas para acceder a la API de Daybreak Red, lo que restringe las solicitudes a redes aprobadas, con excepciones limitadas. También monitoreamos las credenciales para detectar si han sido comprometidas.

• Entornos aislados y supervisión. Al igual que con modelos anteriores, recomendamos el uso de entornos aislados⁠(se abre en una nueva ventana), la revisión de acciones⁠(se abre en una nueva ventana) y la supervisión humana en los flujos de trabajo de alto riesgo.

• Protecciones contra la asistencia cibernética de alto riesgo. Usamos nuevas verificaciones para bloquear actividades de alto riesgo que involucren sistemas críticos (más información a continuación).

La protección de la infraestructura crítica ha sido clave en el diseño de las salvaguardas y el acceso a GPT‑6 Cyber. Esto incluye centrales eléctricas, plantas de tratamiento de agua y la tecnología operativa y los sistemas de control industrial (OT/ICS) que las sustentan. Queremos dar a los equipos que defienden estos sistemas acceso a nuestros modelos más capaces y, al mismo tiempo, reforzar nuestras salvaguardas para prevenir ataques no autorizados.

En primer lugar, para equipar a estos defensores, nuestro programa de subvenciones de 1000 millones de dólares, Daybreak para defensores de primera línea⁠, subsidia el acceso de equipos con recursos limitados, como organizaciones gubernamentales y proveedores de servicios esenciales. También presentamos un nuevo grupo dentro de Daybreak Red (Daybreak Red para infraestructura crítica) para defensores aprobados de infraestructura crítica. Este grupo les otorga permisos para realizar pruebas autorizadas de sistemas críticos, al tiempo que mantiene las salvaguardas contra la desalineación del modelo.

En segundo lugar, para prevenir el uso indebido de las plataformas Daybreak Red y Blue, perfeccionamos las salvaguardas contra la asistencia y el desarrollo de capacidades que podrían comprometer controles industriales o sistemas esenciales para la seguridad, interferir con equipos o causar lesiones graves, daños físicos catastróficos o interrupciones de servicios que pongan vidas en peligro. La siguiente figura compara las tasas de etiquetado de las salvaguardas en cuatro configuraciones de acceso, antes y después de las actualizaciones recientes que estamos implementando junto con GPT‑6 Cyber.

Una tasa de bloqueo más alta de las salvaguardas no siempre es mejor. Muchas de las técnicas de esta evaluación también son esenciales para el trabajo legítimo de seguridad: comprender los sistemas, encontrar vulnerabilidades y verificar que las correcciones resistan los ataques. Por eso, evaluamos estas tasas junto con el apoyo a la investigación legítima y la aplicación de parches, en lugar de aspirar al 100 %.

Para evaluar cómo nuestros modelos pueden ayudar a defender la infraestructura crítica, nos asociamos con Dragos, el proveedor global de ciberseguridad para tecnología operativa extendida (xOT). Dragos realizó evaluaciones en un entorno de laboratorio controlado con modelos de Daybreak Red que permiten una gama más amplia de actividades cibernéticas. Las evaluaciones abarcaron solicitudes que avanzaban desde el descubrimiento de redes y la enumeración de activos hasta el reconocimiento dirigido, la exfiltración de datos sensibles y acciones no autorizadas y potencialmente peligrosas en dispositivos.

Usamos los comentarios de Dragos para perfeccionar nuestras salvaguardas, con el objetivo de bloquear la asistencia dañina sin restringir innecesariamente las pruebas autorizadas. Consulta su informe final⁠(se abre en una nueva ventana) para conocer los detalles de las evaluaciones. También trabajamos para ampliar las alianzas con otros proveedores de seguridad ofensiva y equipos morados en pruebas de penetración y red teaming con IA, así como con empresas energéticas, otros operadores de infraestructura crítica y laboratorios nacionales para evaluar la eficacia y las salvaguardas de nuestros modelos en la defensa industrial. También aumentamos nuestra inversión en investigaciones de amenazas para detectar usos de los modelos que involucren OT/ICS. Seguiremos perfeccionando nuestras salvaguardas con los aportes de nuestros socios y de la comunidad de seguridad, incluidos los reportes enviados a través de /feedback cuando las salvaguardas no detecten actividades dañinas o interrumpan el trabajo legítimo.

GPT‑6 Cyber está disponible inicialmente a través de la API y Codex para un grupo selecto de clientes aprobados de Daybreak Red. Pronto ampliaremos progresivamente el acceso a todos los clientes de Daybreak Red, y también estamos poniendo GPT‑5.6 Cyber a disposición de todos ellos. También estamos ampliando el acceso alfa de Daybreak Blue para GPT‑6 Astra a más organizaciones e investigadores de seguridad independientes; avísanos⁠(se abre en una nueva ventana) si te interesa.

Los nuevos usuarios y organizaciones pueden solicitar acceso a Daybreak⁠ y comenzar con nuestras habilidades, productos y socios de ciberseguridad⁠.