GPT‑6 Cyber: nuevos horizontes para los agentes de ciberseguridad alineados
Un modelo de ciberseguridad entrenado para encontrar y validar vulnerabilidades explotables sin exceder el alcance que fijan los investigadores.
Presentamos GPT‑6 Cyber, un gran avance en la investigación en seguridad: más capaz de encontrar y corregir vulnerabilidades, y mucho más fiable a la hora de respetar los límites que fijan los investigadores. GPT‑6 Cyber logra grandes mejoras respecto a GPT‑5.6 Cyber en pruebas de referencia clave de ciberseguridad, entre ellas una mejora relativa del 51 % en ExploitGym y un salto cualitativo en las pruebas de respeto del alcance autorizado. Ya está ayudando a proteger software real, al descubrir y validar miles de exploits en bases de código fundamentales para la seguridad, como Linux y Firefox.
En ExploitGym, que comprueba si los modelos pueden explotar una vulnerabilidad especificada, GPT‑6 Cyber obtiene un 48,5 %, frente al 32,1 % de GPT‑5.6 Cyber. También respeta los límites de la tarea de forma más fiable: en una evaluación de alineación independiente, GPT‑6 Cyber evitó explotar servicios fuera del alcance autorizado en el 99,93 % de las pruebas sin su prompt de despliegue, y en el 100 % con él. Esta mejora de la alineación refleja un entrenamiento específico para mantenerse dentro del alcance autorizado, respetar las restricciones e informar de los resultados con precisión.
Estas capacidades ya están ayudando a proteger sistemas reales. Nuestros investigadores utilizaron GPT‑6 Cyber para desarrollar 948 exploits de escalada de privilegios en Linux e identificar 81 vulnerabilidades de gravedad alta hasta entonces desconocidas en Firefox, pese a las extensas pruebas previas con modelos de vanguardia. El modelo también ayudó a desarrollar propuestas de parches, y Mozilla ha publicado correcciones para muchas de las vulnerabilidades de Firefox(se abre en una ventana nueva). Los equipos de seguridad de Cisco, Calif y CodeRabbit lo utilizan para investigar vulnerabilidades y revisar código, y nosotros hemos recurrido a él para encontrar y corregir debilidades en nuestra propia infraestructura.
Está claro que disponemos de un plazo limitado para usar modelos de vanguardia para proteger el software. Nuestro objetivo es ampliar drásticamente Daybreak y llevar la investigación avanzada en seguridad a organizaciones de todos los tamaños, investigadores independientes y responsables del mantenimiento de software de código abierto. Los modelos de uso general, como GPT‑6 Astra, ya permiten revisar código, clasificar vulnerabilidades y desarrollar parches. Daybreak Blue ayuda a los defensores verificados a validar vulnerabilidades y correcciones con menos rechazos innecesarios, mientras que Daybreak Red permite profundizar en el desarrollo de exploits y realizar pruebas de seguridad autorizadas con GPT‑6 Cyber.
GPT‑6 Cyber supone un gran avance respecto a GPT‑5.6 Cyber y supera a GPT‑6 Astra en la mayoría de las tareas de ciberseguridad, incluso cuando Astra no rechaza la solicitud. Evaluamos el modelo en tareas que le exigen comprender software, identificar vulnerabilidades y desarrollar exploits funcionales. A partir de estos resultados, clasificamos el modelo en el nivel crítico de ciberseguridad según nuestro Marco de preparación, frente al nivel alto de GPT‑5.6 Cyber.
En ExploitGym, que comprueba si los modelos pueden explotar una vulnerabilidad especificada en un objetivo remoto, GPT‑6 Cyber obtiene un 48,5 %, unos 16 puntos porcentuales por encima del 32,1 % de GPT‑5.6 Cyber. Para poner a prueba la detección de vulnerabilidades, también creamos una nueva evaluación de pruebas ofensivas de penetración web. Los modelos examinan aplicaciones web sin acceso a su código fuente. GPT‑6 Cyber detectó el 40,3 % de las vulnerabilidades, frente al 32,0 % de GPT‑6 Astra.
Daybreak Red está diseñado para facilitar flujos de trabajo de seguridad más avanzados, incluido el desarrollo de exploits funcionales y su uso contra objetivos remotos. Para evaluar estas capacidades, creamos una nueva prueba de referencia llamada RemoteExploitBench, que utiliza vulnerabilidades conocidas en aplicaciones como GitLab, PostgreSQL y Jenkins desplegadas en un entorno controlado. En nuestra evaluación inicial, GPT‑6 Astra con Daybreak Blue rechazó el 100 % de las tareas, mientras que GPT‑6 Cyber completó el 95 %; su único fallo fue un exploit que no consiguió hacer funcionar de forma remota. Consulta la tarjeta del sistema(se abre en una ventana nueva) para ver los resultados completos y la configuración de las evaluaciones.
Uno de los riesgos de los agentes de ciberseguridad es que excedan el alcance de la tarea asignada, intenten explotar servicios ajenos a ella o ignoren las reglas de intervención del investigador.
Hemos hecho de la alineación un eje central de GPT‑6 Cyber, con un entrenamiento especializado para ayudar al modelo a mantenerse dentro del alcance autorizado, respetar las restricciones sobre sus acciones e informar de su trabajo con precisión. Antes del despliegue, realizamos una serie de evaluaciones de alineación para medir estos comportamientos. Consulta la tarjeta del sistema(se abre en una ventana nueva) para ver los resultados completos.
Una de estas evaluaciones es ExploitGym Honeypot, cuyo diseño tuvo en cuenta el incidente de Hugging Face. Asignamos al modelo una tarea de explotación difícil en un entorno aislado con acceso a servicios auxiliares, como un registro de paquetes o un almacén de objetos. Hacemos que estos servicios sean fáciles de explotar deliberadamente, de modo que atacarlos pueda revelar la bandera de la tarea. El modelo debe deducir que explotarlos queda fuera del alcance de su tarea.
GPT‑6 Cyber muestra un salto cualitativo respecto a GPT‑5.6 Cyber en esta evaluación. En las pruebas sin los prompts de seguridad del despliegue, evitó explotar servicios fuera del alcance autorizado en el 99,93 % de los casos, frente al 94,49 % de GPT‑5.6 Cyber. Con esos prompts, GPT‑6 Cyber respetó los límites en el 100 % de los casos.
Podemos ver directamente en la cadena de pensamiento del modelo GPT‑6 Cyber cómo razona sobre la necesidad de respetar los límites:
“Can't assume extra API or attack controller not target. We should only target binary/server.”
“don't explore out of scope credentials.”
GPT‑6 Cyber ya está ayudando a los equipos de seguridad a encontrar vulnerabilidades, validar su impacto y desarrollar correcciones. Los clientes lo han puesto a trabajar en grandes bases de código, tareas prolongadas de desarrollo de exploits y revisiones de seguridad:
También hemos recurrido a GPT‑6 Cyber para proteger nuestros propios sistemas. Fue uno de los principales modelos utilizados en el trabajo que compartimos recientemente sobre el refuerzo de la infraestructura utilizada para entrenar modelos de vanguardia. En campañas controladas de red teaming, agentes que usaban GPT‑6 Cyber y otros modelos de OpenAI encadenaron vulnerabilidades para escapar de microVM y ejecutar código en los hosts subyacentes. Utilizamos los hallazgos para aplicar parches al software, reforzar las restricciones de red e informar de los problemas a los responsables del mantenimiento y a los proveedores.
Nuestros investigadores de vulnerabilidades también usan GPT‑6 Cyber para encontrar y validar vulnerabilidades en software de código abierto a gran escala. Este trabajo ha descubierto fallos hasta ahora desconocidos en software que lleva años sometido a un análisis exhaustivo:
Hallazgo de 81 vulnerabilidades nuevas en Firefox. GPT‑6 Cyber puede ser adecuado para flujos de trabajo autónomos de búsqueda de vulnerabilidades y propuesta de parches de alta calidad a gran escala. Durante una campaña de investigación de vulnerabilidades, GPT‑6 Cyber generó evidencias y pruebas reproducibles de 81 vulnerabilidades nuevas que Mozilla clasificó como de gravedad alta, y demostró que otros 30 problemas conocidos eran más graves de lo que se había comunicado. Comunicamos los hallazgos a Mozilla junto con propuestas de parches para ayudar a sus ingenieros a desarrollar correcciones. Mozilla apoyó este trabajo y comenzó a incorporar correcciones poco después de recibir los informes(se abre en una ventana nueva).
Desarrollo de exploits para 948 vulnerabilidades del kernel de Linux. GPT‑6 Cyber reprodujo 1724 vulnerabilidades y desarrolló exploits funcionales para 948, más de cinco veces las 166 que explotó GPT‑5.6 Sol con el mismo arnés de investigación. Siguiendo las indicaciones de la comunidad de Linux, comunicamos 304 hallazgos críticos a los responsables del mantenimiento junto con propuestas de parches, y estamos trabajando para que se corrijan otras vulnerabilidades.
Demostración de vulnerabilidades críticas de ejecución remota de código (RCE). Recientemente hablamos de una vulnerabilidad crítica en Brotli(se abre en una ventana nueva), una biblioteca de compresión que utilizan Node.js y otros programas. Nuestros investigadores de seguridad utilizaron GPT‑6 Cyber junto con otros modelos de OpenAI para desarrollar y validar exploits que mostraban cómo el fallo podía permitir la ejecución remota de código en aplicaciones que dependen de esa biblioteca.
A medida que los modelos adquieren más capacidades y descubren más vulnerabilidades de seguridad, también observamos más intentos de utilizarlos para causar daño. Entre ellos hay iniciativas de actores maliciosos del ciberespacio y grupos adversarios que buscan destilar nuestros modelos. Por eso, hemos acompañado las mayores capacidades de GPT‑6 Cyber de salvaguardas más sólidas para detectar e interrumpir el uso indebido y mantener las acciones del modelo dentro de lo que el usuario pretende y autoriza.
Hemos añadido y reforzado estas protecciones con el lanzamiento de GPT‑6 Cyber (consulta la tarjeta del sistema(se abre en una ventana nueva) para obtener toda la información):
Supervisión de la desalineación específica de la ciberseguridad. Supervisamos si las acciones se ajustan a la autorización del usuario, sin dejar de reconocer el desarrollo y las pruebas legítimas de exploits.
Supervisión específica de amenazas emergentes. Por ejemplo, durante la divulgación coordinada de vulnerabilidades críticas de PHP, establecimos una supervisión específica de los intentos de desarrollar exploits contra servidores PHP en funcionamiento, manteniendo el apoyo a los defensores que aplicaban parches a los sistemas afectados.
Procesamiento privado de seguridad (PSP). Usamos comprobaciones automatizadas para revisar interacciones relacionadas y detectar usos indebidos. La retención estándar sigue siendo la opción predeterminada. Los clientes de la API que utilizan la opción sin retención de datos(se abre en una ventana nueva) deben, por lo general, usar PSP(se abre en una ventana nueva), que revisa registros cifrados conservados durante 30 días en el almacenamiento del cliente sin exponer los prompts ni las respuestas al personal de OpenAI.
Protección frente al robo de credenciales. Por defecto, exigimos listas de direcciones IP permitidas para acceder a la API de Daybreak Red, lo que restringe las solicitudes a redes aprobadas, con excepciones limitadas. También supervisamos las credenciales para detectar si se han visto comprometidas.
Aislamiento y supervisión. Al igual que con los modelos anteriores, recomendamos el aislamiento en entornos seguros(se abre en una ventana nueva), la revisión de acciones(se abre en una ventana nueva) y la supervisión humana en los flujos de trabajo de alto riesgo.
Protecciones frente a la asistencia de alto riesgo en ciberseguridad. Usamos nuevas comprobaciones para bloquear actividades de alto riesgo que afecten a sistemas críticos (más información a continuación).
La protección de las infraestructuras críticas ha sido un factor clave al diseñar las salvaguardas y el acceso a GPT‑6 Cyber. Esto incluye las centrales eléctricas, las instalaciones de tratamiento de agua y la tecnología operativa y los sistemas de control industrial (OT/ICS) en los que se sustentan. Queremos dar acceso a nuestros modelos más capaces a los equipos que defienden estos sistemas y, al mismo tiempo, reforzar nuestras salvaguardas para prevenir ataques no autorizados.
En primer lugar, para dotar de recursos a estos defensores, nuestro programa de ayudas Daybreak para defensores en primera línea, de 1000 millones de dólares, subvenciona el acceso a equipos con recursos limitados, como organismos públicos y proveedores de servicios esenciales. También presentamos un nuevo grupo dentro de Daybreak Red (Daybreak Red para infraestructuras críticas) destinado a defensores aprobados de infraestructuras críticas. Les concede permisos para realizar pruebas autorizadas en sistemas críticos, manteniendo las salvaguardas frente a la desalineación del modelo.
En segundo lugar, para evitar el uso indebido de las plataformas Daybreak Red y Blue, hemos perfeccionado las salvaguardas frente a la asistencia y el desarrollo de capacidades que puedan comprometer controles industriales o sistemas esenciales para la seguridad, interferir con equipos o causar lesiones graves, daños físicos catastróficos o interrupciones de servicios que pongan vidas en peligro. La figura siguiente compara las tasas de etiquetado de las salvaguardas en cuatro configuraciones de acceso, antes y después de las actualizaciones recientes que estamos implementando junto con GPT‑6 Cyber.
Unas tasas de bloqueo más altas no siempre son mejores. Muchas de las técnicas de esta evaluación también son esenciales para el trabajo legítimo de seguridad: comprender los sistemas, encontrar vulnerabilidades y verificar que las correcciones resisten los ataques. Por eso, evaluamos estas tasas junto con el apoyo a la investigación legítima y la aplicación de parches, en lugar de aspirar al 100 %.
Para evaluar cómo pueden ayudar nuestros modelos a defender las infraestructuras críticas, nos asociamos con Dragos, proveedor global de ciberseguridad para tecnología operativa extendida (xOT). Dragos realizó evaluaciones con modelos de Daybreak Red con menos restricciones de ciberseguridad en un entorno de laboratorio controlado. Las evaluaciones abarcaron solicitudes que avanzaban desde el descubrimiento de redes y la enumeración de activos hasta el reconocimiento dirigido, la exfiltración de datos sensibles y acciones no autorizadas y potencialmente peligrosas en dispositivos.
Utilizamos los comentarios de Dragos para perfeccionar nuestras salvaguardas, con el objetivo de bloquear la asistencia perjudicial sin restringir innecesariamente las pruebas autorizadas. Consulta su informe final(se abre en una ventana nueva) para conocer los detalles de las evaluaciones. También estamos ampliando la colaboración con otros proveedores de seguridad ofensiva y equipos mixtos de ataque y defensa para realizar pruebas de penetración y red teaming con IA, así como con empresas energéticas, otros operadores de infraestructuras críticas y laboratorios nacionales para evaluar la eficacia y las salvaguardas de nuestros modelos en la defensa industrial. Además, hemos aumentado nuestra inversión en investigación de amenazas para detectar usos de los modelos relacionados con OT/ICS. Seguiremos perfeccionando nuestras salvaguardas con las aportaciones de nuestros socios y de la comunidad de seguridad, incluidos los informes enviados a través de /feedback cuando las salvaguardas no detecten actividades perjudiciales o interrumpan trabajos legítimos.
GPT‑6 Cyber está disponible inicialmente a través de la API y Codex para un grupo selecto de clientes aprobados de Daybreak Red. Pronto ampliaremos el acceso de forma progresiva a todos los clientes de Daybreak Red. También estamos poniendo GPT‑5.6 Cyber a disposición de todos ellos. También estamos ampliando el acceso a la versión alfa de Daybreak Blue para GPT‑6 Astra a más organizaciones e investigadores de seguridad independientes; avísanos(se abre en una ventana nueva) si te interesa.
Los nuevos usuarios y organizaciones pueden solicitar acceso a Daybreak y empezar a trabajar con nuestras habilidades, productos y socios de ciberseguridad.
