OpenAI continúa ampliando Daybreak, su iniciativa centrada en reforzar las capacidades de sus modelos para trabajos avanzados de ciberseguridad, la compañía ha presentado nuevos resultados de GPT-5.6-Cyber, un modelo entrenado específicamente para determinados flujos de trabajo relacionados con investigación de seguridad y desarrollo controlado de exploits, con el objetivo de responder a un escenario en el que la ventana disponible para detectar y corregir vulnerabilidades es cada vez más reducida.
Uno de los ámbitos en los que OpenAI ha evaluado el modelo es ExploitGym2, una prueba que analiza si un agente puede convertir vulnerabilidades conocidas en exploits funcionales capaces de conseguir ejecución arbitraria de código dentro de entornos controlados. En esta evaluación, GPT-5.6-Cyber supera a GPT-5.6 Sol y GPT-5.5 Cyber, según los resultados publicados por OpenAI, el modelo también ha sido entrenado para mejorar su capacidad para identificar vulnerabilidades zero-day y determinar correctamente su gravedad.
Para ello, OpenAI creó una evaluación interna en la que proporciona a los modelos una versión actual de un repositorio de código abierto y les pide que investiguen posibles vulnerabilidades, desarrollen pruebas de concepto con el mayor impacto posible y elaboren un informe técnico, los modelos se evalúan tanto por la gravedad e impacto de los descubrimientos como por la precisión con la que calibran su importancia y la calidad de los informes generados. En esta prueba, GPT-5.6-Cyber superó a GPT-5.6 Sol, algo que OpenAI atribuye a su entrenamiento especializado.
Los resultados no son uniformes en todas las pruebas, en la evaluación interna de Vulnerability Discovery and Report Writing, los modelos reciben una tarea abierta para localizar vulnerabilidades dentro de un repositorio que contiene una vulnerabilidad conocida. Para obtener una buena puntuación deben encontrar vulnerabilidades graves y accionables, desarrollar una prueba de concepto funcional y presentar un informe de seguridad detallado, tanto GPT-5.6 Sol como GPT-5.6-Cyber mejoran respecto a GPT-5.5-Cyber y, sin embargo, en esta prueba GPT-5.6-Cyber obtiene peores resultados que GPT-5.6 Sol.
OpenAI considera que una de las razones es que el modelo especializado genera en ocasiones informes de vulnerabilidades más cortos y menos detallados, también utilizó ExploitBench3, una evaluación centrada en desarrollar un exploit completo a partir de una vulnerabilidad de V8, el motor JavaScript utilizado por Chrome. La prueba es más compleja que ExploitGym porque mantiene activas más protecciones defensivas, incluido el sandbox de V8, y proporciona al agente menos información sobre la vulnerabilidad, en el escenario estándar, limitado a 300 turnos, GPT-5.6 Sol es el modelo que mejor funciona y además consigue resolver las tareas utilizando menos tokens. Sin embargo, cuando el límite se amplía hasta 600 turnos, la diferencia de rendimiento entre GPT-5.6 Sol y GPT-5.6-Cyber se reduce.
Más allá de los benchmarks, OpenAI asegura que GPT-5.6-Cyber también se ha utilizado en investigaciones de vulnerabilidades sobre software real, uno de los ejemplos proporcionados por la compañía corresponde a V8, el motor JavaScript utilizado por Chrome. Durante esta investigación, GPT-5.6-Cyber permitió descubrir dos vulnerabilidades previamente desconocidas que podían encadenarse para provocar corrupción de memoria y escapar del heap sandbox de V8, los investigadores de OpenAI validaron los descubrimientos y los comunicaron a Google mediante un proceso coordinado de divulgación de vulnerabilidades, Google solucionó posteriormente el problema y le asignó el identificador CVE-2026-15903.
Según OpenAI, CVE-2026-15903 es una vulnerabilidad de alta gravedad relacionada con el compilador optimizador de V8, el problema se encontraba en una conversión de valores a números enteros en la que el compilador omitía incorrectamente una comprobación de seguridad. Esto podía provocar que determinados valores indefinidos generasen un número inesperadamente grande, si ese número terminaba utilizándose como índice de un array, el compilador podía asumir incorrectamente que el índice estaba dentro de los límites y omitir la comprobación correspondiente.
El resultado podía permitir a un atacante leer o sobrescribir memoria perteneciente a otros objetos, abriendo potencialmente la puerta a la ejecución arbitraria de código dentro del entorno de Chrome, por ello, para escapar del heap sandbox, era necesario combinar esta vulnerabilidad con un segundo fallo. Según OpenAI, GPT-5.6-Cyber también consiguió encontrar esa segunda vulnerabilidad, permitiendo encadenar ambos problemas, la compañía también ha proporcionado acceso anticipado a GPT-5.6-Cyber a un grupo de clientes de confianza para comprobar su utilidad en flujos de trabajo defensivos reales.
Jared Atkinson, CTO de SpecterOps, destaca que el modelo ha mejorado la investigación de vulnerabilidades al razonar con mayor precisión sobre las restricciones de los exploits y mantener mejor el estado de investigaciones complejas. Según OpenAI, estas experiencias muestran que los modelos especializados en ciberseguridad pueden complementar a los investigadores humanos en procesos que requieren analizar grandes cantidades de código, formular hipótesis, comprobarlas y repetir el proceso hasta encontrar una vulnerabilidad explotable.