La IA, en tu trabajo.

Qué ha anunciado OpenAI

OpenAI presentó GPT-6 Cyber el 5 de noviembre para investigación de vulnerabilidades, con acceso inicial mediante API y Codex para clientes seleccionados de Daybreak Red. El fabricante comunica un 48,5 % en ExploitGym, frente al 32,1 % de GPT-5.6 Cyber. Anuncio de OpenAI.

En una evaluación distinta, sobre explotación de servicios fuera de alcance, informa de un 99,93 % de pruebas sin esa conducta al prescindir de las instrucciones de seguridad de despliegue, y del 100 % al incluirlas. Son resultados del fabricante bajo condiciones de evaluación.

Qué miden esos porcentajes

La ficha del sistema describe ExploitGym como una prueba de explotación de una vulnerabilidad especificada: exige obtener una señal de éxito y confirmar que se utilizó el fallo previsto. Honeypot añade un servicio auxiliar cuya explotación queda fuera del alcance autorizado. El 100 % observado corresponde a esa prueba. Ficha del sistema, apartados 4.1 y 7.0.5.

Interpretación de Nexo: estos porcentajes no permiten calcular cuántos fallos encontrará el agente en un conector empresarial ni garantizan que siempre respetará sus límites. Para valorar un proyecto hacen falta evidencias obtenidas sobre su configuración concreta.

Disponibilidad y condiciones de uso

A fecha de consulta, GPT-6 Cyber requiere aprobación específica además de Daybreak Red. La solicitud ordinaria de Red está limitada a organizaciones empresariales aprobadas; la vía individual no lo incluye. Una compra o contrato no garantiza acceso. La guía restringe Daybreak al uso interno autorizado, sin reventa ni acceso para usuarios externos, y no concede retención cero de datos automáticamente. Guía de acceso.

La ficha del modelo publica tarifas estándar para contexto corto de 20 dólares por millón de tokens de entrada, 2 dólares para entrada en caché y 100 dólares por millón de tokens de salida. Son precios de consumo de API, no un presupuesto cerrado de auditoría. Ficha y precios de GPT-6 Cyber.

Para presupuestar un piloto, Nexo propone contabilizar también las repeticiones, la preparación del entorno y la revisión de los hallazgos. La autorización de acceso al modelo y el permiso para examinar los sistemas del proyecto deben quedar resueltos por separado.

Qué exigir al entregar una auditoría

Criterio editorial de Nexo: conviene acordar las condiciones de aceptación antes de ejecutar el ensayo. Un informe útil debe permitir distinguir lo comprobado, lo pendiente y lo que quedó fuera del trabajo. Proponemos esta pauta para responsables técnicos:

Ejemplo sintético: un conector de Business Central

Imaginemos la revisión del código propio de un conector de integración. El equipo prepara una copia de ensayo con datos ficticios y servicios simulados. Autoriza revisar el tratamiento de permisos y errores del conector, y excluye expresamente el entorno de producción, las cuentas reales y los servicios de terceros.

Si el agente señala una posible omisión de una comprobación de permisos, el entregable debería identificar la versión afectada, las precondiciones y una prueba reproducible dentro del entorno autorizado. Si no consigue reproducirla, el informe debe conservarla como hipótesis pendiente, sin presentarla como vulnerabilidad confirmada.

Este escenario es un ejemplo editorial: no describe una ejecución de GPT-6 Cyber ni un fallo conocido de Business Central. La decisión de aceptar el trabajo dependería de la evidencia y de la revisión humana. Un ensayo sin hallazgos tampoco permitiría concluir que todo el sistema está libre de vulnerabilidades.