Scoprire una falla, riprodurla e aiutare a correggerla: sono i tre passaggi al centro di GPT-6 Cyber, il modello specializzato nella sicurezza informatica presentato da OpenAI il 5 novembre. Deriva da GPT-6 Astra, ma è pensato per lavori tecnici autorizzati su software e infrastrutture. Il primo accesso passa da API e Codex per un gruppo selezionato di partecipanti a Daybreak Red.
Che cosa mostrano i numeri diffusi da OpenAI
Nel test ExploitGym il modello raggiunge il 48,5%, contro il 32,1% di GPT-5.6 Cyber: il miglioramento è di 16,4 punti percentuali. Il benchmark riguarda la capacità di dimostrare la sfruttabilità di vulnerabilità; misura quindi un compito preciso, non la sicurezza complessiva di un sistema informatico.
L’azienda riferisce inoltre 1.724 vulnerabilità riprodotte nel kernel Linux e 948 exploit funzionanti, insieme a 304 segnalazioni critiche comunicate con possibili correzioni. Sono risultati dichiarati da OpenAI: distinguere una riproduzione da una patch effettivamente accettata permette di capire dove finisce il test e dove comincia il lavoro dei manutentori.
Il caso Firefox: dalla scoperta all’aggiornamento
OpenAI attribuisce al modello la scoperta di 81 nuove vulnerabilità ad alta gravità in Firefox. Mozilla documenta le correzioni nell’avviso di sicurezza relativo a Firefox 159, con le singole categorie di problemi e i relativi riconoscimenti. È un riscontro particolarmente utile perché porta l’annuncio fuori dal solo confronto fra modelli: il risultato diventa un aggiornamento distribuito agli utenti del browser.
Una vulnerabilità può emergere durante l’esame del codice senza essere immediatamente riproducibile. Dimostrare che esiste, individuare le condizioni in cui si manifesta e proporre una modifica sono attività diverse. La specializzazione del modello cerca di collegarle, riducendo i passaggi ripetitivi per i ricercatori e lasciando ai responsabili del progetto la valutazione delle correzioni.
Daybreak Blue e Red hanno incarichi differenti
Nel programma descritto da OpenAI, Daybreak Blue è rivolto ai difensori che devono validare problemi e sviluppare rimedi; Daybreak Red comprende valutazioni autorizzate più approfondite. GPT-6 Cyber viene inizialmente offerto a partecipanti selezionati del secondo gruppo, con un’espansione progressiva: non è un modello disponibile indistintamente a tutti gli account ChatGPT.
La scheda di sicurezza collega l’accesso a verifiche dell’identità e a controlli aziendali, fra cui autenticazione a più fattori, accesso centralizzato e restrizioni degli indirizzi IP delle API. La ragione è nella natura dello strumento: le capacità utili a capire un difetto possono anche rendere più semplice sfruttarlo.
Per chi usa semplicemente Firefox, l’azione utile resta installare gli aggiornamenti di sicurezza del browser. Per i gruppi tecnici interessati al modello, invece, il percorso passa dal programma di accesso e dalla definizione del perimetro autorizzato. L’annuncio non introduce un servizio di verifica automatica aperto a qualsiasi sito.
Fonti
Annuncio ufficiale · Documentazione e disponibilità · Dati e approfondimento ufficiale. Verifica del 6 novembre 2026.