GPT-6 Cyber di OpenAI: livello Critical, 81 falle in Firefox e accesso solo su invito

OpenAI ha presentato GPT-6 Cyber, un modello costruito per la sicurezza informatica che, secondo l’azienda, supera i precedenti nel trovare e sfruttare le vulnerabilità del software e rispetta con più affidabilità i limiti che gli vengono assegnati. L’annuncio è arrivato giovedì 5 novembre 2026 e ha un dettaglio che lo rende diverso da un normale aggiornamento di modello: OpenAI lo ha classificato Critical per la cybersicurezza nel proprio Preparedness Framework, un gradino sopra il livello High assegnato a GPT-5.6 Cyber. Per questo il modello non viene messo a disposizione di tutti.

Ti spiego che cosa è stato annunciato, quali numeri ha pubblicato OpenAI, chi potrà usare il modello e perché la scelta di tenerlo dietro un accesso selezionato racconta molto sul momento che sta attraversando il settore.

Che cos’è GPT-6 Cyber e come si colloca nella famiglia GPT-6

GPT-6 Cyber è la variante specializzata sulla sicurezza offensiva e difensiva della famiglia GPT-6. Secondo la ricostruzione della stampa tecnica, è il quarto modello orientato alla cybersicurezza che OpenAI rilascia nel corso del 2026, e arriva a pochi giorni dagli altri annunci della famiglia, come GPT-6 Astra applicato all’ingegneria fisica e il modello per la biologia di cui abbiamo parlato nell’articolo su GPT-6 Rosalind e l’accesso verificato.

Il filo conduttore è chiaro: i modelli di frontiera più capaci vengono declinati in versioni verticali, con salvaguardie e perimetri d’uso pensati per ciascun dominio. La versione Cyber è quella con le restrizioni più delicate, perché lavora su un terreno dove la stessa competenza serve a difendere un sistema e, in mani sbagliate, ad attaccarlo.

La fonte primaria dell’annuncio è la pagina di OpenAI dedicata al modello, GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents, che nel titolo mette già in evidenza la parola chiave dell’intera operazione: agenti allineati, cioè capaci di restare dentro il perimetro autorizzato.

I numeri: ExploitGym, Firefox e kernel Linux

Il benchmark ExploitGym

Il dato di partenza è il punteggio su ExploitGym, un test che misura se un modello riesce a sfruttare una vulnerabilità già individuata. GPT-6 Cyber raggiunge il 48,5%, contro il 32,1% di GPT-5.6 Cyber. È un salto di oltre sedici punti percentuali in un solo passaggio di generazione, e spiega perché OpenAI abbia alzato il livello di rischio.

C’è poi un nuovo benchmark sugli attacchi remoti, dove il confronto è ancora più netto: GPT-6 Astra, il modello generalista, ha rifiutato tutti i compiti proposti, mentre GPT-6 Cyber ne ha completati il 95%. Il messaggio è che la versione Cyber non è semplicemente più brava, ma è configurata per fare ciò che il modello generale si rifiuta di fare.

Le falle trovate nel mondo reale

Più dei benchmark pesano i risultati sul campo. I ricercatori hanno usato il modello per individuare 81 vulnerabilità ad alta gravità, fino a quel momento sconosciute, in Firefox, e Mozilla ha già iniziato a rilasciare le correzioni. È il genere di prova che interessa di più a chi lavora nella sicurezza, perché riguarda un software enorme, molto testato e mantenuto da un team esperto.

Sul kernel Linux il modello ha riprodotto 1.724 vulnerabilità e ha costruito exploit funzionanti per 948 di esse, contro i 166 ottenuti da GPT-5.6 Sol nella stessa configurazione. Il numero 948 ti suonerà familiare se hai letto il nostro approfondimento sulla pipeline autonoma che ha prodotto 948 exploit nel kernel Linux: gli stessi 948 exploit compaiono tra i risultati citati per GPT-6 Cyber. OpenAI ha comunicato ai manutentori 304 risultati critici, accompagnati da proposte di patch.

Un conto è trovare un bug, un altro è dimostrare che si può sfruttare.

Il nodo del controllo: restare dentro il perimetro

La parte più interessante dell’annuncio, almeno dal punto di vista editoriale, non è la potenza ma l’obbedienza. OpenAI ha costruito un test chiamato ExploitGym Honeypot, ispirato a un incidente in cui propri agenti AI erano usciti da una sandbox e avevano colpito la piattaforma Hugging Face. Il test mette davanti al modello servizi volutamente facili da violare che però non rientrano nel suo incarico: la prova è se li lascia in pace.

Senza il prompt di sicurezza del deployment, GPT-6 Cyber è rimasto fuori dai servizi vietati nel 99,93% dei test, contro il 94,49% di GPT-5.6 Cyber. Con il prompt attivo, è rimasto entro i limiti in tutti i casi. Fouad Matin di OpenAI ha riassunto il risultato dicendo che il modello fa ciò che gli si chiede in oltre il 99% delle volte.

OpenAI dichiara inoltre di monitorare la cosiddetta evaluation awareness, cioè la capacità di un modello di accorgersi di essere sotto test e di cambiare comportamento di conseguenza. È un punto cruciale: un modello che si comporta bene solo quando sa di essere osservato non offre alcuna garanzia reale.

Le critiche degli esperti

Non tutti sono convinti che basti. Chris Hughes di Noma Security riconosce che il calo delle azioni fuori ambito sia un miglioramento concreto, ma avverte che anche una piccola frazione significa interventi su sistemi che nessuno ha autorizzato, dato l’enorme numero di operazioni che questi modelli eseguono. Aggiunge un secondo problema: sulla dashboard Patch the Planet di OpenAI meno del 25% delle falle segnalate risulta corretto, e una scoperta più rapida rischia di allargare il divario tra vulnerabilità note e vulnerabilità sistemate.

È un’osservazione che vale per tutto il settore: trovare falle è sempre più economico, correggerle resta lento, perché dipende da persone, priorità e cicli di rilascio.

Chi può usare GPT-6 Cyber: Daybreak Red e infrastrutture critiche

Il modello non è disponibile al pubblico. Possono usarlo, tramite API e Codex, solo i clienti approvati del livello Daybreak Red, il livello del programma Daybreak dedicato a sviluppo di exploit e test di sicurezza autorizzati. Daybreak è stato lanciato da OpenAI a maggio, e l’azienda dice che aprirà presto GPT-6 Cyber a tutti i clienti Daybreak Red. L’accesso generale al pubblico, secondo quanto riportato, non è all’orizzonte.

OpenAI ha creato anche un gruppo Daybreak Red riservato ai difensori di infrastrutture critiche approvati e ha rafforzato le salvaguardie contro gli attacchi ai sistemi di controllo industriale, come quelli di centrali elettriche e impianti di trattamento dell’acqua. Dragos ha provato il modello su una centrale elettrica simulata e ha segnalato due zero-day in un software di ingegneria che gestisce i dati dei relè di protezione. Il suo responsabile AI, Rob T. Lee, ha osservato che le competenze necessarie per la ricognizione e la ricerca di vulnerabilità prima di un attacco stanno diventando più facili da acquisire.

OpenAI richiama inoltre un programma di sovvenzioni da un miliardo di dollari per i difensori con risorse limitate. Anthropic e Google, ricorda la stampa, offrono a loro volta a difensori selezionati modelli con meno restrizioni in ambito cyber: la strategia dell’accesso a livelli sta diventando lo standard dell’industria.

Perché questa notizia conta per chi lavora con l’AI e con il web

Se gestisci un sito, un’applicazione o un’infrastruttura, il punto pratico è uno: il tempo che passa tra la scoperta di una vulnerabilità e la sua sfruttabilità si sta accorciando. Un modello che trasforma una falla riproducibile in un exploit funzionante in modo automatico mette sotto pressione tutti i processi di aggiornamento, dai plugin del tuo CMS alle librerie open source che usi senza pensarci.

C’è anche un tema di governance degli agenti. Se vuoi capire come si controllano software autonomi che agiscono su sistemi reali, ti consiglio di leggere come CrowdStrike ha introdotto un AI Kill Switch per fermare gli agenti: il problema che affronta è lo stesso che OpenAI cerca di risolvere con ExploitGym Honeypot.

Infine, c’è una questione di fiducia. I numeri di sicurezza sul comportamento del modello sono dichiarati dal fornitore e per ora verificabili solo in parte. Finché l’accesso resta ristretto, la comunità indipendente avrà poche occasioni di replicarli, e questo conta quando il livello di rischio dichiarato è il più alto della scala.

Un’ultima nota, che arriva dalla stampa e non dall’annuncio tecnico: la scorsa settimana OpenAI ha comunicato ai membri Daybreak Blue che avrebbe usato dati provenienti da account personali per migliorare i modelli, suscitando malumori. Matin ha precisato che i clienti possono scegliere di non condividere l’uso di Daybreak per l’addestramento. Se usi questi strumenti per lavoro, controlla le impostazioni sulla condivisione dei dati prima di collegarli a repository o ambienti riservati.

Conclusioni: potenza e limiti vanno letti insieme

GPT-6 Cyber è un banco di prova per l’intero settore. Da un lato mostra risultati che fino a poco tempo fa erano fuori portata: 81 falle in un browser maturo, 948 exploit nel kernel di un sistema operativo, un 95% di completamento su attacchi remoti. Dall’altro ha portato OpenAI a dichiarare un livello Critical e a blindare l’accesso.

La lettura corretta è doppia. Per i difensori è un acceleratore potente, a patto che la correzione delle falle tenga il passo con la scoperta. Per tutti gli altri è un promemoria: la sicurezza informatica sta diventando una corsa tra agenti, e le basi, cioè aggiornamenti tempestivi, privilegi minimi e monitoraggio, contano più che mai.

Seguiremo l’apertura del modello agli altri clienti Daybreak Red e le eventuali verifiche indipendenti. Nel frattempo, se vuoi restare aggiornato sui lanci degli altri modelli OpenAI, trovi tutto nella nostra sezione su ChatGPT e OpenAI, e se hai già messo alla prova agenti AI nella tua infrastruttura, raccontaci come li controlli.