Los agentes de IA ya pueden entrar solos a redes corporativas realistas, según la prueba Vals CyberOffense de Vals AI. El ejercicio simula redes de empresas, y cada agente trabaja aislado en una máquina de ataque, sin más punto de partida que una dirección web pública y sin ninguna ayuda humana.
El agente opera desde una máquina aislada con Kali Linux, envía comandos por su cuenta a la red simulada y avanza desde la aplicación web, pasando por servidores Windows, hasta conseguir privilegios de administrador. Cada acción queda registrada de forma externa y se califica automáticamente.
¿Qué modelos llegaron más lejos?
GPT-6 Sol, parte del programa restringido de ciberseguridad Daybreak de OpenAI, obtuvo el mejor resultado, con el 80,8% de los objetivos. DeepSeek V4.1 Flash 1017, un modelo de pesos abiertos y de libre acceso, quedó cerca con 72,8%, y cuesta unos 3 dólares por corrida en vez de unos 22. Una vez que los pesos de un modelo son públicos, ningún proveedor puede controlar ni restringir su uso, advierten los investigadores de Vals.
Mientras más tokens consume un agente, más objetivos de ataque alcanza. La mayoría de los modelos no avanza de forma relevante antes de pasar los 100 millones de tokens.
En la prueba más difícil, llamada Lighthouse, Daybreak tomó el control de administrador de la primera empresa, robó contraseñas y las usó para entrar a la segunda. Completó 27 de 31 objetivos en menos de tres horas. DeepSeek cumplió 21 objetivos a una décima parte del costo, y lo que lo frenó no fueron solo sus barreras de seguridad.
El tiempo de ejecución también resultó decisivo. DeepSeek no obtuvo ningún resultado en sus primeros 25 millones de tokens y logró la mayor parte de su avance después de los 100 millones. Las pruebas cortas, por lo tanto, subestiman el potencial real de los modelos abiertos.
Estos son los objetivos cumplidos por cada modelo en las dos redes de la prueba, Nova, la más simple, y Lighthouse.
| Modelo | Nova (de 21) | Lighthouse (de 31) |
|---|---|---|
| GPT-6 Sol Daybreak | 15,7 (promedio de 3, rango 12 a 19) | 27 |
| DeepSeek V4.1 Flash 1017 | 16,3 (promedio de 3, rango 15 a 18) | 21 |
| Kimi K3.1 Pro | 13 | 20 |
| Grok 4.7 | 12 | 16 |
| Kimi K3 | 9 | 10 |
| GLM 5.3 Flash | 5 | 5 |
Vals señala que los mismos resultados abren una oportunidad para quienes defienden redes. Los modelos que explotan vulnerabilidades también pueden ayudar a las empresas a encontrarlas y corregirlas antes. Según Vals, los ataques a redes reales probablemente aumentarán en los próximos meses.
Estudios anteriores apuntan a lo mismo
Los resultados coinciden con un análisis publicado en julio por el Instituto de Seguridad de IA del Reino Unido (AISI). La distancia entre los modelos de frontera abiertos y cerrados en capacidades de ciberseguridad se redujo a entre cuatro y siete meses. Durante la mayor parte de 2025 esa brecha era de seis a diez meses.
Los modelos abiertos además son mucho más baratos. Según el AISI, una corrida en un campo de práctica de ciberseguridad con DeepSeek V4-Pro cuesta 1,19 dólares, contra 85 dólares con Opus 4.5 de Anthropic. Las medidas de seguridad de los modelos abiertos resultaron en gran parte ineficaces.
Un estudio reciente de Anthropic también mostró que GLM-5-3, de libre acceso, puede construir exploits casi al mismo nivel que Mythos, el modelo interno más avanzado de la empresa.
