OpenAI amplía su iniciativa de ciberseguridad Daybreak con un plugin Codex Security renovado, la liberación completa del modelo GPT-5.5-Cyber y una red de partners con más de 25 firmas de seguridad y varios gobiernos.
Anthropic ya había planteado un argumento similar y OpenAI coincide: el cuello de botella real en ciberseguridad se corrió del descubrimiento de fallos a su parcheo efectivo. Para cerrar esa brecha, OpenAI lanza un Codex Security actualizado que cubre el flujo completo desde el descubrimiento hasta la generación del parche, junto con el release completo de GPT-5.5-Cyber, un modelo especializado que marca nuevos máximos en benchmarks de seguridad. La compañía además puso en marcha una iniciativa open source de parcheo y un programa con más de 25 firmas.
¿Qué hace exactamente el Codex Security actualizado?
El plugin Codex Security se había lanzado como research preview en marzo. Desde entonces escaneó más de 30 millones de commits en más de 30.000 codebases, según OpenAI. Más de 500.000 hallazgos se marcaron automáticamente como corregidos y revisores humanos confirmaron manualmente otros 70.000.
OpenAI quiere que el plugin actualizado actúe como un ingeniero de seguridad sentado al lado de cada desarrollador: analiza el código junto con un modelo de amenazas, detecta fallos, verifica si el código afectado es realmente alcanzable, construye un parche dirigido y verifica el resultado.
Las novedades de esta actualización incluyen escaneos profundos de codebases enteros, análisis de attack path y exportación a sistemas de gestión de vulnerabilidades existentes vía archivos SARIF o queries CodeQL. El plugin también puede priorizar hallazgos de otros escáneres o reportes de bug bounty y automatizar la generación de parches en modo batch. Los humanos siguen firmando cada cambio, aclara OpenAI.
GPT-5.5-Cyber se queda en defensores verificados
La versión completa de GPT-5.5-Cyber reemplaza un preview anterior que apuntaba sobre todo a reducir refusals innecesarios en flujos de seguridad. OpenAI describe el modelo actualizado como el más capaz de la industria para encontrar y parchear fallos de software.
GPT-5.5-Cyber lidera todos los benchmarks clave de ciberseguridad según OpenAI. CyberGym mide si un agente puede reproducir fallos conocidos en entornos de software. ExploitGym evalúa si los agentes pueden convertir vulnerabilidades en exploits funcionales. SEC-bench Pro mide descubrimiento de vulnerabilidades a largo plazo.
| Modelo | CyberGym | ExploitGym | SEC-bench Pro |
|---|---|---|---|
| GPT-5.5-Cyber | 85,6% | 39,5% | 69,8% |
| Mythos 5 (Anthropic) | 83,8% | – | – |
| GPT-5.5 | 81,8% | 25,95% | 63,1% |
| GPT-5.4 | 79,0% | – | – |
| Claude Opus 4 | 73,1% | – | – |
La nueva versión de GPT-5.5-Cyber es deliberadamente más permisiva que los modelos estándar y rechaza menos requests, asegura OpenAI. Pero solo defensores verificados pueden acceder a ella y OpenAI condiciona ese acceso a verificación, monitoreo y guardrails activos. La mayoría de los usuarios deberían quedarse con GPT-5.5 acompañado de Trusted Access for Cyber y Codex Security, dice OpenAI.
¿Qué firmas y gobiernos entran al programa?
A través del Daybreak Cyber Partner Program, empresas de seguridad pueden integrar GPT-5.5 con Trusted Access for Cyber a sus propios productos. La lista de partners incluye Cisco, CrowdStrike, Cloudflare, Palo Alto Networks, IBM, Fortinet, Wiz, SentinelOne, Darktrace, Palantir, Accenture, PwC y KPMG.
OpenAI también amplía su trabajo gubernamental. Dice tener alianzas Trusted Access con Australia, Canadá, Francia, Alemania, Japón, Corea del Sur, la agencia europea ENISA y el Reino Unido. En Estados Unidos, OpenAI está implementando una orden ejecutiva reciente sobre seguridad de IA y planea colaborar directo con operadores de infraestructura crítica.
La compañía también lanzó Patch the Planet junto a Trail of Bits, HackerOne y Calif para llevar las mismas herramientas de parcheo al software open source. Más de 30 proyectos open source firmaron, incluyendo cURL, Go, Python, Sigstore y pyca/cryptography. Investigadores de seguridad trabajan con maintainers para validar y deduplicar fallos y parches antes de mergear. Un primer sprint de cinco días arrojó cientos de issues y desencadenó docenas de parches mergeados, según OpenAI.
