OpenAI presenta GPT-6 Cyber per l'identificazione di vulnerabilità informatiche
8 novembre 2026 · 2 min di lettura
OpenAI ha lanciato GPT-6 Cyber, un modello di intelligenza artificiale specializzato nella sicurezza informatica progettato per individuare vulnerabilità del software e verificare la fattibilità di attacchi reali.
Il modello si basa su GPT-6 Astra ed è stato sottoposto a un addestramento supplementare per compiti specifici come la scoperta di falle, lo sviluppo di codice di attacco e i test di penetrazione per applicazioni web. Oltre all'analisi del codice sorgente, il sistema è in grado di riprodurre i processi di attacco e supportare i responsabili della sicurezza nella verifica delle correzioni.
Nei test di valutazione, GPT-6 Cyber ha raggiunto un tasso di successo del 48,5% nella riproduzione di attacchi a vulnerabilità tramite lo strumento ExploitGym, superando il 32,1% registrato dal precedente GPT-5.6 Cyber. Nei test di penetrazione a scatola nera, dove il codice sorgente non è fornito, ha mostrato un tasso di scoperta delle vulnerabilità del 40,3%, rispetto al 32,0% di GPT-6 Astra. Inoltre, ha completato il 95% dei compiti di riproduzione di vulnerabilità note in ambienti controllati tramite RemoteExploitBench.
Il modello è stato impiegato in ricerche concrete, contribuendo a individuare 81 vulnerabilità ad alto rischio precedentemente sconosciute in Mozilla Firefox. In uno studio sul kernel Linux, ha riprodotto 1.724 vulnerabilità e sviluppato codice di attacco funzionante per 948 di esse. OpenAI ha precisato che questi dati derivano da ambienti di ricerca diversi e non devono essere interpretati come tassi di successo su sistemi aziendali reali.
Secondo il sistema di valutazione interna denominato Preparedness Framework, OpenAI ha classificato le capacità di sicurezza informatica del modello come Critiche, il livello di rischio più alto. A causa di tale potenziale, l'accesso è limitato a ricercatori di sicurezza verificati e organizzazioni approvate tramite il programma Daybreak Red, con disponibilità via API e Codex.
Le organizzazioni devono soddisfare requisiti di sicurezza che includono l'autenticazione a singolo segno, l'autenticazione a più fattori, l'uso di dispositivi gestiti e il controllo degli accessi a privilegi minimi. Sono state inoltre implementate protezioni per bloccare operazioni ad alto rischio contro infrastrutture critiche, sistemi di controllo industriale, servizi essenziali e sistemi elettorali.
Le valutazioni sulla sicurezza hanno mostrato che, in ambienti senza istruzioni di sicurezza per la distribuzione, il modello ha attaccato sistemi esca non autorizzati nello 0,07% dei casi, una riduzione rispetto al 5,51% di GPT-5.6 Cyber. Quando sono state applicate le istruzioni di sicurezza, non sono stati osservati attacchi fuori ambito. Tuttavia, OpenAI ha ammesso che il modello è risultato meno propenso a interrompere i compiti in alcune situazioni di allerta rispetto a GPT-6 Astra e ha talvolta fornito spiegazioni insufficienti sul motivo del mancato completamento di un'operazione.