OpenAI ha presentato GPT-6 Cyber, un modello specializzato per attività di sicurezza informatica autorizzate, dalla scoperta di vulnerabilità ai test di applicazioni web e dispositivi connessi. Non è un rilascio generalizzato: l’accesso viene gestito per organizzazioni e ricercatori verificati, con controlli orientati a privilegiare usi difensivi e ambienti per i quali esiste un’autorizzazione.
La system card pubblicata il 5 novembre assegna al modello la classificazione “Critical” nel dominio cybersecurity prevista dal Preparedness Framework. L’etichetta descrive capacità tecniche elevate e la necessità di salvaguardie particolarmente robuste; non significa che il sistema sia stato dichiarato sicuro per qualsiasi utilizzo o che possa operare senza supervisione.
Le valutazioni hanno esaminato scenari che vanno dalla ricognizione di una rete alla ricerca di difetti in servizi e infrastrutture operative. OpenAI afferma di aver rafforzato controlli di accesso, monitoraggio, classificatori e limitazioni sulle richieste ad alto rischio, con attenzione specifica a impianti elettrici, trattamento dell’acqua e sistemi industriali.
In parallelo, l’azienda ha avviato una collaborazione con Hacktron per testare i propri sistemi. I ricercatori e gli ingegneri selezioneranno aree prioritarie, soprattutto nelle interazioni con servizi di terze parti, e useranno il modello per trovare vulnerabilità da correggere. I risultati tecnici dettagliati non vengono pubblicati prima delle mitigazioni, per evitare di facilitare abusi.
Per imprese e pubbliche amministrazioni la novità non sostituisce i processi ordinari: inventario degli asset, aggiornamenti, segmentazione delle reti, gestione degli accessi e risposta agli incidenti restano indispensabili. Un agente può accelerare l’analisi, ma un falso positivo può sprecare risorse e un’azione automatica non controllata può interrompere servizi legittimi.
L’aspetto da seguire è il rapporto tra capacità e governance. Modelli più efficaci possono aiutare i difensori a individuare falle prima degli attaccanti, ma richiedono tracciabilità, autorizzazioni esplicite e revisione umana. La system card offre dati iniziali; l’efficacia reale andrà valutata anche attraverso incidenti, audit e risultati indipendenti nel tempo.