OpenAI ha expandido Daybreak el 22 de junio con tres piezas que llevan tiempo cocinándose: GPT-5.5-Cyber para defensores verificados, Codex Security en producción y Patch the Planet con Trail of Bits y HackerOne. El mensaje de fondo es claro: la IA ofensiva ya existe, OpenAI quiere quedarse el lado defensivo antes de que el regulador llegue.
El modelo y los benchmarks
GPT-5.5-Cyber es una versión especializada y con menos restricciones para trabajo de seguridad autorizado. Los números que publican comparándolo con el GPT-5.5 base:
- CyberGym (reproducir vulnerabilidades conocidas): 85,6% frente a 81,8%.
- ExploitGym: 39,5% frente a 25,9%. El salto más grande, y el más relevante.
- SEC-bench Pro: 69,8% frente a 63,1%.
El modelo no se vende en API abierta. Va únicamente a 'defensores verificados': equipos CERT, empresas de ciberseguridad acreditadas y gobiernos que firman el programa Trusted Access for Cyber (Australia, Canadá, Francia, Alemania, Japón, Corea del Sur y la UE vía ENISA, además de EEUU y UK). España entra por la puerta de ENISA.
Codex Security, la pata que ya estaba en producción desde marzo, lleva 30 millones de commits escaneados en más de 30.000 repos. 500.000 hallazgos resueltos en automático y 70.000 cerrados a mano por mantenedores. Lo más vistoso son las vulnerabilidades reales que han caído: una de WebAssembly en Firefox (Mozilla la parcheó dos días antes de Pwn2Own Berlin), cinco fallos explotables en el motor V8 de Chrome, más de diez en WebKit de Safari, varias en OpenBSD y FreeBSD, y el HTTP/2 Bomb que afectó a Apache, NGINX, IIS y Pingora dejando 880.000 servidores expuestos. En el kernel de Linux generó 8 pruebas de fugas de punteros y 24 exploits de escalada local.
Patch the Planet y los partners
Patch the Planet es la pieza pegamento con el open source. OpenAI lo lanza con Trail of Bits y HackerOne, y aporta créditos de API e ingenieros de seguridad a los mantenedores de proyectos críticos. Los primeros: cURL, Go, Python, Sigstore y pyca/cryptography. Más de 30 proyectos comprometidos en total.
El número que mejor explica el modelo: Trail of Bits ha puesto ingenieros full-time trabajando con Codex y GPT-5.5-Cyber sobre 19 proyectos abiertos. Cientos de issues identificados, decenas de parches ya mergeados, otros tantos en disclosure coordinado. Es lo más cerca que ha estado nadie de un pipeline industrial de hardening.
Por arriba está el Daybreak Cyber Partner Program: 30 organizaciones firmadas para integrar GPT-5.5-Cyber en sus productos. Los nombres pesados son Cisco, CrowdStrike, Palo Alto Networks y Cloudflare. También entran Fortinet, Akamai, Check Point, Proofpoint y Okta. Si tu SOC actual usa cualquiera de estos, en 6-12 meses el motor por detrás va a ser este modelo.
Por qué importa
Tres lecturas concretas para founder o C-Level español.
La primera, si tienes CISO o equipo de seguridad interno. La pregunta útil hoy es si tu proveedor de SOC, EDR o XDR está dentro del Cyber Partner Program o tiene plan de estarlo. La competitividad del servicio en un año va a depender en buena parte de esto, y el coste de cambiar de proveedor de seguridad es alto.
La segunda, si vendes ciberseguridad. Consultoría, pentesting o MSSP, el suelo del mercado se mueve. El pentesting manual repetitivo y el code review básico es lo primero que se come la IA. Lo que sigue valiendo es la parte que combina criterio humano experto con herramientas que escalan: triaje, threat modeling, respuesta a incidentes complejos.
La tercera, timing. Mientras Anthropic está negociando con la Casa Blanca el staggered release de GPT-5.6 (otra noticia de hoy), OpenAI planta bandera en defensive AI con un paquete cerrado y partners pesados. Quien controle la narrativa de 'somos los responsables' este verano gana margen regulatorio durante años.
Qué hacer esta semana
- Pregunta a tu proveedor de SOC, EDR o XDR si está dentro de Daybreak Cyber Partner Program. Si la respuesta es vaga, pídela por escrito con fecha objetivo.
- Si tienes mantenedores open source dentro del equipo, mira si alguno de tus deps (Python, Go, cURL, pyca) está en Patch the Planet y revisa el changelog del último mes antes de tu próximo deploy.
- Si vendes servicios de seguridad, decide en qué parte del workflow vas a competir con criterio humano. El resto, automatízalo tú antes de que lo automatice el cliente.