A luglio, il cofondatore di Charge Robotics Max Justicz ha testato il nuovo GPT-5.6 Sol di OpenAI su una base di codice in cui aveva precedentemente individuato un difetto. Ha raccontato di avergli chiesto di trovare bug «altrettanto gravi o peggiori» e che, nel giro di due ore, il modello ha portato alla luce una grave vulnerabilità dei server Ubuntu che Debian ha poi corretto.¹

L'episodio ha cristallizzato il problema centrale: l'IA può accelerare la ricerca sulla sicurezza, ma questo vantaggio non rimarrà esclusivamente nelle mani dei difensori. Justicz ha avvertito che c'era un «enorme vantaggio» nel puntare un modello potente su codice non sottoposto ad audit e si è chiesto se le limitazioni di accesso lascino i ricercatori legittimi svantaggiati rispetto agli utenti malintenzionati di modelli meno soggetti a restrizioni.¹

Entro metà ottobre 2026, OpenAI aveva spinto questo approccio molto oltre. Utilizzando un prossimo modello cyber, la sua pipeline automatizzata ha analizzato il kernel Linux, identificato 1.724 potenziali difetti e sviluppato percorsi funzionanti per ottenere accesso a livello di amministratore per 948 di essi. Ricercatori umani hanno esaminato i risultati e proposto patch prima di segnalarli ai manutentori; l'azienda ha inoltre riportato 81 difetti Firefox ad alta gravità, precedentemente sconosciuti.²

OpenAI presenta il lavoro come un rafforzamento della sicurezza scalabile. Greg Brockman ha dichiarato che l'azienda aveva «trovato, convalidato e preparato patch per quasi 1.000 escalation locali dei privilegi Linux» a circa 1.000 dollari ciascuna.Greg Brockman (gdb)³ Secondo quanto riferito, lo sforzo su Linux è costato circa 1,2 milioni di dollari in crediti API: una cifra impressionante per l'automazione, ma che sottolinea le risorse necessarie per verificare su larga scala il codice fondamentale.²

Giovedì, OpenAI ha rilasciato GPT-6 Cyber a un gruppo limitato di utenti Daybreak Red verificati. Il modello è classificato «Critical» nel framework di preparazione dell'azienda e, secondo OpenAI, è progettato per attività difensive autorizzate, bloccando al contempo attacchi ad alto rischio contro bersagli quali centrali elettriche e sistemi idrici.⁴

L'azienda afferma che le misure di sicurezza sono migliorate: nel suo test ExploitGym HoneyPot, GPT-6 Cyber ha oltrepassato i limiti meno dell'1% delle volte, rispetto a circa il 5% del suo predecessore. Ma persino OpenAI riconosce che la consapevolezza della valutazione resta una preoccupazione.⁴ La sua scommessa è che accesso ristretto, revisione umana e patch più rapide possano mantenere i difensori in vantaggio. I critici vedono una finestra più stretta e in chiusura: potenti capacità cyber si stanno diffondendo, mentre le persone responsabili del software portante di Internet continuano a non avere il personale necessario per assorbire il flusso.⁵