Un salto di capacità nella ricerca delle vulnerabilità

L’intelligenza artificiale compie un nuovo balzo in ambito sicurezza informatica con il lancio di GPT‑6 Cyber, presentato da OpenAI il 5 novembre 2026. Il modello, definito “critical” dal sistema di valutazione interno di OpenAI, è stato progettato per svolgere in autonomia attività tradizionalmente riservate a esperti di sicurezza: analisi del codice sorgente, individuazione di vulnerabilità, verifica dell’exploitabilità e proposta di correzioni.

Secondo i dati comunicati dall’azienda, GPT‑6 Cyber ha già prodotto risultati notevoli: ha individuato 81 falle gravi e sconosciute nel browser Firefox e ha generato 948 exploit funzionanti contro il kernel Linux, dimostrando una capacità offensiva senza precedenti.

Benchmark e performance

Nel benchmark ExploitGym, che misura l’efficacia di un modello nel sfruttare vulnerabilità in ambienti controllati, GPT‑6 Cyber ha raggiunto un tasso di successo del 48,5 %, contro il 32,1 % di GPT‑5.6 Cyber. Si tratta di un miglioramento relativo di oltre il 50 % rispetto alla versione precedente.

Le prove su software reale confermano la superiorità del nuovo modello: in Firefox le 81 vulnerabilità scoperte sono state classificate da Mozilla come di gravità elevata, e molte di esse sono già state corrette. Sul kernel Linux, una campagna automatizzata ha analizzato 2.308 possibili problemi, ne ha riprodotti 1.724 e ha prodotto 948 exploit capaci di ottenere privilegi di amministratore a partire da un accesso limitato.

Costi e meccanismi della ricerca industrializzata

OpenAI ha pubblicato lo studio “A thousand fewer paths to root”, in cui descrive la sperimentazione su Linux. Il progetto ha richiesto circa 1,2 milioni di dollari in crediti API, pari a 1 279 dollari per exploit prodotto. Le prove sono state condotte su macchine virtuali in laboratorio, dimostrando come la ricerca delle vulnerabilità possa diventare un processo industrializzato, con agenti AI che operano in parallelo e ricercatori umani che verificano e approvano le correzioni.

Già alcune grandi aziende, comprese realtà italiane, stanno integrando GPT‑6 Cyber nei loro processi di difesa, utilizzandolo a supporto dei tecnici per identificare e colmare le falle prima che vengano sfruttate. Tuttavia, la stessa potenza è a disposizione di gruppi criminali, che possono impiegare l’AI per scoprire vulnerabilità a velocità sovrumana e sviluppare exploit in tempi ridotti.

Verifiche indipendenti

OpenAI ha fornito anche i risultati di test effettuati da una società indipendente, Irregular. Su 288 prove relative a software e hardware reali, GPT‑6 Cyber ha superato 90 test, mentre il modello concorrente GPT‑6 Astra ne ha superati 96. Nessuno dei due è riuscito a risolvere le 15 sfide più difficili, evidenziando limiti ancora presenti.

Accesso limitato e implicazioni etiche

Il principale nodo critico riguarda chi potrà utilizzare strumenti così potenti. Come in passato, OpenAI ha scelto di renderlo disponibile solo a organizzazioni selezionate tramite il programma Daybreak Red. L’obiettivo è dare un vantaggio temporaneo ai difensori, affinché possano colmare le proprie vulnerabilità prima che gli attaccanti, anche se dotati di AI meno avanzata, possano sfruttarle.

OpenAI e Anthropic hanno sottolineato che un accesso limitato ai modelli più potenti è fondamentale per evitare che i criminali ottengano un “cambio di mano” tecnologico. Tuttavia, la diffusione di AI generiche per la ricerca di vulnerabilità rende la situazione più complessa: molte aziende non hanno ancora corretto le falle più banali, lasciando spazio a exploit rapidi.

Prospettive future

    • Accelerazione della risposta alle vulnerabilità grazie a AI specializzate.
    • Rischio di una corsa agli armamenti digitale tra difensori e offensivi.
    • Necessità di normative più stringenti per l’accesso a modelli di cybersecurity.
    • Possibile evoluzione verso modelli ancora più autonomi, capaci di generare patch automatiche.

Il lancio di GPT‑6 Cyber segna una tappa cruciale nella trasformazione della cybersecurity, dove l’intelligenza artificiale può sia rafforzare la difesa sia amplificare le capacità offensive. La sfida per governi, aziende e comunità di ricerca sarà bilanciare questi due aspetti, garantendo che la potenza dell’AI sia impiegata per proteggere gli ecosistemi digitali senza alimentare nuove minacce.