GPT-6 Cyber: 81 bug in Firefox e 948 exploit Linux, cosa dicono i dati

GPT-6 Cyber è un modello di OpenAI presentato il 5 novembre 2026 per cercare vulnerabilità, riprodurle e proporre correzioni. Secondo l’azienda ha trovato 81 falle gravi finora sconosciute in Firefox e ha prodotto 948 exploit Linux in laboratorio. Per le imprese conta perché una parte del lavoro dei ricercatori può essere organizzata in campagne automatizzate, ma l’accesso è limitato e servono controlli.¹²³

Chi può usare GPT-6 Cyber

Il modello non è pubblico. Per ora è disponibile tramite API e Codex a un gruppo selezionato di clienti di Daybreak Red, il programma di OpenAI che prevede sviluppo avanzato di exploit e test di sicurezza autorizzati.¹⁴³ OpenAI dice di voler estendere presto l’accesso a tutti i clienti Daybreak Red. Un programma parallelo, Daybreak Blue, permette a difensori verificati di indagare sulle falle e convalidare le correzioni con meno restrizioni.³ Nel Preparedness Framework, il quadro con cui OpenAI misura i rischi dei propri modelli, GPT-6 Cyber è classificato “Critical” per le capacità informatiche, mentre il modello precedente era “High”. L’etichetta descrive il livello di capacità, compresa la possibilità di uso offensivo, e non l’affidabilità del prodotto.³¹²

I 948 exploit Linux: come nascono e quanto costano

I dati vengono da una ricerca di OpenAI sul kernel Linux, pubblicata il 4 novembre. Nella sessione di ottobre gli agenti sono partiti da 2.308 possibili problemi, ne hanno confermati in esecuzione 1.724 e hanno costruito 948 exploit di escalation locale dei privilegi (LPE), cioè codice che permette a un utente con accesso limitato di ottenere privilegi di amministratore.¹²³ Gli exploit mostrano che problemi già individuati sono sfruttabili in un ambiente di test. Non corrispondono a 948 attacchi osservati né a 948 falle nuove. OpenAI ha inoltrato ai manutentori 304 segnalazioni critiche con proposte di patch, e la revisione finale spetta ai ricercatori.¹² La campagna è costata 1.213.430 dollari in crediti API, circa 1.279 dollari per exploit. È il costo di quella sperimentazione e non un listino di GPT-6 Cyber. Gli agenti hanno inoltre limitato il lavoro iniziale a circa 2,8 milioni di righe di codice, il 7% circa del kernel.¹ OpenAI non ha indicato quale distribuzione Linux sia stata testata. Secondo il sito t3n, che cita diversi media, si tratterebbe di un sistema desktop molto diffuso in configurazione standard.⁵

Firefox: 81 falle e le correzioni di Mozilla

In Firefox OpenAI dichiara 81 vulnerabilità nuove, classificate da Mozilla come di gravità elevata, con prove riproducibili e correzioni candidate. Altri 30 problemi già noti sono risultati più gravi di quanto indicato in origine.¹² Mozilla ha già distribuito molte delle patch. Gli amministratori possono controllare gli avvisi di sicurezza, tra cui quelli di Firefox 159, per sapere quali versioni aggiornare.³¹² Tra i risultati citati da OpenAI c’è anche una vulnerabilità critica in Brotli, un componente di compressione dati, con identificativo CVE-2026-111497 e punteggio CVSS di 9.2.⁴

Benchmark e test esterni: dove il modello si ferma

Su ExploitGym, un test in cui l’agente deve trasformare vulnerabilità note in exploit funzionanti, GPT-6 Cyber riesce nel 48,5% dei casi contro il 32,1% di GPT-5.6 Cyber, 16,4 punti percentuali in più. Il dato viene da OpenAI e riguarda un ambiente controllato.¹⁴³ La system card, il documento tecnico di accompagnamento, include una verifica di Irregular, società esterna. In CyScenarioBench il modello è riuscito a risolvere tutte e 11 le sfide almeno in un tentativo, con una media di successo del 61%. In FrontierCyber, su software e hardware reali, ha risolto 90 problemi su 288, contro i 96 di GPT-6 Astra.² Nessuno dei due modelli ha superato le 15 prove più difficili, e Irregular non ha osservato attacchi riusciti contro obiettivi completamente rafforzati.² Sul rispetto del perimetro autorizzato, OpenAI indica che GPT-6 Cyber non ha sfruttato servizi fuori ambito nel 99,93% dei casi senza istruzioni di sicurezza aggiuntive, contro il 94,49% di GPT-5.6 Cyber, e nel 100% con quelle istruzioni. In un’altra valutazione, sulla reazione agli avvisi, si è fermato al momento giusto nel 73% delle prove, una quota inferiore al 78,38% ottenuto da GPT-6 Astra.⁴²

Il fronte OT con Dragos

OpenAI ha collaborato con Dragos, società di sicurezza per i sistemi OT (operational technology, le tecnologie che controllano impianti e processi fisici), per mettere alla prova modelli avanzati in laboratori che imitano infrastrutture reali. Nella simulazione di un impianto energetico, un modello ha scoperto due falle zero-day, cioè non ancora note ai produttori, in un programma che tratta le informazioni dei relè di protezione, tra cui le impostazioni e le regole con cui gli interruttori scattano.² Cyber Security 360 collega queste prove al rischio di interruzioni operative quando un agente si avvicina a dispositivi industriali.²

Cosa cambia per le imprese

I risultati su Linux e Firefox indicano che il vantaggio sta nel passare dalla semplice segnalazione alla prova di sfruttabilità e alla patch proposta. AI4Business suggerisce di partire da applicazioni note e di misurare problemi confermati, falsi positivi, regressioni, tempi e costi.¹² I numeri più forti, però, sono dichiarati da OpenAI e ottenuti in ambienti controllati. I test di Irregular, con 90 problemi risolti su 288 in FrontierCyber, suggeriscono prestazioni meno uniformi di quelle degli annunci.²⁴ Resta aperto anche il problema delle correzioni. Secondo t3n, più falle trovate significano più patch da scrivere e collaudare, e gli sviluppatori spesso non riescono a tenere il passo, il che lascerebbe agli attaccanti più tempo. OpenAI stessa parla di una finestra limitata per usare questi modelli prima che capacità simili diventino accessibili anche agli attaccanti.⁵³

Leggi anche

• Titoli dell’IA in calo a Wall Street: cosa dicono i dati e cosa no
• Cyber-JEV: come un modello open trova le funzioni di codice vulnerabili
• Anthropic IPO: la richiesta di quotazione in Borsa e cosa dicono i conti

Articolo scritto con l’intelligenza artificiale a partire dalle fonti citate, senza revisione umana. Redazione automatica di Redazia.

Fonti

Footnotes

1. GPT-6 Cyber, OpenAI automatizza la caccia ai bug: cosa cambia per le imprese, AI4Business, 2026-11-06 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰

2. GPT-6 Cyber trova 81 bug in Firefox: capacità, limiti e rischi OT, Cyber Security 360, 2026-11-06 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³

3. OpenAI’s new GPT-6 Cyber AI finds 81 Firefox flaws, 948 Linux bugs, BleepingComputer, 2026-11-06 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸

4. OpenAI Launches GPT-6 Cyber After AI Helps Find 81 Firefox Flaws, 948 Linux Exploits, The Hacker News, 2026-11-06 ↩ ↩² ↩³ ↩⁴ ↩⁵

5. Dank KI: OpenAI findet 948 Lücken im Linux-Kernel – und schließt sie auch gleich, t3n, 2026-11-06 ↩ ↩²