GPT‑6 Cyber: què aporta la IA a la revisió de seguretat de webs i programari?

Una web de comerç electrònic, una aplicació per a clients o un programa de gestió propi poden contenir errors que no es detecten durant les proves funcionals. Que una pantalla funcioni no demostra que els permisos siguin correctes ni que les dades estiguin protegides davant un ús imprevist.

OpenAI ha presentat GPT‑6 Cyber, un model orientat a trobar i corregir vulnerabilitats. La notícia apunta a revisions de programari més assistides per IA, però no significa que una pime pugui substituir una auditoria professional per una conversa amb un model. L’accés inicial, a més, està limitat a clients aprovats de Daybreak Red.

Què anuncia OpenAI i com llegir-ne els resultats

Segons la presentació oficial de GPT‑6 Cyber, el model millora la investigació de vulnerabilitats i el respecte dels límits fixats pels responsables de les proves. OpenAI també descriu usos en revisió de codi, validació de problemes i preparació de correccions candidates.

En una de les avaluacions publicades, ExploitGym, el model obté un 48,5%, davant del 32,1% de GPT‑5.6 Cyber. La prova mesura la capacitat d’explotar una vulnerabilitat especificada: no és el percentatge de problemes que trobarà en una web qualsevol ni una taxa de protecció empresarial.

La font també comunica millores en el compliment de l’abast autoritzat. Són resultats sota les condicions de les avaluacions, no una garantia que qualsevol desplegament sigui infal·lible. El model, les eines connectades i la supervisió formen part del sistema que cal valorar.

Trobar un error no és el mateix que deixar-lo resolt

Una revisió útil hauria de connectar tres passos: identificar un possible problema, demostrar-ne l’impacte en condicions controlades i comprovar la correcció. Una llista extensa d’avisos, sense validació, pot generar molta feina i poca claredat.

Imaginem una aplicació on cada client consulta les seves comandes. La prova rellevant no és només que el seu accés funcioni, sinó verificar que no pugui consultar informació d’un altre compte. És un exemple general del que s’hauria de comprovar, no una vulnerabilitat atribuïda a cap empresa concreta.

Si apareix un problema, la correcció proposada necessita revisió tècnica. Pot tancar un accés indegut i alhora impedir una operació legítima. Per això convé conservar proves reproduïbles i tornar a executar-les després del canvi, juntament amb comprovacions del funcionament habitual.

OpenAI parla de correccions candidates precisament perquè generar un pedaç no equival a aprovar-lo ni desplegar-lo. La responsabilitat sobre el codi i el servei continua requerint persones identificades.

Una auditoria comença definint què es pot tocar

Abans de connectar un agent a una aplicació, cal establir els sistemes autoritzats, els comptes de prova, els horaris i les accions permeses. Una botiga pot dependre d’un proveïdor de pagaments o d’una plataforma externa: ser client d’aquests serveis no autoritza a auditar-ne la infraestructura.

Sempre que sigui possible, prepara un entorn separat, representatiu del servei real i amb dades de prova. Les comprovacions sobre producció necessiten un acord específic i un procediment per interrompre-les si afecten el negoci.

També convé limitar les credencials i deixar constància de les accions. Que un model hagi millorat en seguir instruccions no substitueix els controls d’accés. El responsable ha de poder saber què s’ha revisat, quines evidències s’han generat i què ha quedat fora.

Què pot fer ara una pime amb programari propi

El primer pas no és aconseguir accés al model més nou. És inventariar les aplicacions importants i acordar amb qui les manté com es revisa la seva seguretat. Identifica qui actualitza dependències, qui rep els avisos i qui pot desplegar una correcció.

Si contractes una revisió assistida per IA, demana que el lliurament diferenciï sospites de problemes validats, expliqui l’impacte i inclogui una comprovació posterior de les correccions. Cal deixar visibles tant els resultats com els límits de la revisió; l’absència de troballes no certifica que no existeixi cap vulnerabilitat.

La disponibilitat inicial de GPT‑6 Cyber és restringida a un grup de clients aprovats de Daybreak Red, segons l’anunci. No s’ha de donar per fet que vingui inclòs en una subscripció habitual ni pressupostar-ne un cost sense confirmar les condicions.

La IA pot ampliar la capacitat dels equips que revisen programari. El valor per al negoci és convertir les troballes en correccions verificades i mantenibles. Si vols ordenar les necessitats de revisió de la teva web o aplicació, a Automatitza.cat t’oferim una primera consulta gratuïta per definir un punt de partida.