OpenAI lanza Patch the Planet para reparar la seguridad del open source a gran escala, y lanza GPT-5.5-Cyber completamente

OpenAI expandió este lunes su iniciativa de ciberseguridad Daybreak con dos movimientos significativos: el lanzamiento de Patch the Planet, un programa para encontrar y corregir vulnerabilidades de forma sistemática en proyectos open source muy utilizados, y la publicación pública completa de GPT-5.5-Cyber — antes solo disponible para un conjunto limitado de defensores verificados. En conjunto, estos anuncios posicionan a OpenAI como un actor relevante en la seguridad proactiva del software, no solo en el desarrollo de IA, según reportó SiliconAngle.

Patch the Planet se construyó en asociación con Trail of Bits, una de las firmas más respetadas de la industria de seguridad, junto con HackerOne y Calif.io. El modelo es directo: GPT-5.5-Cyber escanea bases de código open source en busca de vulnerabilidades a una velocidad que ningún equipo humano podría igualar, y cada hallazgo es revisado por un ingeniero de seguridad de Trail of Bits antes de compartirse con el encargado del proyecto. Ese paso de revisión humana es intencional — evita que los falsos positivos generados por IA inunden a los mantenedores con ruido cuando ya están con recursos limitados.

Más de 30 proyectos se comprometieron a participar desde el lanzamiento, incluyendo cURL, el proyecto Go, la librería central de Python, Sigstore y pyca/cryptography — proyectos que sustentan enormes porciones de la cadena de suministro global de software. Un sprint inicial de cinco días en 19 de esos proyectos reveló cientos de problemas potenciales y produjo docenas de parches fusionados. Un hallazgo fue particularmente impactante: una falla de use-after-free de 23 años en el kernel de OpenBSD, un sistema operativo utilizado en infraestructura crítica de redes, que había pasado desapercibida desde 2003. El sprint también identificó problemas en el motor V8 de Chrome, WebKit de Safari y Firefox.

El momento refleja un problema real y creciente. OpenAI citó investigaciones que muestran que el 94% de los proyectos open source ampliamente utilizados tienen menos de diez desarrolladores responsables de más del 90% del código. Esos equipos pequeños son responsables de mantener software que funciona dentro de navegadores, servidores en la nube, enrutadores y sistemas operativos usados por miles de millones de personas — y están habitualmente sobrecargados. El descubrimiento de vulnerabilidades, acelerado por herramientas de IA, ahora supera la capacidad de los mantenedores para revisar y parchear lo que se encuentra. Patch the Planet intenta cerrar esa brecha combinando descubrimiento asistido por IA con experiencia en seguridad financiada en el extremo de entrega.

En el lado del modelo, GPT-5.5-Cyber obtiene un 85.6% en el benchmark CyberGym, frente al 81.8% del GPT-5.5 de propósito general, lo que lo convierte en el modelo de mejor rendimiento de OpenAI en tareas de seguridad. El lanzamiento completo lo mueve de una vista previa limitada para defensores de confianza a una disponibilidad más amplia para profesionales de seguridad verificados, junto con un nuevo Daybreak Cyber Partner Program que permite a los proveedores de seguridad integrar el modelo en productos comerciales. Siete empresas se unieron en el lanzamiento — Cisco, CrowdStrike, IBM y otras cuatro — incrustando las capacidades de GPT-5.5-Cyber directamente en las herramientas de seguridad empresarial en lugar de requerir que los clientes lo usen a través de la interfaz propia de OpenAI.

El programa Daybreak de OpenAI ahora se ha expandido mucho más allá de su alcance original. Lo que comenzó como un esfuerzo enfocado en prevenir el uso indebido de la IA para ciberataques se ha convertido en una capacidad de seguridad ofensiva (GPT-5.5-Cyber para encontrar vulnerabilidades), una infraestructura de parcheo open source (Patch the Planet) y una capa de asociación comercial (el Daybreak Cyber Partner Program). Esa expansión del alcance es notable porque mueve a OpenAI a un territorio previamente ocupado por firmas de seguridad dedicadas — usando la IA no solo para hacer productos más inteligentes, sino para mejorar activamente la seguridad de infraestructura que no posee ni opera.

Para los mantenedores de open source, la pregunta práctica es si el programa genera valor genuino o crea una sobrecarga adicional. OpenAI y Trail of Bits han sido explícitos en que el requisito de revisión humana no es negociable — ningún hallazgo llega a un mantenedor sin que antes lo haya verificado un ingeniero de seguridad. Los resultados iniciales del sprint, con docenas de parches ya fusionados, sugieren que el pipeline es funcional. Si escala a la lista completa de más de 30 proyectos sin degradar la calidad de los hallazgos es la prueba que importa.