Um mês depois de a Anthropic mostrar ao Congresso dos EUA o poder do Mythos, a OpenAI respondeu à altura. Em maio, a empresa lançou o GPT-5.5-Cyber, uma variante do seu modelo mais avançado feita sob medida para profissionais de cibersegurança — com menos barreiras de segurança para tarefas defensivas e acesso restrito a equipes verificadas.
O que é o GPT-5.5-Cyber
Diferente do Mythos, que foi desenhado para encontrar e explorar vulnerabilidades — e assustou o Congresso ao esvaziar contas bancárias em uma demonstração —, o GPT-5.5-Cyber tem um foco diferente: ser mais permissivo em tarefas de defesa. A OpenAI deixou claro que o modelo não é um salto de capacidade, mas sim uma versão com guardrails mais flexíveis para quem já está autorizado a fazer segurança ofensiva controlada.
Na prática, o GPT-5.5 padrão recusa certos comandos de segurança — como “crie um proof of concept para está vulnerabilidade” — mesmo quando o usuário é um profissional legítimo. O GPT-5.5-Cyber, por outro lado, executa a tarefa. A diferença está no comportamento, não no cérebro.
Trusted Access for Cyber: o modelo de acesso
O acesso ao GPT-5.5-Cyber é controlado pelo programa Trusted Access for Cyber (TAC), um framework de identidade e confiança que a OpenAI vem pilotando desde o ano passado. São três níveis:
- GPT-5.5 padrão, safeguards normais, para uso geral.
- GPT-5.5 + TAC, liberado para a maioria dos fluxos defensivos: revisão de código, triagem de vulnerabilidades, análise de malware, engenharia de detecção.
- GPT-5.5-Cyber, o mais permissivo, para red team autorizado, testes de penetração e validação controlada. Exige verificação mais rigorosa.
A partir de junho, todos os usuários do TAC precisam ativar autenticação resistente a phishing (Advanced Account Security ou SSO com atestação).
Desempenho e parcerias
Em junho, a OpenAI liberou uma versão atualizada do GPT-5.5-Cyber com capacidades ampliadas. O modelo alcançou 85,6% no CyberGym, um benchmark interno que mede a capacidade de um agente de IA reproduzir vulnerabilidades conhecidas em ambientes de teste, contra 81,8% do GPT-5.5 padrão.
A nova versão consegue fazer análises mais profundas em bases de código grandes, identificar componentes relevantes para segurança, validar vulnerabilidades suspeitas e desenvolver e testar patches de software.
A OpenAI também anunciou o Daybreak Cyber Partner Program, que permite que empresas de segurança parceiras usem o GPT-5.5 com Trusted Access for Cyber em seus próprios produtos e serviços. Entre os parceiros estão Cisco, CrowdStrike, Palo Alto Networks, SentinelOne, Intel, Snyk, Cloudflare e Oracle.
Patch the Planet: corrigir em vez de só encontrar
Um dos problemas do avanço dos modelos de IA para cibersegurança é que o gargalo mudou: hoje é mais fácil encontrar vulnerabilidades do que corrigi-las. Foi para resolver isso que a OpenAI lançou o Patch the Planet, em parceria com a Trail of Bits, HackerOne e Calif.
A iniciativa foca em projetos de código aberto críticos, como cURL, Python, Go, pyca/cryptography, NATS Server, aiohttp, Sigstore e freenginx, e usa o GPT-5.5-Cyber não só para descobrir falhas, mas para desenvolver e testar patches. Pesquisadores da Trail of Bits validam os achados, desenvolvem correções e coordenam a divulgação com os mantenedores.
O programa Daybreak já descobriu dezenas de vulnerabilidades reais, incluindo um bug de 23 anos no kernel do OpenBSD, 34 falhas no FreeBSD, 6 no dnsmasq (com CVEs atribuídas), 5 no Chrome V8, 10 no Safari e uma vulnerabilidade de 29 anos no Squid proxy (CVE-2026-47729, apelidada de “Squidbleed”).
Expansão global
A OpenAI firmou parcerias com Austrália, Canadá, França, Alemanha, Japão, Polônia, Coreia do Sul e instituições da União Europeia para expandir o acesso ao GPT-5.5-Cyber para defensores ao redor do mundo. A empresa também comprometeu 10 milhões de dólares em créditos de API para equipes de segurança através do seu Cybersecurity Grant Program.
Enquanto a Anthropic negociava com o governo Trump a liberação do Mythos 5 para empresas selecionadas, a OpenAI seguia um caminho mais silencioso, mas igualmente agressivo, para colocar IA de fronteira nas mãos de quem defende sistemas, não de quem os ataca.
Fonte: OpenAI | Help Net Security | Axios | The Hacker News | CNBC
