GPT-6 Cyber: OpenAI dichiara 81 nuove falle gravi in Firefox, con accesso ristretto

Informazioni aggiornate al 7 novembre 2026.

Che cosa annuncia OpenAI

OpenAI ha presentato GPT-6 Cyber il 5 novembre: un modello specializzato nella sicurezza informatica, pensato per cercare vulnerabilità, verificarne l’impatto e aiutare a preparare correzioni. Il suo impiego è destinato a ricerche autorizzate, entro un perimetro definito. Non è un servizio disponibile automaticamente a chiunque usi un assistente digitale.

Il caso più immediato riguarda Firefox. Secondo OpenAI, durante una campagna di ricerca il modello ha prodotto prove e test riproducibili per 81 vulnerabilità nuove, che l’azienda riferisce essere state classificate da Mozilla come di alta gravità. OpenAI dichiara inoltre di aver mostrato che altri 30 problemi già noti erano più gravi di quanto segnalato in precedenza. Non sono quindi altre 30 scoperte nuove da sommare alle prime.

L’azienda afferma di aver trasmesso a Mozilla i risultati insieme a proposte di correzione e che molte delle falle di Firefox sono già state corrette. Questo non equivale a dire che l’intera campagna sia conclusa o che tutte le correzioni proposte siano state distribuite.

Il riscontro di Mozilla è parziale

Esiste una traccia pubblica autonoma: il bollettino Mozilla MFSA 2026-118 documenta problemi corretti in Firefox 159 e attribuisce diverse segnalazioni a OpenAI Codex Security (kylebot) e ad Amy Burnett di OpenAI. È datato 27 ottobre 2026, dunque precede l’annuncio del modello.

Il bollettino non nomina GPT-6 Cyber e non ricostruisce il totale di 81 nuove vulnerabilità né le 30 rivalutazioni. Conferma correzioni e crediti a ricercatori OpenAI, non l’intero insieme dei risultati annunciati o il ruolo specifico del modello. I numeri della campagna restano dichiarazioni dell’azienda, non un conteggio certificato da quella pagina Mozilla.

Linux: tre numeri, tre significati

Nella ricerca sul kernel Linux, il nucleo del sistema operativo, OpenAI riferisce di aver riprodotto 1.724 vulnerabilità. Per 948 dichiara di aver sviluppato exploit funzionanti: prove che mostrano come una debolezza possa essere sfruttata nel contesto della ricerca. Non sono numeri di attacchi osservati contro utenti o di computer compromessi.

L’azienda riferisce anche 304 risultati critici comunicati ai manutentori insieme a proposte di patch, cioè modifiche candidate a correggere il software. Una proposta non è ancora una correzione accettata e distribuita. OpenAI aggiunge che il lavoro per ottenere altre correzioni è in corso. Dai dati non si può dedurre che tutte le vulnerabilità riprodotte fossero nuove o che tutte siano già risolte.

Perché l’accesso è limitato

La stessa capacità di verificare una falla può sostenere la difesa o essere usata impropriamente. OpenAI classifica GPT-6 Cyber come Critical per la cybersicurezza nel proprio Preparedness Framework: è una valutazione aziendale delle capacità del modello, non un’etichetta assegnata a ogni singola vulnerabilità.

L’accesso iniziale è previsto tramite API e Codex per clienti selezionati e approvati di Daybreak Red. Il percorso ordinario è riservato alle organizzazioni approvate, ma sono previste eccezioni individuali. Inoltre, l’approvazione Daybreak Red non basta da sola: GPT-6 Cyber richiede un’approvazione specifica aggiuntiva.

La documentazione descrive verifica dell’identità e requisiti di sicurezza degli account. Per le organizzazioni include accesso centralizzato e autenticazione a più fattori. Per l’uso via API è prevista di norma una lista di indirizzi di rete autorizzati, con eccezioni approvate per vincoli tecnici. Sono dichiarati anche monitoraggio degli abusi e controlli sulle attività ad alto rischio. Queste misure non costituiscono una garanzia assoluta di comportamento corretto o di assenza di errori.

Che cosa cambia per lettori e imprese

Scoprire una debolezza, documentarla, valutarla e distribuire una correzione sono passaggi diversi. I risultati annunciati non dimostrano che le patch arriveranno automaticamente più in fretta, né una superiorità generale dell’IA sulle persone. Non provano neppure che ogni problema sia stato individuato prima di eventuali attaccanti.

Come indicazione di servizio della redazione, resta utile mantenere Firefox all’ultima versione disponibile per il proprio canale e tenere aggiornati sistemi e applicazioni. Per una piccola impresa, una domanda concreta al fornitore IT o all’hosting è chi gestisce gli aggiornamenti e come ne controlla l’applicazione. Non serve accedere al nuovo modello per organizzare questo lavoro.

Il punto della notizia è l’uso dichiarato dell’IA nella ricerca di vulnerabilità e il modo in cui viene regolato l’accesso. I risultati vanno letti insieme ai limiti delle prove pubbliche: segnalare un problema non significa aver già protetto tutti i sistemi che potrebbero esserne interessati.

Immagine di copertina generata con IA (Grok Bot) e composta dalla redazione.

Fonti

• OpenAI, GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents (05/11/2026)
• OpenAI, GPT-6 Cyber System Card (05/11/2026)
• OpenAI, OpenAI Daybreak – Trusted Access for Cyber overview (pagina dinamica consultata il 7 novembre 2026)
• Mozilla, Security Vulnerabilities fixed in Firefox 159 (27/10/2026)