OpenAI lanzó Daybreak esta semana — su respuesta a Mythos y al Project Glasswing de Anthropic — usando un nuevo modelo GPT-5.5-Cyber para encontrar vulnerabilidades de software a escala. Apple, Microsoft, Google y Amazon ya están ejecutando Glasswing desde abril; Daybreak ahora pone a OpenAI en la misma sala. Para quien ejecute software a escala significativa, la capa de herramientas "la IA encuentra los bugs antes que los atacantes" acaba de volverse disputada entre dos labs frontera.
Daybreak combina GPT-5.5-Cyber con Codex Security, que construye un modelo de amenazas editable desde el repositorio de software de una empresa y automatiza el monitoreo de vulnerabilidades de mayor riesgo. Los problemas descubiertos se investigan en un entorno aislado. OpenAI lanza tres niveles de modelo: GPT-5.5 (propósito general, salvaguardas estándar), GPT-5.5 con Trusted Access for Cyber (trabajo defensivo verificado, entornos autorizados), y GPT-5.5-Cyber (flujos autorizados especializados, verificación más fuerte y controles a nivel de cuenta). OpenAI afirma que GPT-5.4-Cyber — la versión anterior — contribuyó a corregir más de 3.000 vulnerabilidades. No hay verificación independiente ni desglose de alcance público todavía. El acceso requiere vetting formal de OpenAI; la plataforma está en preview, precio sin listar. Despliegue en la UE en curso; Anthropic supuestamente ha mantenido Mythos fuera de las mismas regiones.
El problema dual-use en el centro: un modelo que puede encontrar vulnerabilidades puede encontrarlas para defensa u ofensa, que es exactamente por qué Anthropic y OpenAI restringen el acceso. Anthropic lanzó Mythos en abril con restricciones similares; CNBC reportó que el lanzamiento desató "histeria de ciberseguridad" entre instituciones del sector financiero. El giro de OpenAI de criticar las restricciones de Anthropic a finales de abril a imponer las suyas pocas semanas después es la señal visible de que los labs frontera están alineados en que esto no es seguro para distribuir ampliamente. El movimiento más profundo: la ciberseguridad IA se está convirtiendo en una categoría de producto de lab frontera junto con agentes de código, no en un producto de vendor de seguridad. Eso cambia a quién acuden las orgs pequeñas para ayuda — y a quién no pueden alcanzar porque las barras de vetting suben. La lista de adopción de Glasswing (Apple, Microsoft, Google, Amazon) es también un reconocimiento "la infraestructura construida por IA ahora necesita seguridad construida por IA", ya que estos cuatro son los mayores clientes de envío de código asistido por IA.
Daybreak es solo preview, acceso por solicitud, precio TBD. Para la mayoría de constructores la implicación práctica no es "usaré Daybreak" sino "los labs ahora disputan la infraestructura de ciberseguridad directamente". Si tu org es lo suficientemente grande para calificar, ambas plataformas apuntan a problemas superpuestos con diferentes supuestos de modelo de amenazas y vale la pena evaluarlas lado a lado. Para todos los demás, el goteo a herramientas de seguridad mainstream — Snyk, Semgrep, GitHub Advanced Security — durante el próximo año es la historia a observar. El número de 3.000 vulnerabilidades es el tipo de afirmación que quiere corroboración independiente antes de aterrizar en decks de compra.