La tesis de este análisis es deliberadamente incómoda: en seguridad de software, los agentes ya pueden convertir la búsqueda de vulnerabilidades en una operación masiva y la evidencia sugiere que la defensa tendrá que reforzar validación, priorización y reparación verificable. El anuncio de OpenAI no demuestra que esa reparación esté resuelta ni que el rendimiento sea universal. Sí aporta una señal difícil de ignorar sobre la escala posible en un entorno controlado, con herramientas de análisis y supervisión humana.
La escala cambia la pregunta
OpenAI afirma que su pipeline examinó 5.034 objetivos de auditoría, equivalentes a unos 2,8 millones de líneas de código y alrededor del 7 % del kernel de Linux. En una fase de doce horas produjo 2.308 candidatos para estudiar; después reprodujo dinámicamente 1.724 de ellos en treinta horas. Según la misma publicación, el proceso generó 948 casos únicos de escalada de privilegios y 291 pruebas de concepto de filtración de información. La cifra de 1,213 millones de dólares en créditos de API corresponde a esa campaña concreta, no a una tarifa universal.
La validación es el cuello de botella
El dato más importante no es el número bruto de hallazgos, sino el paso entre hipótesis y confirmación. OpenAI describe un 3,1 % de análisis incorrectos según su propia métrica, no una tasa global de falsos positivos. Además, comunicó que 20 de 200 éxitos iniciales alcanzaban root mediante otra vulnerabilidad: validar el camino causal sigue siendo difícil. En producción hay más ruido: configuraciones propietarias, dependencias no documentadas y riesgos ausentes en un laboratorio.
Un trabajo independiente de Patch-to-PoC ayuda a poner el anuncio en perspectiva. Sus autores evaluaron un agente K-Repro sobre cien vulnerabilidades reales de kernel y comunicaron más de un 50 % de éxito, con un 64 % de repetición. El trabajo recibe el parche como entrada y reproduce vulnerabilidades N-day: no valida descubrimiento autónomo ni reparación. Su importancia está en mostrar que reproducir fallos con máquinas virtuales, depuradores y pruebas iterativas ya es un problema medible.