La carrera de los laboratorios de IA en ciberseguridad defensiva tiene ahora dos actores principales con productos en producción. Lo publican New York Times y The Next Web el 12 de mayo de 2026: OpenAI lanzó ayer Daybreak, su plataforma de ciberseguridad agentica basada en GPT-5.5 y el agente Codex, como respuesta directa a Project Glasswing de Anthropic y su modelo Claude Mythos Preview.
La diferencia estratégica entre los dos es ya el debate central del sector: Anthropic eligió el acceso ultra-restringido, con ~40 partners seleccionados y resultados documentados (Mozilla: 271 bugs parcheados en Firefox). OpenAI eligió la escala, con partners como Cloudflare, Cisco, CrowdStrike, Palo Alto Networks, Oracle y Akamai, y la declaración de Sam Altman de que quiere trabajar con «tantas empresas como sea posible».
Qué es Daybreak y cómo funciona
Daybreak no es un modelo de IA sino una plataforma de tres capas que estructura el acceso por nivel de riesgo:
GPT-5.5 general: para desarrolladores y equipos de seguridad que necesitan análisis de conocimiento general. Sin restricciones especiales de acceso.
GPT-5.5 con «trusted-access for Cyber»: nivel restringido, orientado a análisis de malware y vulnerabilidades. Requiere verificación.
GPT-5.5 Cyber (gated): el nivel más avanzado, con verificación estricta de identidad antes de otorgar acceso. Capacidad para análisis de vulnerabilidades en codebases de producción.
El motor de la plataforma es Codex Security Agent, el agente especializado de OpenAI que lanzó en marzo de 2026 y que tiene la capacidad de razonar sobre código, identificar vulnerabilidades, generar patches y probarlos directamente en los repositorios del cliente con «scoped access» (acceso controlado y acotado al alcance del análisis).
El flujo de trabajo documentado en la demo de lanzamiento: Codex Security escanea un codebase completo, construye un modelo de amenaza editable, prioriza los hallazgos por impacto real (no por número de CVEs), valida los de mayor criticidad, implementa correcciones y devuelve al cliente evidencia lista para auditoría. El objetivo declarado: reducir el análisis de seguridad de horas a minutos.
Altman lo sintetizó en X con la frase que The Next Web destaca como el titular de la estrategia: «The goal is simple: accelerate cyber defenders and continuously secure software.»
El análisis que publicamos en abril de 2026 sobre Anthropic Mythos y los riesgos de la IA en ciberseguridad señalaba el dilema central del sector: un modelo capaz de encontrar zero-days de forma autónoma puede ser la herramienta más poderosa para defenders… o para atacantes. Daybreak elige resolver ese dilema con estratificación de acceso, no con restricción total.
La diferencia estratégica: restricción vs. escala
El contraste entre los dos enfoques es más que técnico.
Anthropic Glasswing / Mythos opera como un servicio de alta seguridad con lista de espera: aproximadamente 40 partners seleccionados, verificación manual, resultados controlados. El caso de Mozilla —271 vulnerabilidades encontradas y parcheadas en Firefox usando Mythos— es el tipo de resultado que Anthropic quiere publicar: específico, verificable, con impacto real documentado. El acceso restringido reduce el riesgo de que el mismo modelo sea usado para atacar a quienes pretende defender.
La crítica a ese modelo es la de OpenAI: si solo 40 empresas tienen acceso a la IA más avanzada en ciberseguridad, el 99% de las organizaciones —la mayoría de las cuales no tiene un equipo de seguridad sofisticado— queda sin protección.
OpenAI Daybreak elige la escala como respuesta. Cloudflare protege millones de sitios web. Palo Alto Networks tiene decenas de miles de clientes enterprise. Si esas plataformas integran Daybreak, el alcance de la protección agentica se multiplica exponencialmente. El precio es que el modelo más capaz (GPT-5.5 Cyber) requiere verificación estricta, pero los capas inferiores son accesibles a un universo mucho más amplio de organizaciones.
El NYT señala que esta carrera se está produciendo en un contexto de alarma institucional: el FMI llamó la semana pasada a crear nuevos estándares de resiliencia para combatir ciberataques impulsados por IA. Y ayer, Google confirmó que había detectado el primer zero-day generado con IA —aunque un portavoz de Google confirmó a Bloomberg que los atacantes no habían usado Mythos para generarlo.
La ciberseguridad ante los nuevos retos que la IA plantea al cibercrimen es un debate que lleva meses acelerándose. Daybreak y Mythos son las primeras respuestas concretas de los grandes labs de IA.
Más allá de Daybreak: el ecosistema que OpenAI está construyendo
El lanzamiento de Daybreak coincide con otra movida de OpenAI: la OpenAI Deployment Company, anunciada este mismo lunes, una entidad nueva que colabora con 19 firmas globales de inversión, consultoría e integración de sistemas, con mayoría de control de OpenAI. El objetivo declarado es ayudar a organizaciones a construir y desplegar sistemas de IA. El contexto no declarado: consolidar los canales enterprise de distribución antes de que competidores como Anthropic (que también tiene acuerdos enterprise crecientes) los ocupen.
La vulnerabilidad crítica de cPanel documentada en mayo de 2026 ilustra el tipo de problemas que plataformas como Daybreak pretenden detectar antes de que sean explotados: vulnerabilidades en sistemas base que afectan a millones de sitios antes de que exista un parche.
Mi valoración
La ciberseguridad era el único dominio donde Anthropic tenía ventaja competitiva documentada sobre OpenAI con un producto real en campo. Daybreak es la respuesta de OpenAI para eliminar esa ventaja antes de que Mythos tenga tiempo de consolidarla.
Lo que más me convence del enfoque de Daybreak es la filosofía de integración en el ciclo de desarrollo. En lugar de tratar la seguridad como una auditoría externa que ocurre después de que el código existe, Daybreak propone que la IA sea parte del flujo de desarrollo desde el primer commit. Eso es arquitecturalmente correcto: el coste de corregir una vulnerabilidad en producción es entre 30 y 100 veces mayor que hacerlo durante el desarrollo.
Lo que más me preocupa es la pregunta que ninguno de los dos —ni Anthropic ni OpenAI— responde con suficiente detalle: ¿qué impide que el mismo modelo que encuentra vulnerabilidades sea usado para explotarlas? Las capas de verificación de identidad son necesarias pero no suficientes. La historia de la seguridad informática está llena de herramientas de pen-testing legítimas que terminaron en manos equivocadas.
Lo más significativo es que la carrera existe. Hace doce meses, «IA para ciberseguridad» era un concepto. Hoy hay dos sistemas con partners reales, casos documentados y la atención del FMI, Google y el New York Times. El sector ha cruzado una línea: la IA ya no solo produce vulnerabilidades como efecto colateral del vibe coding —también las detecta y las parchea de forma autónoma.
Preguntas frecuentes
¿Qué es OpenAI Daybreak y en qué se diferencia de Anthropic Mythos?
Daybreak es la plataforma de ciberseguridad agentica de OpenAI, lanzada el 12 de mayo de 2026. Usa GPT-5.5 y el agente Codex Security para detectar, validar y parchear vulnerabilidades en codebases empresariales. La diferencia principal con Anthropic Mythos es estratégica: Daybreak tiene un acceso más amplio (con partners como Cloudflare, Cisco, CrowdStrike, Oracle y Akamai), mientras que Mythos opera con ~40 partners seleccionados y acceso ultra-restringido.
¿Qué es Project Glasswing y qué resultados ha tenido Anthropic Mythos?
Project Glasswing es la iniciativa de ciberseguridad de Anthropic basada en Claude Mythos Preview, un modelo especializado en descubrir vulnerabilidades de forma autónoma. El resultado más documentado es el caso de Mozilla: usando Mythos, Mozilla identificó y parcheó 271 vulnerabilidades en Firefox. El proyecto opera con acceso restringido a aproximadamente 40 partners seleccionados y no está disponible al público general.
¿Tiene algo que ver Daybreak con el zero-day generado con IA que anunció Google el 11 de mayo?
No. Un portavoz de Google confirmó a Bloomberg que los atacantes responsables del primer zero-day generado con IA —detectado por el Google Threat Intelligence Group— no usaron Mythos ni ninguna plataforma de Anthropic o OpenAI para desarrollarlo. El zero-day fue generado con herramientas o modelos distintos a los declarados por los labs de IA principales.