A OpenAI está a preparar a pré-visualização de um novo modelo de inteligência artificial dedicado à cibersegurança, o GPT-6 Cyber, acompanhado de um produto inédito destinado a ajudar os clientes a colocá-lo em produção de forma mais automatizada e controlada. A informação foi avançada a 24 de setembro pela Fortune, com base em várias fontes conhecedoras dos planos, e replicada pela Reuters. Até ao momento, a empresa não confirmou publicamente nem o modelo nem o produto, pelo que tudo o que se sabe assenta em relatos não oficiais — ainda que enquadrados por uma estratégia que a OpenAI vem documentando publicamente desde o início de 2026.
Resposta rápida: Segundo a imprensa internacional, a OpenAI deverá apresentar em breve o GPT-6 Cyber, um modelo orientado para descoberta de vulnerabilidades e correção de código, mais um produto ainda sem nome para automatizar fluxos de trabalho de segurança. O acesso deverá continuar restrito ao programa Daybreak Red, de candidatura aprovada caso a caso. Para organizações portuguesas, a mensagem prática é esta: capacidades ofensivas e defensivas estão a acelerar em simultâneo, e convém acelerar a gestão de vulnerabilidades e a resposta a incidentes sem esperar por ferramentas milagrosas.
O que está reportado — e o que ainda não está confirmado
De acordo com a Fortune, a OpenAI prepara-se para pré-visualizar o GPT-6 Cyber nas próximas semanas e apresentar um novo produto que ajude os clientes a implementá-lo de forma mais segura e automatizada. Esse produto, ainda sem nome, seria uma estreia para a empresa e prolongaria o modelo de negócio que a OpenAI criou no consumo — em que o ChatGPT funciona como porta de entrada para novos modelos, como o GPT-6 Astra —, com o objetivo de criar fluxos de trabalho automatizados e corrigir vulnerabilidades perante ataques cada vez mais sofisticados apoiados em IA. Segundo a mesma reportagem, o produto dá também à OpenAI maior visibilidade sobre a forma como os seus modelos estão a ser utilizados, para efeitos de monitorização de segurança.
A Reuters, citando a Fortune, resume o mesmo cenário e acrescenta que a OpenAI não respondeu de imediato a um pedido de comentário fora do horário normal de expediente. Um grupo limitado de clientes do programa Daybreak Red, de acesso apenas por candidatura, já teria acesso ao GPT-6 Cyber para testes alfa. Há, porém, incerteza sobre o calendário: fontes indicaram que o modelo poderá ser pré-visualizado no DevDay de 29 de setembro, ou até antes, com lançamento nos meses seguintes, enquanto outras leituras sublinham que o evento serve de pano de fundo para mais de uma dezena de outros anúncios e que o momento exato da pré-visualização permanece indefinido. Nenhuma página oficial da OpenAI associava, à data desta publicação, o DevDay ao GPT-6 Cyber.
Daybreak: o funil que decide quem usa o quê
Para perceber o alcance da notícia é preciso olhar para o programa Daybreak. Na documentação oficial de apoio da OpenAI, a aprovação no Daybreak concede a uma organização de API ou a um espaço de trabalho do ChatGPT/Codex salvaguardas mais precisas nos modelos principais (Daybreak Blue) e acesso a modelos especializados de cibersegurança (Daybreak Red), com as permissões desativadas por defeito e ativadas depois pelo responsável da organização para utilizadores, grupos ou projetos aprovados, mantendo-se as restantes políticas de utilização. A empresa é explícita quanto à seletividade: o acesso é limitado e sujeito a aprovação, e um contrato comercial não garante por si só a entrada no programa.
O racional defensivo destes modelos foi descrito pela própria OpenAI quando alargou o programa Trusted Access for Cyber: os defensores aprovados recebem menos recusas baseadas em classificadores para fluxos autorizados como identificação e triagem de vulnerabilidades, análise de malware, engenharia inversa de binários, engenharia de deteção e validação de correções, mantendo-se bloqueios a atividades maliciosas como roubo de credenciais, persistência, ocultação, disseminação de malware ou exploração de sistemas de terceiros. Há ainda exigências de segurança da conta: os membros individuais que acedem aos modelos mais permissivos passaram a ter de ativar Segurança Avançada de Conta a partir de 1 de junho de 2026.
Cronologia: um ano inteiro a lançar modelos “cyber”
| Data | Marco |
|---|---|
| Outubro de 2025 | Apresentação do Aardvark, agente de investigação de segurança em beta privada |
| Abril de 2026 | GPT-5.4-Cyber, primeiro modelo “cyber” do ano |
| 7 de maio de 2026 | Anúncio oficial do GPT-5.5-Cyber em pré-visualização limitada (a Fortune situa-o em junho) |
| Agosto de 2026 | GPT-5.6-Cyber, disponibilizado a membros do Daybreak Red |
| 3 de setembro de 2026 | Compromisso de mil milhões de dólares em acesso subsidiado (Daybreak for Frontline Defenders) |
| Setembro de 2026 | Relatos sobre pré-visualização do GPT-6 Cyber e de um produto de implementação |
A sequência confirma-se em fontes independentes. A Fortune descreve o GPT-6 Cyber como o quarto modelo focado em cibersegurança da OpenAI em 2026, depois do GPT-5.4 Cyber em abril, do GPT-5.5 Cyber e do GPT-5.6 Cyber. Note-se a divergência de datas: a OpenAI anunciou o GPT-5.5-Cyber em pré-visualização limitada a 7 de maio de 2026, através do escalão mais alto do programa Trusted Access for Cyber, dirigido a defensores verificados responsáveis por infraestruturas críticas. Sobre o posicionamento desse modelo, a empresa foi cautelosa: afirmou que a pré-visualização inicial de modelos “cyber-permissivos” não visava aumentar significativamente a capacidade ofensiva face ao GPT-5.5, sendo sobretudo treinada para ser mais permissiva em tarefas de segurança.
Porque é que o acesso está a ser tão restringido
A resposta está no próprio system card do modelo de topo da nova geração. A OpenAI escreve que o GPT-6 Astra é o modelo mais capaz que alguma vez implementou de forma alargada e o primeiro a atingir o nível “Crítico” de capacidade de cibersegurança ao abrigo do seu Preparedness Framework, o que significa que, com as ferramentas e acessos certos, consegue encontrar falhas de segurança desconhecidas e desenvolver novas formas de as explorar em muitos sistemas bem protegidos sem orientação humana passo a passo. Foi também por isso que o lançamento do Astra foi faseado, com um grupo limitado de empresas do programa Daybreak a ter acesso prioritário e com a empresa a assumir que iria limitar o acesso às capacidades mais avançadas.
Este equilíbrio entre capacidade e contenção explica o lado comercial da história. A 3 de setembro, a OpenAI lançou a iniciativa Daybreak for Frontline Defenders, com mil milhões de dólares em acesso subsidiado a capacidades cibernéticas de fronteira, formação prática, assistência técnica e novas parcerias para organizações que protegem serviços essenciais, começando por quem tem mais responsabilidade e menos recursos. Segundo a cobertura especializada, o programa abrange água e saneamento, rede elétrica, administração estadual e local, bancos comunitários e regionais, organizações sem fins lucrativos e projetos de código aberto, arranca nos Estados Unidos com intenção de alargamento a países parceiros em semanas, e traduz-se em créditos de utilização a consumir em cerca de seis meses. Cerca de 2000 organizações e espaços de trabalho já usavam o Daybreak, incluindo empresas de cibersegurança, entidades de defesa e autoridades policiais.
O antecedente: agentes que leem código e propõem correções
A ideia de um “investigador de segurança” automatizado não é nova na OpenAI. O Aardvark, apresentado em 2025, analisa todo o repositório para produzir um modelo de ameaças, inspeciona alterações ao nível dos commits, varre o histórico quando um repositório é ligado pela primeira vez, explica passo a passo as vulnerabilidades encontradas com anotações no código e tenta desencadear a falha num ambiente isolado para confirmar a exploração. A empresa afirmou ainda que o agente identificou 92% das vulnerabilidades conhecidas e sinteticamente introduzidas em repositórios de referência e mostrou potencial para detetar erros de lógica e de privacidade. São números da própria fabricante, sem validação independente publicada, e devem ser lidos com essa reserva.
Porque é que isto importa em Portugal
Para as organizações nacionais, o tema cruza-se diretamente com as obrigações do Regime Jurídico da Cibersegurança, que transpõe a diretiva NIS2. O registo na plataforma MyCiber foi apresentado como o primeiro passo para cumprir esse regime, cujo objetivo é garantir que os serviços essenciais e críticos têm um nível elevado de cibersegurança, num quadro de ameaças que vai de agentes estatais e cibercrime até aos desafios colocados por tecnologias disruptivas como a IA generativa. Não é retórica: o CNCS já identificou, entre as tendências emergentes, o uso ofensivo de ferramentas de inteligência artificial generativa, a par do crescimento dos ataques a infraestruturas em nuvem e da ameaça dos infostealers.
Na prática, três leituras para responsáveis de PME e de organizações abrangidas pelo regime:
- Janela de correção mais curta. Se ferramentas destas encontram falhas mais depressa, os atacantes com capacidades equivalentes também o farão. A prioridade continua a ser inventário de ativos, gestão de vulnerabilidades e ciclos de patching mensuráveis.
- Cuidado com os dados enviados para modelos. Código-fonte, registos e artefactos de incidentes podem conter dados pessoais; qualquer utilização destas plataformas deve ser avaliada à luz do RGPD, com base legal, minimização e contratos de subcontratação claros.
- Acesso desigual. Os modelos mais capazes ficam atrás de programas de candidatura, o que reforça a dependência de fornecedores e de serviços geridos por parte das equipas mais pequenas.
Até haver comunicação oficial da OpenAI, o GPT-6 Cyber deve ser tratado como um plano reportado por meios de imprensa, e não como um produto disponível. O que está documentado, esse sim, é a direção: modelos cada vez mais capazes em segurança ofensiva e defensiva, distribuídos por níveis de confiança e acompanhados de controlos de identidade — uma arquitetura que as equipas de segurança europeias terão de avaliar com o mesmo rigor com que avaliam qualquer outro fornecedor crítico.
Perguntas frequentes
O GPT-6 Cyber já está disponível?
Não. Os relatos apontam para uma pré-visualização nas próximas semanas e para testes alfa num grupo restrito do programa Daybreak Red. A OpenAI não confirmou publicamente o modelo nem a data.
Qual é a diferença entre Daybreak Blue e Daybreak Red?
Segundo a documentação da OpenAI, o Daybreak Blue aplica salvaguardas mais ajustadas aos modelos generalistas, enquanto o Daybreak Red dá acesso a modelos especializados de cibersegurança. Ambos exigem candidatura e aprovação prévia.
Uma PME portuguesa pode beneficiar destes modelos?
Diretamente é improvável no curto prazo, porque o acesso é restrito e a iniciativa subsidiada arrancou nos Estados Unidos com alargamento previsto a países parceiros. O ganho mais provável chega de forma indireta, através de fornecedores de segurança que integrem estas capacidades.
O que devem as organizações fazer já?
Manter o essencial: inventário atualizado, correção rápida de vulnerabilidades conhecidas, autenticação multifator resistente a phishing, cópias de segurança testadas, plano de resposta a incidentes e cumprimento das obrigações de registo e notificação do Regime Jurídico da Cibersegurança.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela OpenAI, pelo CNCS e por meios de imprensa internacionais, incluindo a Fortune e a Reuters.