Em 7 de maio, a OpenAI apresentou uma nova variante do GPT-5.5 chamada GPT-5.5-Cyber.
Não é uma prévia pública comum. O acesso fica restrito a equipes de cibersegurança verificadas, e a partir de 1º de junho o nível mais alto terá de usar autenticação de hardware resistente a phishing.
O momento chama atenção: faz menos de um mês que a Anthropic fechou o Claude Mythos em um programa limitado a parceiros e empresas selecionadas.
O que muda em relação ao modelo padrão
A OpenAI afirma que a prévia inicial não busca aumentar muito a capacidade cibernética do GPT-5.5. A ideia é tornar o modelo mais permissivo em tarefas legítimas de segurança.
Isso inclui automação de red team, criação de provas de conceito para vulnerabilidades, simulações de ataque em ambientes reais, testes de estresse e validação de falhas críticas já identificadas.
A linha continua explícita. Pedidos ligados a roubo de credenciais, malware pronto para implantação ou ferramentas capazes de causar dano real seguem fora do escopo. O modelo pode ajudar a ensaiar a defesa contra ataques, mas não a atacar terceiros.
Três níveis, quase como controle de exportação
O GPT-5.5-Cyber é o nível superior do programa Trusted Access for Cyber. O nível público é o GPT-5.5 com salvaguardas padrão. O nível intermediário relaxa parte das restrições para fluxos de segurança registrados. O nível mais alto é destinado a red teams e equipes de teste de invasão aprovadas.
Cada nível exige comprovação de identidade e documentação de uso. As contas ficam ligadas a identidades reais, todas as chamadas são registradas e o acesso pode ser revogado. A partir de 1º de junho, o nível superior deve usar FIDO2 ou chaves físicas de segurança.
A lógica se parece com controle de exportação: quanto mais sensível a capacidade, maior a supervisão.
O contraste com Claude Mythos
O UK AI Security Institute avaliou GPT-5.5 e Mythos Preview na mesma cadeia simulada de ataque corporativo com 32 etapas. O GPT-5.5 completou 2 de 10 tentativas; o Mythos Preview completou 3.
Ambos ficam perto de 30%, mas já não parecem adequados para lançamento irrestrito. Outro detalhe pesa: o GPT-5.5 resolveu sozinho uma tarefa de engenharia reversa em 10 minutos.
A Anthropic praticamente fechou o Mythos Preview, limitando-o a 12 parceiros de aliança e 40 empresas selecionadas. Seu relatório de segurança diz que o Mythos encontrou uma falha no OpenBSD escondida por 27 anos e 271 vulnerabilidades no Firefox.
A OpenAI escolheu outro caminho. A porta abre um pouco mais, mas a fechadura fica mais forte. Mythos é um ciclo fechado de pesquisa; GPT-5.5-Cyber mira um conjunto maior de defensores, com controle de contas como proteção.
A lógica de negócios
Manter o Mythos fechado indica que a Anthropic quer capturar valor usando o modelo para encontrar falhas e vender correções a empresas. A OpenAI, por outro lado, posiciona o modelo como SaaS para o setor de segurança.
Os primeiros usuários provavelmente serão grandes empresas de segurança. Elas têm demanda elevada por testes de invasão, forte disposição a pagar e cada chamada pode alimentar a próxima geração de modelos cyber da OpenAI.
Assim, o lançamento disputa o mercado de defensores com a Anthropic e também coleta dados de treinamento. A exigência de chave física em 1º de junho também fala com reguladores. Com o protocolo de revisão prévia da CAISI recém-implantado, a OpenAI parece querer definir suas próprias regras antes que normas mais duras cheguem.
Fontes: OpenAI Opens GPT-5.5-Cyber to Vetted Security Researchers (WinBuzzer); CocoLoop, OpenAI tunes GPT-5.5-Cyber for more permissive security workflows (Help Net Security); OpenAI rolls out new GPT-5.5-Cyber to vetted cybersecurity teams (CNBC)