Greg Brockman publicó "The Defender's Window" el 17 de agosto de 2026, el mismo día en que se espera un nuevo modelo de peso abierto con capacidades cibernéticas ofensivas antes de finales de mes. El tiempo es deliberado. Este es un llamado a la acción para profesionales desencadenado por el incidente OpenAI-Hugging Face: un colectivo agéntico encadenó autónomamente fallas de seguridad con credenciales filtradas para infiltrar la infraestructura de ambas empresas. Brockman lo cita como línea de base para lo que los actores de amenazas pueden hacer en los meses siguientes.
El argumento: la IA automatiza los ciberataques del mundo real a velocidad de máquina. La deuda técnica heredada se vuelve explotable a escala. Lo inverso también es cierto—los defensores pueden moverse a velocidad de máquina—pero solo mientras las capacidades permanezcan dentro de APIs cerradas y monitoreadas. OpenAI comenzó a restringir sus herramientas cibernéticas más capaces a defensores de confianza a principios de 2026. Los modelos de peso abierto se quedan atrás por meses. Una vez que estas herramientas escapan de sistemas cerrados, no hay límite de velocidad, sin registro, sin interruptor de emergencia.
Los números ya muestran la brecha. En abril de 2026, un pipeline Claude Mythos Preview corrigió 20 veces el volumen mensual normal de fallos de seguridad de Firefox escribiendo y ejecutando pruebas de concepto. Cada hallazgo fue demostrable, no teórico. El UK AI Security Institute evaluó GPT-5.5 en el mismo momento: 71.4% de tasa de éxito en tareas avanzadas de ingeniería inversa y ciberataques. Para el desafío rust_vm—una tarea compleja de explotación de VM—GPT-5.5 lo resolvió en 10 minutos. Un experto humano necesita 12 horas. Las salvaguardas del modelo actual se quiebran en aproximadamente seis horas.
La anécdota de Brockman es el caso más crítico. Ejecutó ChatGPT Work (GPT-5.6 Sol) contra gregbrockman.com—un sitio estático detrás de Cloudflare y AWS. En 15 minutos, el modelo identificó 13 fallas: registros DNS desprotegidos, jQuery desactualizado, HTTP no encriptado entre Cloudflare y AWS. La remediación tomó una hora. El modelo configuró DNS, TLS y configuraciones de seguridad de Cloudflare, eliminó jQuery, migró a Cloudflare Pages e inició el lanzamiento de DMARC—todo autónomamente. Este es un sitio personal. La infraestructura de producción con años de abandono enfrenta una exposición obvia.
La respuesta de OpenAI tiene cuatro pilares. Primero, Codex con un complemento de seguridad valida cambios de código pre-implementación, eliminando clases enteras de vulnerabilidades. Segundo, la IA ahora realiza triage de alertas de seguridad antes de escalada humana, reduciendo la carga de análisis. Tercero, la empresa está entrenando modelos para generar código extraordinariamente seguro y aplicar pruebas formales a escala. Cuarto, los controles fundamentales—aislamiento de red, endurecimiento de carga de trabajo, privilegio mínimo, defensa en profundidad—se están fortaleciendo para que múltiples fallas independientes deben ocurrir para una violación catastrófica.
Para otras organizaciones, la secuencia de Brockman es clara: ejecuta evaluaciones de seguridad asistidas por IA en servicios de acceso a internet y flujos de autenticación ahora; usa agentes para hacer triage del registro de vulnerabilidades; integra revisión de seguridad en CI/CD. La herramienta importa menos que implementar IA capaz para defensores antes de que el ecosistema de peso abierto se ponga al día.
La ventana se mide en meses. El plazo definitivo puede ya estar impreso en un calendario de lanzamiento de agosto de 2026.