El mejor LLM para ciberseguridad depende de la tarea. Opciones para triaje de alertas, ingeniería de detección, inteligencia de amenazas e investigación de vulnerabilidades, con quién midió cada puntuación.
By TaskUpdated 2026-10-306 picks
Introduction
El mejor LLM para ciberseguridad en octubre de 2026 depende de la tarea. Un modelo que lidera un benchmark de vulnerabilidades puede ser la elección equivocada para el triaje de la cola de alertas de un SOC, y las tablas de clasificación públicas mezclan autodeclaraciones de los fabricantes con ejecuciones independientes sobre distintos subconjuntos de tareas. Esta edición ordena las cifras por tarea e indica quién midió cada una. Cada puntuación se comprobó en su fuente el 30 de octubre de 2026.
Lo principal para los defensores: los modelos de pesos abiertos se han puesto al día en varias tareas de seguridad. En CyberGym, una ejecución independiente con un mismo harness situó a Kimi K3 y GLM-5.3 por delante de los modelos cerrados que probó. En triaje de alertas, un modelo abierto de 9B igualó a GPT-4.1 sobre las mismas alertas. Los modelos que lideran los benchmarks ofensivos son muy grandes, mientras que los mejores resultados de modelos pequeños se dan en tareas defensivas acotadas, ejecutadas dentro de un harness bien construido. Esta página presenta las puntuaciones de benchmarks ofensivos como mediciones de capacidad hechas por terceros, para defensores que eligen un modelo.
Dos lanzamientos llegaron demasiado tarde para las cifras de esta edición. Moonshot publicó Kimi K3.1 Pro y escribió que, para su versión de pesos abiertos, mantuvo deliberadamente la capacidad cibernética ofensiva del modelo por debajo de lo que su pipeline puede producir. Mistral publicó los pesos abiertos de Mistral Large 4 el 29 de octubre de 2026, citando mejoras en ciberseguridad defensiva. Todavía no encontramos ningún resultado independiente de ciberseguridad para ninguno de los dos.
Our Picks
#1
Qwen3.5 9B
Alert-Bench F1, ejecución de los autores (oct. 2026): 0.952
Para el triaje de alertas, el resultado más sólido publicado hasta ahora para un modelo pequeño corresponde a Qwen3.5 9B, un modelo de pesos abiertos que un equipo de seguridad puede ejecutar dentro de su propio entorno. En el artículo de Alert-Bench (arXiv 2610.10608, octubre de 2026), los autores reprodujeron telemetría empresarial a través de un SIEM en funcionamiento y ejecutaron cada modelo con su protocolo de triaje AIDA. Sobre el mismo subconjunto de 300 alertas, Qwen3.5 9B y la referencia GPT-4.1 obtuvieron el mismo F1 de 0.952, con una precisión de 0.980 y un recall de 0.926. Los demás modelos abiertos de esa prueba oscilaron entre 0.098 y 0.777, de modo que tanto el harness como la elección del modelo importan. Lo midieron los autores; el modelo se usó tal como se publicó, sin entrenamiento con datos de triaje.
Strengths
El mismo F1 que GPT-4.1 sobre las mismas alertas, medido por los autores del benchmark
Lo bastante pequeño para ejecutarse en tu propio entorno, así que los datos de alertas se mantienen privados
Pesos abiertos, así que un equipo puede seguir entrenándolo con sus propios veredictos sobre alertas
Trade-offs
Un solo artículo, un solo escenario de ataque y un protocolo estructurado alrededor del modelo
El protocolo completo consume muchos tokens: unos 37,000 tokens por alerta en la ablación de los autores
#2
Claude Opus 4.6
Recompensa CTI-REALM, ejecución de Microsoft (mar. 2026): 0.637
La ingeniería de detección convierte un informe de amenazas en reglas de detección operativas, y CTI-REALM es el benchmark construido para ello. El artículo de Microsoft (arXiv 2603.13517, marzo de 2026) probó 16 configuraciones de modelos, todas de Anthropic y OpenAI, y Claude Opus 4.6 con esfuerzo de razonamiento alto obtuvo la recompensa más alta, 0.637, por delante de Opus 4.5 con 0.624 y Sonnet 4.5 con 0.587. El mejor resultado de OpenAI fue GPT-5 con esfuerzo medio, 0.572. Microsoft los midió a todos en el mismo entorno. A octubre de 2026, ningún modelo abierto tiene una puntuación publicada en CTI-REALM, así que esta elección es el mejor resultado medido, todavía sin un modelo abierto con el que compararlo.
Strengths
La recompensa más alta entre las 16 configuraciones que probó Microsoft
El mismo harness para todos los modelos, ejecutado por los autores del benchmark
Uso de herramientas sólido a lo largo de largos ciclos de consulta y prueba
Trade-offs
Solo disponible como servicio alojado, así que la telemetría de detección se envía a un proveedor
Los modelos de Anthropic usaron entre unos 442,000 y 524,000 tokens por tarea, frente a unos 120,000 de GPT-4.1
#3
GLM-5.3
CyberGym, ejecución corregida de Proximal (sept. 2026): 93.5%
GLM-5.3, de Z.ai, cuenta con pruebas independientes de ciberseguridad tanto de un laboratorio gubernamental como de una empresa de seguridad. El Center for AI Standards and Innovation (CAISI) de EE. UU. lo calificó como el modelo de pesos abiertos con mayor capacidad cibernética publicado hasta la fecha y estimó que va unos cuatro meses por detrás de la frontera estadounidense en sus propias evaluaciones de ciberseguridad (NIST, 17 de septiembre de 2026). En CyberGym, Proximal lo ejecutó en un mismo harness junto a modelos cerrados y le otorgó un 93.5% en una versión corregida del benchmark (30 de septiembre de 2026). Su predecesor, GLM-5.2, es el modelo que Hugging Face ejecutó en su propia infraestructura para el análisis forense durante su incidente de julio de 2026, después de que las API alojadas bloquearan ese trabajo.
Strengths
Resultados independientes de CAISI y Proximal, además de los del propio fabricante
Pesos abiertos: el trabajo forense con datos de ataques reales puede quedarse en su entorno
Un predecesor ya probado en una respuesta a incidentes real
Trade-offs
Un modelo muy grande que necesita un clúster multi-GPU para servirse
CAISI lo sitúa por detrás de los modelos de frontera actuales de EE. UU. en su medida agregada
#4
Kimi K3
CyberGym, ejecución corregida de Proximal (sept. 2026): 95.6%
En la reproducción de vulnerabilidades conocidas, Kimi K3 obtuvo la puntuación más alta en la ejecución de CyberGym de Proximal con un mismo harness (30 de septiembre de 2026). Proximal encontró tareas que el evaluador original puntuaba mal, retiró 227 de las 1,507 y volvió a puntuar cuatro modelos: Kimi K3 subió 13.7 puntos, de 81.9% a 95.6%, frente al 93.5% de GLM-5.3, el 91.1% de GPT-5.6 Sol y el 87.8% de Claude Fable 5.1 (con Opus 5 como respaldo). Proximal ejecutó los modelos cerrados con sus salvaguardas de ciberseguridad estándar desactivadas mediante programas de acceso para ciberseguridad, de modo que la comparación mide la capacidad sin que intervengan los rechazos. Proximal también concluyó que CyberGym está en gran medida saturado, así que conviene leer el resultado como una señal de que los pesos abiertos se ponen al día en esta tarea y dar menos peso al orden exacto.
Strengths
Puntuación máxima en una ejecución independiente que probó modelos abiertos y cerrados juntos
Pesos abiertos para equipos que investigan vulnerabilidades en su propio código
El evaluador corregido de Proximal elimina los errores de puntuación conocidos del benchmark
Trade-offs
2.8 billones de parámetros según Moonshot, así que servirlo requiere un clúster
El nuevo Kimi K3.1 Pro de Moonshot mantiene deliberadamente más baja la capacidad ofensiva
#5
Claude Opus 4.7
Cybench, system card de Anthropic (35 tareas): 96%
Para trabajo de seguridad tipo capture-the-flag, la tabla de clasificación oficial de Cybench sitúa a Claude Opus 4.7 en el 96%, dato tomado de la propia system card de Anthropic sobre 35 de las 40 tareas del benchmark. Claude Mythos Preview encabeza la tabla con un 100% en las mismas 35 tareas, como modelo en versión preliminar; Opus 4.7 es la elección aquí por ser el modelo publicado. Las filas de modelos abiertos más recientes de la tabla datan de 2024, así que se trata de un resultado cerrado sólido sin una comparación abierta en el mismo harness. Las puntuaciones de Cybench de modelos abiertos solo circulan como cifras de publicaciones de lanzamiento, que dejamos fuera de esta lista.
Strengths
Cerca de la cima de la tabla de clasificación oficial de Cybench
Disponible a través de la API de Anthropic
Razonamiento general sólido para el trabajo de investigación en torno a un hallazgo
Trade-offs
Autodeclarado, en un subconjunto de 35 de las 40 tareas
Las salvaguardas de los servicios alojados pueden rechazar trabajo forense con datos de ataques reales
#6
Foundation-Sec-8B-Reasoning
CTI-MCQA, model card de Cisco (ene. 2026): 0.691
Para preguntas de inteligencia de amenazas con hardware modesto, Foundation-Sec-8B-Reasoning de Cisco es un especialista en seguridad construido sobre una base de 8B. Según la propia model card de Cisco (publicada el 28 de enero de 2026), obtiene 0.691 en CTI-MCQA de CTIBench frente a 0.688 de GPT-5-Nano, y 0.753 en el mapeo de CVE a CWE frente a 0.672. Eso lo sitúa a la par de un modelo cerrado pequeño en benchmarks de conocimiento. Encaja bien en preguntas estructuradas y de gran volumen en las que los datos deben quedarse en casa, y peor en investigaciones abiertas.
Strengths
Se ejecuta en una sola GPU de clase estación de trabajo
A la par de GPT-5-Nano en benchmarks de conocimiento de CTI
Entrenado con textos de seguridad, así que domina el vocabulario desde el primer momento
Trade-offs
Autodeclarado por Cisco y comparado con un modelo cerrado pequeño, por debajo de la frontera
Los datos de entrenamiento de su modelo base terminan en abril de 2025, así que faltan las vulnerabilidades recientes
How We Chose
Agrupamos las elecciones por tarea de seguridad: triaje de alertas, ingeniería de detección, investigación de vulnerabilidades y conocimiento de inteligencia de amenazas. Cada elección lleva una puntuación, etiquetada con el benchmark, quién lo ejecutó y cuándo. Preferimos resultados en los que los autores del benchmark o un laboratorio independiente ejecutaron todos los modelos en el mismo harness (Alert-Bench, CTI-REALM, la ejecución de CyberGym de Proximal, CAISI). Las autodeclaraciones de los fabricantes se etiquetan como tales, y las cifras de agregadores recopiladas de publicaciones de lanzamiento quedan fuera.
También valoramos si un equipo de seguridad puede ejecutar el modelo donde residen sus datos. La guía de la Australian Signals Directorate para defensores cibernéticos (8 de septiembre de 2026) pide a las organizaciones mantener la capacidad del modelo "acorde con los requisitos y el valor del caso de uso previsto", y menciona el consumo de tokens y el coste operativo continuo entre los factores. La divulgación del incidente de Hugging Face de julio de 2026 añade el argumento operativo a favor de los pesos abiertos: las API alojadas bloquearon su análisis forense de comandos de ataque reales, así que ejecutó un modelo GLM de pesos abiertos en su propia infraestructura, y ningún dato ni credencial del atacante salió de su entorno.
Bottom Line
Para la cola de alertas de un SOC, empieza con un modelo abierto pequeño dentro de un protocolo de triaje estructurado: Qwen3.5 9B igualó a GPT-4.1 en Alert-Bench. Para ingeniería de detección, Claude Opus 4.6 tiene el mejor resultado medido en CTI-REALM, y aún no se ha publicado ningún modelo abierto en ese benchmark. Para investigación de vulnerabilidades en la que los datos deben quedarse en casa, GLM-5.3 y Kimi K3 son las opciones abiertas, con la mayor huella de infraestructura para servirlos. Para preguntas de inteligencia de amenazas con hardware modesto, Foundation-Sec-8B-Reasoning es el especialista.
El coste baja en dos frentes. El precio por token de un modelo abierto puede situarse muy por debajo del de una API de frontera, y los tokens por tarea varían mucho: el protocolo completo de Alert-Bench gastó unos 37,000 tokens por alerta en la ablación de los autores, y en CTI-REALM los modelos de Anthropic usaron aproximadamente cuatro veces los tokens de GPT-4.1 por tarea. Un modelo entrenado con las propias alertas y veredictos de un equipo puede llevar el protocolo repetido en el propio modelo, de modo que se envían menos tokens con cada alerta. Ese es el trabajo del endpoint de Ertas, que entrena nuevas versiones del modelo con el tráfico de un agente, puntúa cada una con las propias evaluaciones del cliente y la pone en producción solo con su aprobación; si una nueva versión se queda corta, el modelo actual sigue en servicio. El endpoint es actualmente solo por invitación, y estamos desarrollando una versión más sencilla para un acceso más amplio.
Esta es la edición de octubre de 2026. Cuando cambien las clasificaciones, publicaremos una nueva edición y la enlazaremos desde la parte superior de esta página.
Ejecuta estos modelos con tus propios datos de seguridad
Desplegamos modelos GLM, Kimi y Qwen para equipos de seguridad en infraestructura que gestionamos, en tu propio tenant de nube o en tus instalaciones. Tus datos se mantienen privados, los costes de uso se vuelven más predecibles y el modelo está listo antes del próximo incidente.
