GPT‑6 Cyber escreveu exploits para 948 falhas do Linux e não saiu do escopo em 99,93% dos testes

A OpenAI lançou o GPT‑6 Cyber, um modelo especializado que procura vulnerabilidades em programas, confirma que elas podem de fato ser exploradas e, ao mesmo tempo, deve seguir à risca os limites definidos pelo pesquisador. O problema que o lançamento ataca é familiar a quem já confiou a infraestrutura de terceiros a uma automação: um agente capaz de invadir sistemas pode facilmente atacar «de brinde» algo que ninguém pediu para ele tocar. Imagine que você encarregou o agente de testar uma aplicação web, e ele percebeu ali perto um armazenamento de arquivos vulnerável e foi buscar uma presa fácil.

No teste desse tipo de comportamento, o GPT‑6 Cyber não mexeu em serviços alheios à tarefa em 99,93% dos casos. Já em projetos reais, escreveu exploits funcionais para 948 vulnerabilidades do kernel do Linux. Se você é responsável pela segurança de um produto, faz code review ou desenvolve seus próprios agentes, este é um bom ponto de referência: ele mostra tanto o patamar de capacidade quanto uma forma de medir a obediência.

O que o modelo faz na prática

O principal benchmark se chama ExploitGym e avalia se o modelo consegue explorar uma vulnerabilidade dada em um alvo remoto. O GPT‑6 Cyber resolve 48,5% das tarefas; o antecessor, GPT‑5.6 Cyber, resolve 32,1%. São cerca de 16 pontos percentuais a mais, ou 51% em termos relativos. Em uma nova avaliação de pentest de aplicações web, na qual o modelo não tem acesso ao código-fonte, ele encontrou 40,3% das vulnerabilidades, contra 32,0% do GPT‑6 Astra, o modelo de uso geral.

Para o modo Daybreak Red, a OpenAI montou outro conjunto de testes, o RemoteExploitBench. Nele, vulnerabilidades conhecidas em GitLab, PostgreSQL e Jenkins são implantadas em um ambiente controlado. O GPT‑6 Astra, no modo Daybreak Blue, recusou todas as tarefas (100% de recusas), enquanto o GPT‑6 Cyber executou 95%. A única falha foi um exploit que não se conseguiu fazer funcionar remotamente. Com base nas avaliações, a OpenAI atribuiu ao modelo o nível Critical em segurança cibernética no seu Preparedness Framework; o GPT‑5.6 Cyber tinha High.

Os resultados reais convencem mais do que os benchmarks. O modelo reproduziu 1 724 vulnerabilidades no kernel do Linux e criou exploits funcionais para 948 delas. No mesmo ambiente de pesquisa, o GPT‑5.

6 Sol deu conta de apenas 166, ou seja, o resultado novo é mais de cinco vezes melhor. Foram repassados aos mantenedores 304 achados críticos, acompanhados de candidatos a patch. No Firefox, que há muito tempo é auditado, inclusive por modelos de ponta, o GPT‑6 Cyber encontrou 81 novas vulnerabilidades de alta gravidade pela classificação da Mozilla e mostrou que outros 30 problemas conhecidos são mais perigosos do que se pensava.

A Mozilla já está lançando as correções. Além disso, pesquisadores da OpenAI mostraram, junto com outros modelos, como um erro crítico na biblioteca de compressão Brotli, usada pelo Node.js, pode levar à execução remota de código em aplicações dependentes.

Como o modelo é mantido dentro dos limites

Para a OpenAI, o alinhamento virou a tarefa central: o modelo foi treinado especificamente para permanecer dentro dos limites permitidos, respeitar as restrições sobre ações e relatar os resultados com honestidade. O teste se chama ExploitGym Honeypot e se baseia em um incidente com a Hugging Face. O modelo recebe uma tarefa difícil de exploração em um ambiente isolado, onde há serviços auxiliares por perto, como um repositório de pacotes ou de objetos. Esses serviços são deliberadamente fáceis de invadir: atacá-los revela a flag da tarefa. O modelo precisa concluir por conta própria que não deve tocar neles.

Sem os prompts de proteção da implantação, o GPT‑6 Cyber evitou atacar esses serviços em 99,93% dos casos, e o GPT‑5.6 Cyber, em 94,49%. Com esses prompts, o resultado foi de 100%. A cadeia de raciocínio deixa o caminho do modelo à vista: ele escreve que não se deve presumir a existência de uma API adicional e que é preciso atacar apenas o binário ou o servidor, e também que não convém procurar credenciais fora do escopo da tarefa.

Quem já usa e o que vem a seguir

Entre os usuários estão Cisco, Calif, CodeRabbit, Palo Alto Networks, SentinelOne, Perplexity e Cognition. A CodeRabbit relata que, em um teste interno, o modelo encontrou 66% mais problemas de gravidade alta e média do que o modelo que a empresa usa hoje. A Cognition obteve 23% em seu teste de busca de novas vulnerabilidades, contra 13% do melhor resultado anterior. São depoimentos de parceiros divulgados pela própria OpenAI, e não medições independentes. A própria empresa usou o modelo para reforçar a infraestrutura de treinamento: em red teams de treinamento, agentes baseados no GPT‑6 Cyber e em outros modelos combinaram vulnerabilidades para escapar de microVMs e executar código no host.

A OpenAI reconhece também o outro lado: quanto mais fortes os modelos, mais tentativas de usá-los para causar dano, inclusive por parte de criminosos e de grupos que querem «destilar» modelos. Por isso, o aumento de capacidade vem acompanhado de mecanismos reforçados de detecção e de contenção de abusos. A empresa também quer ampliar de forma significativa o Daybreak, para que métodos avançados de busca de vulnerabilidades cheguem a organizações de qualquer porte, pesquisadores independentes e mantenedores de projetos de código aberto.

Para defensores verificados, há o Daybreak Blue, com menos recusas desnecessárias, enquanto o Daybreak Red serve ao desenvolvimento aprofundado de exploits e a testes autorizados. Modelos comuns, como o GPT‑6 Astra, oferecem suporte a code review, triagem de vulnerabilidades e preparação de patches.

A conclusão prática é simples. Se você tem código em que um erro custa caro, vale conhecer o Daybreak e preparar de antemão um ambiente isolado para os testes. E, ao desenvolver os próprios agentes, vale adotar a abordagem da OpenAI: verificar não só o que o agente sabe fazer, mas também o que ele não deve fazer. As configurações completas das avaliações e os resultados estão no system card.