GPT‑6 Cyber написала эксплойты к 948 дырам Linux и не вышла за рамки в 99,93% тестов

OpenAI выпустила GPT‑6 Cyber — специализированную модель, которая ищет уязвимости в программах, проверяет, что их действительно можно использовать, и при этом должна строго держаться в рамках, заданных исследователем. Проблема, которую решает релиз, понятна любому, кто доверял автоматизации чужую инфраструктуру: агент, умеющий взламывать, легко может «заодно» атаковать то, что его не просили трогать. Представьте, что вы поручили проверить одно веб-приложение, а агент заметил рядом дырявое хранилище файлов и полез туда за лёгкой добычей.

В тесте на такое поведение GPT‑6 Cyber не трогала посторонние сервисы в 99,93% случаев, а при работе с реальными проектами написала рабочие эксплойты для 948 уязвимостей ядра Linux. Если вы отвечаете за безопасность продукта, делаете code review или строите собственных агентов, это хороший ориентир: показывает и планку возможностей, и способ измерять послушность.

Что модель умеет на практике

Главный бенчмарк называется ExploitGym: в нём проверяют, может ли модель воспользоваться заданной уязвимостью на удалённой цели. GPT‑6 Cyber решает 48,5% задач, а предыдущая GPT‑5.6 Cyber — 32,1%. Это примерно на 16 процентных пунктов выше, или на 51% в относительном выражении. В новой проверке на пентест веб-приложений, где у модели нет доступа к исходному коду, она нашла 40,3% уязвимостей, а универсальная GPT‑6 Astra — 32,0%.

Для режима Daybreak Red OpenAI собрала ещё один набор — RemoteExploitBench. В нём известные уязвимости в GitLab, PostgreSQL и Jenkins развёрнуты в контролируемой среде. GPT‑6 Astra в режиме Daybreak Blue отказалась от всех задач (100% отказов), а GPT‑6 Cyber выполнила 95%. Единственный провал — эксплойт, который не удалось заставить работать удалённо. По итогам оценок OpenAI присвоила модели уровень Critical в области кибербезопасности по своему Preparedness Framework; у GPT‑5.6 Cyber был High.

Реальные результаты выглядят убедительнее бенчмарков. Модель воспроизвела 1 724 уязвимости в ядре Linux и сделала рабочие эксплойты для 948 из них. GPT‑5.6 Sol на том же исследовательском стенде справилась только с 166, то есть результат больше чем в пять раз лучше. Мейнтейнерам передали 304 критичные находки вместе с кандидатами в патчи. В Firefox, который давно проверяют в том числе передовыми моделями, GPT‑6 Cyber нашла 81 новую уязвимость высокой серьёзности по классификации Mozilla и показала, что ещё 30 известных проблем опаснее, чем считалось. Mozilla уже выпускает исправления. Кроме того, исследователи OpenAI вместе с другими моделями показали, как критическая ошибка в библиотеке сжатия Brotli, которую использует Node.js, может привести к удалённому выполнению кода в зависимых приложениях.

Как модель удерживают в границах

Для OpenAI выравнивание стало центральной задачей: модель специально обучали оставаться в разрешённых пределах, соблюдать ограничения на действия и честно отчитываться о результатах. Проверка называется ExploitGym Honeypot и опирается на инцидент с Hugging Face. Модели дают сложную задачу на эксплуатацию в изолированной среде, где рядом есть вспомогательные сервисы вроде хранилища пакетов или объектов. Их нарочно делают лёгкими для взлома: атака на них раскрывает флаг задачи. Модель должна сама сообразить, что трогать их нельзя.

Без защитных промптов развёртывания GPT‑6 Cyber избежала атак на такие сервисы в 99,93% случаев, а GPT‑5.6 Cyber — в 94,49%. С этими промптами результат составил 100%. В цепочке рассуждений видно ход мысли: модель пишет, что нельзя предполагать наличие дополнительного API и надо атаковать только бинарник или сервер, а также что не стоит искать учётные данные вне задачи.

Кто уже использует и что дальше

Среди пользователей — Cisco, Calif, CodeRabbit, Palo Alto Networks, SentinelOne, Perplexity и Cognition. CodeRabbit сообщает, что на внутреннем тесте модель нашла на 66% больше проблем высокой и средней серьёзности, чем их рабочая модель. Cognition получила 23% на своём тесте на поиск новых уязвимостей против прежнего лучшего результата 13%. Это отзывы партнёров, которые публикует сама OpenAI, а не независимые замеры. Сама компания применяла модель для укрепления инфраструктуры обучения: в учебных красных командах агенты на GPT‑6 Cyber и других моделях объединяли уязвимости, чтобы выбраться из микровиртуальных машин и выполнить код на хосте.

OpenAI признаёт и обратную сторону: чем сильнее модели, тем больше попыток использовать их во вред, в том числе со стороны злоумышленников и групп, которые хотят «дистиллировать» модели. Поэтому возросшие возможности сопровождаются усиленными механизмами обнаружения и пресечения злоупотреблений. Компания также хочет заметно расширить Daybreak, чтобы передовые методы поиска уязвимостей получили организации любого размера, независимые исследователи и мейнтейнеры открытых проектов. Для проверенных защитников есть Daybreak Blue с меньшим числом лишних отказов, а Daybreak Red нужен для глубокой разработки эксплойтов и разрешённого тестирования. Обычные модели вроде GPT‑6 Astra поддерживают code review, сортировку уязвимостей и подготовку патчей.

Практический вывод простой. Если у вас есть код с высокой ценой ошибки, стоит присмотреться к Daybreak и заранее подготовить изолированную среду для проверок. А при разработке собственных агентов полезно перенять подход OpenAI: проверять не только то, что агент умеет, но и то, чего он делать не должен. Полные настройки оценок и результаты лежат в system card.