GPT-6 Cyber нашёл 81 новую уязвимость в Firefox и написал 948 эксплойтов для Linux

Раньше поиск уязвимостей был штучной работой: опытный исследователь неделями сидит над кодом, ищет странные места, потом ещё столько же пишет эксплойт, чтобы доказать, что дыра настоящая. OpenAI заявляет, что новая модель GPT-6 Cyber умеет делать обе части этой работы. Если цифры подтвердятся независимыми проверками, экономика безопасности заметно изменится.

Что именно показала OpenAI

GPT-6 Cyber — это версия модели, настроенная на поиск уязвимостей и защиту компьютерных систем. В компании приводят два главных результата.

Первый: модель помогла обнаружить 81 ранее неизвестную уязвимость в браузере Firefox. Слово «неизвестную» здесь ключевое. Это не пересказ старых CVE из обучающей выборки, а новые находки в большом и давно проверяемом проекте. Firefox годами тестируют фаззерами и разбирают исследователи, так что найти там что-то новое непросто.

Второй: модель разработала 948 рабочих эксплойтов для ядра Linux. Это уже другой уровень. Найти подозрительный участок кода может и статический анализатор. Превратить его в работающий эксплойт, который реально воспроизводит проблему, гораздо сложнее. Рабочий эксплойт убирает главный спор в любой команде: «а это вообще можно использовать?».

Почему важна цифра 0,07%

Отдельно OpenAI говорит, что модель лучше соблюдает установленные ограничения. В тестах доля нарушений сократилась с 5,51% до 0,07%.

Для кибермодели это не косметика. Такой инструмент по определению двойного назначения: тот же навык, что помогает закрыть дыру, помогает её эксплуатировать. Поэтому вопрос не только в том, насколько модель умна, но и в том, насколько надёжно она остаётся в рамках правил: не помогает атаковать чужие системы, не выходит за границы разрешённой задачи.

Снижение с 5,51% до 0,07% означает, что нарушение было в одном случае из 18, а стало примерно в одном из 1400. Но 0,07% не ноль. При массовом использовании даже такая доля даёт сотни случаев на сотни тысяч запросов. Кроме того, это показатель из тестов самой OpenAI, а не из реального мира, где пользователи активно ищут обходы.

Что это значит на практике

Для разработчиков и команд безопасности вывод такой: аудит кода с помощью ИИ становится рабочим инструментом, а не демо. Если вы поддерживаете открытую библиотеку, браузерный компонент или низкоуровневый код, стоит исходить из того, что похожие модели будут сканировать ваш репозиторий, и не только вы.

Что стоит сделать уже сейчас:

• Ускорить цикл исправлений. Если находки появляются быстрее, медленный процесс выпуска патчей становится главным узким местом.
• Автоматизировать воспроизведение. Рабочий эксплойт нужен не только атакующим: он помогает быстро подтвердить и приоритизировать баг.
• Пересмотреть модель угроз. Дыры в старом, давно «проверенном» коде могут оказаться не такими безопасными, как казалось.
• Продумать политику раскрытия. Поток находок от ИИ потребует понятных каналов для отчётов и сроков исправления.

Продактам и основателям, которые делают инструменты безопасности, стоит присмотреться ещё внимательнее. Сама по себе способность найти баг дешевеет. Ценность смещается к тому, что вокруг: триаж, интеграция в CI, автоматические исправления, доказательство того, что патч закрывает проблему.

Ограничения и вопросы без ответа

Пока мы опираемся на заявления OpenAI. Неясно, сколько из 81 найденной уязвимости критические, а сколько низкого риска. Неясно, как выглядели 948 эксплойтов для Linux: насколько они надёжны, зависят ли от конкретных конфигураций и сколько человеческого участия потребовалось. Нет и данных о доле ложных срабатываний, а именно она определяет, сэкономит ли инструмент время или завалит команду шумом.

Итог простой: GPT-6 Cyber — сильный сигнал, что ИИ перешёл от подсказок по коду к самостоятельной работе исследователя безопасности. Защитникам стоит использовать это раньше, чем это сделают атакующие.