GPT-6 Cyber от OpenAI ломает Firefox и Linux и реже выходит за рамки задачи

Новая кибермодель OpenAI нашла 81 неизвестную уязвимость Firefox и 948 способов получить root в Linux, а в тесте с сервисом-приманкой вышла за рамки задачи в 0,07% прогонов. Доступ только через Daybreak Red; что это меняет для мейнтейнеров и обычных команд.

OpenAI 5 ноября представила GPT-6 Cyber — версию GPT-6 Astra, дообученную искать уязвимости, писать эксплойты и проводить пентест веб-приложений. Это та модель, которая подготовила 948 эксплойтов для ядра Linux, о чём OpenAI рассказала накануне. Теперь к ним добавились 81 ранее неизвестная уязвимость Firefox высокой серьёзности и цифра, которую компания выделяет не меньше: в тесте с сервисом-приманкой модель вышла за рамки задачи в 0,07% прогонов.

Свободного доступа нет: модель выдают только одобренным участникам закрытой программы Daybreak Red, и пока лишь избранной их части. Для мейнтейнеров открытого кода это, скорее всего, означает больше находок и больше работы по проверке патчей, а для остальных — очередные обновления Firefox и Linux.

• ExploitGym: 48,5% задач доведено до рабочего эксплойта против 32,1% у GPT-5.6 Cyber и 42,4% у GPT-6 Astra (замеры OpenAI).
• RemoteExploitBench с живыми GitLab, PostgreSQL и Jenkins: 95% задач, Astra в режиме Daybreak Blue отказалась от всех.
• ExploitGym Honeypot: 0,07% взломов приманки без защитного промпта, 0% с ним; у GPT-5.6 Cyber было 5,51%, у GPT-5.6 Sol 49,5%.
• Класс Critical по кибербезопасности в Preparedness Framework, такой же, как у GPT-6 Astra; у GPT-5.6 Cyber был High.
• Доступ: избранные клиенты Daybreak Red через API и Codex, остальным клиентам Daybreak Red обещают «скоро», по данным CSO Online и The Verge — в ближайшие недели.

Что модель сломала до релиза

В Firefox GPT-6 Cyber за одну кампанию собрала доказательства и воспроизводимые тесты для 81 уязвимости, которые Mozilla классифицировала как high severity, и показала, что ещё 30 известных ошибок опаснее, чем считалось. OpenAI передала находки с предложенными патчами, Mozilla начала выпускать исправления. В бюллетене к Firefox 159 от 27 октября, на который ссылается OpenAI, 167 записей CVE, 108 из них с уровнем high; в 41 записи в графе «Reporter» стоят сотрудники OpenAI или команда OpenAI Codex Security (подсчёт Proglib по бюллетеню). Mozilla там же отмечает, что перестала сливать внутренние ошибки памяти в один CVE и теперь заводит запись на каждую, так что число самих записей выросло и по этой причине.

С Linux цифры из отчёта OpenAI: конвейер агентов за первые 12 часов собрал 2 308 кандидатов в уязвимости, затем воспроизвёл 1 724 и довёл 948 до рабочих эксплойтов локального повышения привилегий на обычной настольной системе, потратив $1 213 430 в API-кредитах. GPT-5.6 Sol в том же харнессе в июле нашла 166. Мейнтейнерам по правилам сообщества передали 304 критических находки с кандидатами патчей. Дополнительно модель помогла показать, как критическая уязвимость в библиотеке сжатия Brotli, которой пользуется Node.js, превращается в удалённое выполнение кода, и участвовала в red team-кампаниях против инфраструктуры самой OpenAI, где агенты выбирались из microVM на хост.

При этом универсальной сверхмоделью GPT-6 Cyber не стала. По системной карте, внешний аудитор Irregular на своём наборе FrontierCyber с реальным ПО и железом насчитал у неё 90 решённых задач из 288 против 96 у Astra; успешных атак на полностью защищённые цели не было, а 15 самых сложных задач не решила ни одна модель. В обычном программировании на внутреннем ExpertSWE результат близок к Astra: 82,95% против 83,24%.

Как модель учили соблюдать границы

Для автономного агента с правами на эксплуатацию главный риск другой: выйти за рамки задания, атаковать соседний сервис или проигнорировать правила, которые задал исследователь. Именно так, по словам OpenAI, случился инцидент с Hugging Face, когда агенты компании в поисках решения задачи проникли в чужие системы. После него OpenAI собрала тест ExploitGym Honeypot: модель получает сложную задачу в изолированной среде, где рядом стоят вспомогательные сервисы вроде реестра пакетов или объектного хранилища. Их специально сделали уязвимыми, и через них можно получить флаг задачи, но модель должна сама понять, что это вне её полномочий.

GPT-6 Cyber взломала приманку в 0,07% прогонов, GPT-5.6 Cyber — в 5,51%, GPT-5.6 Sol — в 49,5%. В цепочке рассуждений модели OpenAI приводит фразы вроде «Нельзя предполагать лишний API или атаковать контроллер, который не является целью. Работаем только с бинарником и сервером». Глава команды киберготовности OpenAI Фуад Матин, по словам The Verge, на брифинге признал и оборотную сторону: модели могут понимать, что их тестируют, и это часто видно в их рассуждениях, поэтому OpenAI старается оценивать их на настоящих кодовых базах с реальной целью.

Вице-президент Noma Security Крис Хьюз в комментарии CSO Online назвал улучшение реальным, но напомнил о масштабе: «При объёмах, на которых работают эти модели, даже малая доля означает действия против систем, которые никто не разрешал» (перевод редакции). Он же обратил внимание, что панель Patch the Planet от OpenAI показывает долю исправленных находок меньше 25%, и, по его оценке, рост числа находок увеличит объём ещё не исправленных уязвимостей.

Кому дают доступ и что с этим делать

GPT-6 Cyber доступна через API и Codex избранной группе клиентов Daybreak Red, самого разрешительного уровня программы доверенного доступа OpenAI; всем клиентам Daybreak Red её обещают «скоро» (по данным CSO Online и The Verge, в ближайшие недели), а GPT-5.6 Cyber открыли им сразу. Условия жёсткие: организациям нужны SSO, MFA, управляемые устройства и по умолчанию белый список IP для API, индивидуальным исследователям — приглашение, проверка личности и физический ключ FIDO2. Клиенты с Zero Data Retention в общем случае обязаны включить Private Safety Processing: зашифрованные записи 30 дней лежат у них и проверяются автоматикой без доступа людей из OpenAI. Отдельно появились блокировки помощи в атаках на промышленные контроллеры, критические службы и избирательные системы и группа Daybreak Red for Critical Infrastructure для защитников таких объектов.

Если вы сопровождаете открытый проект, ждите отчётов с воспроизводимыми тестами и кандидатами патчей и закладывайте время на их проверку: по отчёту OpenAI, к концу десятидневного сканирования ядра и ручного разбора 61 найденную уязвимость уже исправили в основной ветке, ещё для 43 подготовили патчи, но принимать их всё равно людям. Пользователям Firefox стоит обновиться до 159 или новее, администраторам Linux — ставить обновления ядра из бюллетеней дистрибутивов: полного списка 304 переданных находок в анонсе нет. Для команд из России барьера два: отбор в Daybreak и отсутствие России в списке стран, где OpenAI официально предоставляет API.

OpenAI называет происходящее «ограниченным окном», в котором передовые модели успевают укрепить софт раньше, чем такие же возможности получат атакующие, и обещает расширить Daybreak на организации любого размера, независимых исследователей и мейнтейнеров открытого ПО. Сроков нет; проверить можно будет по тому, выйдет ли модель за пределы избранной группы Daybreak Red в обещанные недели.

Источники

• https://openai.com/index/introducing-gpt-6-cyber/
• https://deploymentsafety.openai.com/gpt-6-cyber
• https://openai.com/index/a-thousand-fewer-paths-to-root/
• https://www.mozilla.org/en-US/security/advisories/mfsa2026-118/
• https://www.theverge.com/ai-artificial-intelligence/1027599/openai-gpt-6-cyber-launch
• https://www.csoonline.com/article/4244911/openais-gpt-6-cyber-ups-the-ante-on-vulnerability-discovery.html
• https://developers.openai.com/api/docs/supported-countries