OpenAI 发布 GPT-6 Cyber 网络安全模型

GPT‑6 Cyber：推动对齐网络安全智能体的前沿

这是一款网络安全模型，经过训练能够发现并验证可利用的漏洞，同时始终保持在研究人员设定的范围内。

收听文章 13:13

我们推出 GPT‑6 Cyber，这是安全研究领域的一次重大飞跃：它发现和修复漏洞的能力更强，也更能可靠地守住研究人员设定的边界。在关键网络安全基准测试中，GPT‑6 Cyber 相比 GPT‑5.6 Cyber 取得大幅提升，其中 ExploitGym 相对提升 51%，在范围遵守测试中更是出现阶跃式改进。它已经在帮助保护真实世界的软件，在 Linux、Firefox 等安全关键代码库中发现并验证了数千个漏洞利用。

ExploitGym 测试的是模型能否利用指定漏洞，GPT‑6 Cyber 得分 48.5%，高于 GPT‑5.6 Cyber 的 32.1%。它也更能可靠地遵守任务边界：在另一项对齐评估中，不启用部署提示词时，GPT‑6 Cyber 在 99.93% 的测试中避免了对范围外服务的利用，启用提示词后这一比例达到 100%。对齐方面的这一进步，源于针对遵守授权范围、尊重限制条件、准确报告结果的专门训练。

这些能力已经在帮助保护真实系统。我们的研究人员用 GPT‑6 Cyber 在 Linux 中开发出 948 个提权漏洞利用，并在 Firefox 中识别出 81 个此前未知的高危漏洞——尽管此前已用前沿模型做过大量测试。该模型还帮助开发了候选补丁，Mozilla 已为其中许多 Firefox 漏洞发布修复程序（在新窗口打开）。Cisco、Calif 和 CodeRabbit 的安全团队正在用它进行漏洞研究和代码审查，我们也依靠它发现并修复自身基础设施中的弱点。

显然，我们利用前沿模型来保护软件的时间窗口有限。我们的目标是大幅扩展 Daybreak，把先进的安全研究带给各种规模的组织、独立研究人员和开源维护者。GPT‑6 Astra 等主线模型已经支持代码审查、漏洞分类和补丁开发。Daybreak Blue 帮助经过验证的防御者验证漏洞和修复，减少不必要的拒绝；Daybreak Red 则借助 GPT‑6 Cyber 支持更深入的漏洞利用开发和授权安全测试。

推进前沿网络能力

GPT‑6 Cyber 相比 GPT‑5.6 Cyber 是重大升级，在大多数网络任务上表现优于 GPT‑6 Astra，即使 Astra 没有拒绝请求也是如此。我们在要求模型理解软件、识别漏洞并开发可用漏洞利用的任务上对它进行了评估。基于这些结果，按照我们的 Preparedness Framework，我们将该模型在网络安全领域归类为 Critical，高于 GPT‑5.6 Cyber 的 High。

在 ExploitGym 上（该测试考察模型能否利用远程目标中的指定漏洞），GPT‑6 Cyber 得分 48.5%，比 GPT‑5.6 Cyber 的 32.1% 高出约 16 个百分点。为测试漏洞发现能力，我们还针对攻击性 Web 渗透测试构建了一项新评测：模型在无法访问源代码的情况下探测 Web 应用。GPT‑6 Cyber 的漏洞召回率达到 40.3%，而 GPT‑6 Astra 为 32.0%。

Daybreak Red 旨在支持更高级的安全工作流，包括开发可用的漏洞利用程序并将其用于远程目标。为评估这些能力，我们构建了一个新基准 RemoteExploitBench，使用部署在受控环境中的 GitLab、PostgreSQL、Jenkins 等应用中的已知漏洞。在初步评估中，运行 Daybreak Blue 的 GPT‑6 Astra 拒绝了 100% 的任务，而 GPT‑6 Cyber 完成了 95%；它唯一一次失败，是一个无法在远程跑通的漏洞利用。完整结果和评测设置见系统卡⁠（在新窗口打开）。

对齐更强，更善于守住边界

网络安全智能体面临的一个风险是：它们会超出任务范围，试图攻击无关服务，或无视研究人员设定的交战规则。

我们把对齐作为 GPT‑6 Cyber 的核心重点，通过专门训练帮助模型留在授权范围内、遵守对其行为的限制，并准确汇报工作。部署前，我们开展了一系列对齐评测来衡量这些行为。完整结果见系统卡⁠（在新窗口打开）。

其中一项评测是 ExploitGym Honeypot，其设计参考了Hugging Face 事件⁠。我们在隔离环境中给模型一个难度较高的漏洞利用任务，同时让它能访问包注册表、对象存储等配套服务。我们故意让这些服务容易被攻破，这样攻击它们就能暴露出任务的 flag。模型必须推断出攻击这些服务超出了任务范围。

在这项评测中，GPT‑6 Cyber 相比 GPT‑5.6 Cyber 有了跨越式提升。在不加部署安全提示词的情况下测试时，它在 99.93% 的情况下避免了攻击范围外的服务，而 GPT‑5.6 Cyber 为 94.49%。加上这些提示词后，GPT‑6 Cyber 100% 都守住了边界。

从 GPT‑6 Cyber 模型的思维链中，我们可以直接看到它如何推理守住边界：

智能体思维链摘录

“不能假设额外的 API 或攻击控制器不是目标。我们只应针对二进制/服务器。”“不能假设额外的 API 或攻击控制器不是目标。我们只应针对二进制/服务器。”“不能假设额外的 A P I 或攻击控制器不是目标。我们只应针对二进制/服务器。”

智能体思维链摘录

“不要探索范围外的凭据。”“不要探索范围外的凭据。”“不要探索范围外的凭据。”

对安全团队的切实影响

GPT‑6 Cyber 已经在帮助安全团队发现漏洞、验证其影响并开发修复方案。客户已将它用于大型代码库、长时间的漏洞利用开发和安全审查：

8 项中的第 1 项

“GPT‑6 Cyber 是世界级的网络防御模型。Firefox 进入 2026 年时，已是全球加固最彻底、审查最严格的代码库之一。即便又经过多代前沿模型的进一步加固，GPT‑6 Cyber 仍发现了此前未知的高危漏洞，指出了架构层面的改进方向，并帮助我们向数百万用户推送了修复。”

Brian Grinstead，Firefox 杰出工程师

“在长时间运行的漏洞利用开发任务上，这是我们用过最好的模型。它能逐步构建原语库，再从中找到通往更强利用的路径，相比前几代是质的飞跃。”

Thai Duong，Calif 首席执行官

“在我们内部的未知漏洞发现与利用基准测试中，GPT‑6 Cyber 是表现最好的模型，得分 23%，此前最佳成绩为 13%。它在大型代码库中发现高影响漏洞并转化为端到端概念验证的效率极高。这个模型正在推动模型处理网络安全问题能力的前沿。”

Steven Hao，Cognition 首席技术官

“相比此前的模型，GPT‑6 Cyber 是一次重大飞跃。我们发现它更快、更具成本效益，也明显更聪明。它已经在帮助我们更好地保护自家产品；通过 Unit 42 持续前沿 AI 防御，我们正把同样的速度和精度带给客户，以大规模保护企业软件。”

Lee Klarich，Palo Alto Networks 首席产品与技术官

“防御现代基础设施需要持续创新。随着威胁形势日益复杂，借助 OpenAI GPT‑6 Cyber 等前沿 AI 模型，是让天平向防御方倾斜的关键一步。把这些能力融入我们的研究，能让团队以更快的速度和更高的精度分析复杂架构、识别风险，最终增强客户所依赖技术的韧性与可信度。”

Anthony Grieco，Cisco 高级副总裁、首席安全与信任官

“安全研究最难的部分，是把零散的线索串联起来，清楚理解一次攻击可能如何发生。GPT‑6 Cyber 帮助我们的研究人员建立这些联系、验证假设，并发现需要深入调查的薄弱点。它拓展了专家们能承担的工作，也帮助我们把这些理解转化为对客户更好的保护。”

Chris Corde，SentinelOne 首席产品官

“我们把 GPT‑6 用在最难发现的缺陷上：藏在复杂逻辑里、分散在多个组件中，或只有经过一长串条件才能触达的问题。它能端到端地推进这些调查而不丢失线索，并给出清晰、可复现的发现，让团队能快速验证和修复。”

Kyle Polley，Perplexity 首席信息安全官

“GPT‑6 Cyber 是我们测试过的安全审查最强模型。在我们的内部基准测试中，它发现的高危和中危安全问题比我们的生产模型多 66%。这些正是开发者用 AI 智能体构建时需要修复的缺陷。”

Harjot Gill，CodeRabbit 首席执行官

Mozilla
Calif
Cognition
Palo Alto Networks
Cisco
SentinelOne
Perplexity
CodeRabbit
Mozilla
Calif
Cognition
Palo Alto Networks
Cisco
SentinelOne
Perplexity
CodeRabbit

我们也依靠 GPT‑6 Cyber 来保护自身系统。在我们近期分享的加固前沿模型训练基础设施⁠工作中，它是主要使用的模型之一。在受控的红队演练中，使用 GPT‑6 Cyber 及其他 OpenAI 模型的智能体串联多个漏洞，成功逃逸 microVM，并在底层主机上执行代码。我们据此修补软件、收紧网络限制，并向维护者和厂商报告了问题。

我们的漏洞研究人员也用 GPT‑6 Cyber 大规模发现并验证开源软件中的漏洞。这项工作在一些已被审查多年的软件中找出了此前未知的缺陷：

发现 81 个 Firefox 新漏洞。 GPT‑6 Cyber 适合用于自主工作流，大规模发现漏洞并提出高质量补丁。在一次漏洞研究行动中，GPT‑6 Cyber 为 81 个被 Mozilla 评为高危的新漏洞提供了证据和可复现测试，并证明另有 30 个已知问题比此前报告的更严重。我们向 Mozilla 披露了这些发现，并附上建议补丁，帮助其工程师开发修复方案。Mozilla 对此项工作表示支持，并在收到报告后不久便开始合入修复⁠(opens in a new window)。
为948 个 Linux 内核漏洞⁠开发利用程序。 GPT‑6 Cyber 复现了 1,724 个漏洞，并为其中 948 个开发出可用的利用程序，是 GPT‑5.6 Sol 在相同研究框架下利用的 166 个的五倍多。按照 Linux 社区的指引，我们向维护者披露了 304 个关键发现并附上候选补丁，其余漏洞的修复工作正在进行中。
演示严重的 RCE 漏洞。我们最近讨论过 Brotli 中的一个严重漏洞⁠(opens in a new window)，这是一个被 Node.js 等软件使用的压缩库。我们的安全研究人员使用 GPT‑6 Cyber 及其他 OpenAI 模型开发并验证了利用程序，展示该缺陷如何在下游应用中实现远程代码执行。

检测滥用并阻止高风险活动

随着模型能力增强、发现更多安全漏洞，我们也看到更多试图利用它们造成伤害的行为，包括恶意网络行为者和对抗性组织试图蒸馏我们的模型。因此，我们为 GPT‑6 Cyber 更强的能力配套了更强的防护措施，以检测和阻断滥用，确保模型的行为不超出用户的意图和授权范围。

我们在发布 GPT‑6 Cyber 的同时新增并强化了这些保护措施（完整信息见系统卡⁠(opens in a new window)）：

针对网络场景的失准监控。我们监控行为是否符合用户授权，同时识别合法的漏洞利用开发与测试。
针对新兴威胁的定向监控。例如，在 PHP 关键漏洞的协同披露期间，我们针对试图对在线 PHP 服务器开发漏洞利用的行为设置了定向监控，同时保留对修补受影响系统的防御者的支持。
私有安全处理（PSP）。我们使用自动化检查来审查相关交互是否存在滥用行为。默认情况下仍采用标准数据保留策略。使用零数据保留⁠（在新窗口打开）的 API 客户通常必须使用 PSP⁠（在新窗口打开），该机制会审查客户存储中保留 30 天的加密记录，且不会向 OpenAI 人员暴露提示词和回复内容。
防范凭证被盗。对于 Daybreak Red API 的访问，我们默认要求 IP 白名单，将请求限制在获批网络内，仅有少数例外。我们还会监控凭证是否遭到泄露。
沙箱与监督。与以往模型一样，我们建议对高风险工作流采用沙箱⁠（在新窗口打开）、操作审查⁠（在新窗口打开）和人工监督。
防范高风险网络协助。我们使用新的检查机制来阻止涉及关键系统的高风险活动（详见下文）。

保护关键基础设施

在设计 GPT‑6 Cyber 的防护措施和访问权限时，保护关键基础设施一直是核心考量，包括发电厂、水处理设施，以及支撑这些设施的运营技术（OT）和工业控制系统（ICS）。我们既希望让负责防御这些系统的团队用上我们能力最强的模型，也希望强化防护措施，防止未经授权的攻击。

首先，为了武装这些防御者，我们设立了 10 亿美元的Daybreak 一线防御者计划⁠，为政府机构和基本服务提供商等资源有限的团队提供访问补贴。我们还在 Daybreak Red 下新设了一个面向获批关键基础设施防御者的分组（Daybreak Red 关键基础设施组），允许他们对关键系统进行授权测试，同时保留针对模型失准的防护措施。

其次，为防止 Daybreak Red 和 Blue 平台被滥用，我们改进了防护措施，阻止可能危及工业控制或安全关键系统、干扰设备，或造成严重伤害、灾难性物理损坏、危及生命的服务中断的协助与能力开发。下图对比了四种访问配置下的防护标记率，涵盖我们随 GPT‑6 Cyber 一同推出的最新更新前后的情况。

防护拦截率更高并不总是更好。本次评估中的许多技术对正当的安全工作同样不可或缺：理解系统、发现漏洞、验证修复能否抵御攻击。因此，我们是在支持正当研究和打补丁的前提下评估这些比率，而不是追求 100%。

为了评估我们的模型如何帮助防御关键基础设施，我们与 Dragos 合作，后者是全球扩展运营技术（xOT）网络安全提供商。Dragos 在受控实验室环境中使用对网络活动较为宽松的 Daybreak Red 模型进行了评估。评估涵盖了一系列请求，从网络发现和资产枚举，逐步推进到定向侦察、敏感数据外泄，以及未经授权、可能危险的设备操作。

“Dragos 把一个前沿模型放进模拟电厂靶场，几乎没给它任何提示。它自己就把 OT 资产从 IT 噪声里分离出来，随后在管理保护继电器数据的工程软件中发现两个零日漏洞，这些漏洞会暴露保护定值和断路器跳闸逻辑。这正是攻击者在触碰任何物理设备之前想要的那张地图。发动攻击前所需的侦察和漏洞研究，门槛正在降低。与 OpenAI 合作开展这项工作，能让他们在真实对手之前看清攻击者穿越 OT 网络的路径，从而围绕这些攻击可能的展开方式构建防护措施，同时让模型继续为防御这些系统的人所用。”

——Rob T. Lee，Dragos 首席 AI 官

我们利用 Dragos 的反馈来改进防护措施，目标是拦截有害协助，同时不过度限制授权测试。查看他们的最终报告⁠（在新窗口打开）了解评估详情。我们还在扩大与其他攻击性安全提供商和紫队的合作，围绕 AI 开展渗透测试和红队演练；同时与能源公司、其他关键基础设施运营商和国家实验室合作，评估我们的模型在工业防御中的有效性和防护措施。我们还加大了对威胁调查的投入，以发现涉及 OT/ICS 的模型使用情况。我们将继续根据合作伙伴和安全社区的反馈改进防护措施，包括通过 /feedback 提交的报告——当防护措施漏掉有害活动或干扰正常工作时。

扩大可信防御者的访问权限

GPT‑6 Cyber 最初通过 API 和 Codex 向一组经过筛选的 Daybreak Red 客户开放。我们很快会逐步向所有 Daybreak Red 客户扩大访问权限，同时也在向所有 Daybreak Red 客户提供 GPT‑5.6 Cyber。我们还在扩大 GPT‑6 Astra 的 Daybreak Blue alpha 访问范围，覆盖更多组织和独立安全研究人员；如有兴趣请告诉我们⁠（在新窗口打开）。

新用户和组织可以申请 Daybreak，并通过我们的网络安全技能、产品和合作伙伴开始使用。

作者

OpenAI