OpenAI lanserer GPT-6 Cyber for forskning på sårbarheter

a close up of a computer screen with numbers on it — Alexander Sinn / Unsplash

OpenAI har lansert GPT-6 Cyber, en kunstig intelligensmodell for cybersikkerhet som er trent til å finne og bekrefte sårbarheter som faktisk kan utnyttes. Modellen er designet for å operere innenfor rammer fastsatt av forskere og er tilgjengelig via et programmeringsgrensesnitt for godkjente Daybreak Red-kunder.

I ytelsestester på ExploitGym, som tester angrep på sårbarheter på fjernmål, oppnådde GPT-6 Cyber en score på 48,5 prosent. Dette er en økning fra 32,1 prosent for GPT-5.6 Cyber. Ved testing av penetrasjonstesting for web uten tilgang til kildekode, hadde modellen en gjenkalling på 40,3 prosent, sammenlignet med 32,0 prosent for GPT-6 Astra. På RemoteExploitBench, som benytter sårbarheter i GitLab, PostgreSQL og Jenkins, hadde modellen en suksessrate på 95 prosent, mens GPT-6 Astra på Daybreak Blue avviste alle oppgaver.

OpenAI har klassifisert GPT-6 Cyber på nivået Kritisk for cybersikkerhet i henhold til sitt rammeverk for beredskap, noe som er høyere enn nivået Høy for GPT-5.6 Cyber. For å sikre at modellen holder seg innenfor tillatte områder, ble den trent til å følge begrensninger og rapportere resultater korrekt. I ExploitGym Honeypot-tester, hvor lett tilgjengelige men utenfor rammen tjenester ble brukt som feller, unngikk GPT-6 Cyber å angripe disse i 99,93 prosent av tilfellene uten ekstra sikkerhetsinstruksjoner, og i 100 prosent av tilfellene når slike instruksjoner ble brukt.

I praktisk bruk fant forskere fra OpenAI 81 tidligere ukjente sårbarheter med høy alvorlighetsgrad i Firefox, hvor Mozilla allerede har utgitt flere rettelser. Modellen gjenskapte også 1 724 sårbarheter i Linux-kjernen, skapte 948 fungerende utnyttelser og rapporterte 304 kritiske sårbarheter til vedlikeholdere sammen med foreslåtte rettelser. Sikkerhetsteam fra Cisco, Calif og CodeRabbit har også tatt i bruk modellen til forskning på sårbarheter og gjennomgang av kode.

For å forhindre misbruk har OpenAI innført overvåking av om modellens handlinger samsvarer med brukerens rettigheter. IP-hvitelisting er nå standard for tilgang til Daybreak Red-grensesnittet. Kunder som bruker null datalagring må generelt benytte privat sikkerhetsbehandling. OpenAI har også opprettet gruppen Daybreak Red for kritisk infrastruktur, som i samarbeid med Dragos skal vurdere og forbedre sikkerhetstiltak for godkjente team som tester kritiske systemer.

Tilgangen til GPT-6 Cyber vil gradvis utvides til alle Daybreak Red-kunder, mens GPT-5.6 Cyber nå gjøres tilgjengelig for alle kunder i samme gruppe.