OpenAI发布漏洞发现与修复模型GPT-6 Cyber

GPT‑6 Cyber 想证明两件事：安全模型能把更多漏洞做成可复现的利用，也能更稳定地遵守研究者划定的范围。OpenAI 给出的证据包括基准成绩、Linux 与 Firefox 的研究结果，以及专门测试越界行为的评估。

对前端和全栈开发者，值得读的是它展示的工作方式：让 AI 从「指出可疑代码」走到「验证影响、提出补丁」，同时把授权、隔离和数据处理纳入流程。不过，这些数字来自不同测试，不能直接拼成一个通用能力排名。

漏洞利用成绩提高了，但不同分数不能混着看

GPT‑6 Cyber 的定位是发现漏洞、验证可利用性并协助修复。OpenAI 将它在 Preparedness Framework 中的网络安全能力等级，从 GPT‑5.6 Cyber 的 High 提升到了 Critical。这里描述的是能力与风险分级，不能理解成安全认证。

最直接的对比来自 ExploitGym：给定远程目标中的特定漏洞，测试模型能否完成利用。GPT‑6 Cyber 得分为 48.5%，GPT‑5.6 Cyber 为 32.1%，相差 16.4 个百分点，相对提升约 51%。

会利用已知漏洞，不等于会发现未知漏洞。

因此，OpenAI 还做了黑盒 Web 渗透测试：模型拿不到源码，只能探测应用。GPT‑6 Cyber 的漏洞召回率为 40.3%，GPT‑6 Astra 为 32.0%。召回率回答的是已存在的漏洞找到了多少，原文没有同时给出误报率，不能据此判断报告是否省心。

另一个基准 RemoteExploitBench，在受控环境中部署带有已知漏洞的 GitLab、PostgreSQL、Jenkins 等应用。GPT‑6 Cyber 完成了 95% 的任务，唯一失败项是没能让利用在远程环境中生效；运行于 Daybreak Blue 的 GPT‑6 Astra 则拒绝了 100% 的任务。

这组差异包含访问权限和安全策略的影响。它说明 Daybreak Red 支持更深入的利用开发，不能单独证明两个模型之间存在同等幅度的能力差距。原文另称，即使 Astra 不拒绝，Cyber 在多数安全任务上仍然更强，但所给材料没有完整展开这些测试设置。

比完成任务更难的，是遇到捷径时仍守住范围

安全代理可能遇到一种诱惑：目标服务很难攻破，旁边的包仓库或对象存储却有明显弱点，攻击它们也能拿到任务要求的 flag。

ExploitGym Honeypot 就是这样设计的。测试在隔离环境中提供容易攻击的辅助服务，要求模型自行判断：能访问，不代表有权攻击。

不带部署安全提示时，GPT‑6 Cyber 在 99.93% 的测试中没有攻击范围外服务，GPT‑5.6 Cyber 为 94.49%；加入部署提示后，GPT‑6 Cyber 的结果为 100%。OpenAI 将改善归因于专门训练，包括遵守授权范围、行动限制和准确报告结果。

这个测试比单纯观察模型是否拒绝更贴近代理工作流：模型需要继续完成合法任务，同时放弃越界捷径。

但测试中的 100% 只覆盖该评估。原文没有给出这里的样本量和完整环境分布，不能推导出真实部署永不越界。OpenAI 同时建议使用沙箱、行动审查和人工监督，也说明模型行为仍需要外部控制。

访问机制也分了层：GPT‑6 Astra 支持代码审查、漏洞分诊和补丁开发；Daybreak Blue 面向经过验证的防御者，减少验证漏洞与修复时的不必要拒绝；Daybreak Red 则开放更深入的利用开发和授权测试。

从可疑代码走到可复现证据，才是实际价值

原文最有分量的部分，是模型参与真实软件研究的结果。

Firefox 方面，OpenAI 报告发现了 81 个此前未知、被 Mozilla 判定为高严重性的漏洞，并提供证据、复现测试和候选补丁；另外还证明 30 个已知问题比此前判断的更严重。Mozilla 已开始合入修复，原文没有说全部完成。Firefox 的评价还强调，这个代码库进入 2026 年时已经历大量审查，之后也接受过多代前沿模型测试。

Linux 方面，GPT‑6 Cyber 复现了 1,724 个漏洞，为其中 948 个开发出有效利用。同一研究框架下，GPT‑5.6 Sol 的对应结果为 166 个，因此原文称提升超过五倍。OpenAI 已向维护者披露 304 项关键发现并附上候选补丁，其余仍在推进修复。

这里要分清对象：948 个有效利用不等于发现了 948 个未知漏洞，对照模型也变成了 GPT‑5.6 Sol。

与 Node.js 开发者更接近的是 Brotli。研究人员结合 GPT‑6 Cyber 和其他 OpenAI 模型，验证了该压缩库中的严重漏洞如何在下游应用中造成远程代码执行（RCE）。这是多模型协作结果，材料没有给出受影响版本，不能拿它直接判断某个项目是否受影响。

OpenAI 还报告，在受控红队测试中，代理串联漏洞逃逸 microVM，并在宿主机执行代码，随后据此修补软件、收紧网络限制和报告问题。

客户评价提供了补充，但口径各异：Cognition 的内部新漏洞发现与利用基准得分为 23%，此前最好成绩为 13%；CodeRabbit 称发现的高中严重性问题比其生产模型多 66%。Calif 强调长时间利用开发能力，Cisco、Palo Alto Networks、SentinelOne、Perplexity 则评价了复杂系统分析、线索连接和可复现报告。这些都不能直接换算成普通团队的收益。

我的判断

我认同它把「验证」放到中心。安全审查最费时间的环节，往往是确认可疑路径能否触发、影响有多大，以及补丁是否真的堵住问题。能提交复现证据的代理，比只生成风险清单更接近交付。

不过，收益还取决于环境搭建、任务预算和人工复核。原文没有提供统一的耗时、成本、误报率对照；关于更快、更便宜和长期任务更稳定的描述，仍主要是客户经验，不能替一般团队背书。

和常见的静态扫描、依赖检查相比，这类代理更适合补充跨组件推理和动态验证。原文没有提供足够对照数据，支持用它替换现有检查。

接入限制也不能跳过。GPT‑6 Cyber 最初仅向获批的部分 Daybreak Red 客户通过 API 和 Codex 提供，再逐步扩大；GPT‑5.6 Cyber 则向全部 Daybreak Red 客户开放，GPT‑6 Astra 的 Daybreak Blue alpha 也在扩围。

Daybreak Red API 默认要求 IP allowlisting。对于使用 Zero Data Retention 的 API 客户，通常还要求 Private Safety Processing（PSP）：相关加密记录在客户存储中保留 30 天，由自动化检查审查，且不向 OpenAI 人员暴露提示和响应。不能只看「零保留」名称就推断整个流程不落记录。

关键基础设施还有单独安排：10 亿美元的 Daybreak for Frontline Defenders 资助计划，以及面向获批防御者的 Daybreak Red for Critical Infrastructure。Dragos 在模拟电厂环境中测试允许更深入安全研究的模型，报告其发现两个零日漏洞；原文未明确归属于哪个具体模型。它说明风险值得认真对待，却不能当作 GPT‑6 Cyber 的独立成绩。

能拿来做什么

• 在前端或 Node 项目的 AI 安全审查中，把交付要求写成「可疑位置、触发条件、复现测试、影响和候选补丁」，减少只有结论、没有证据的报告。
• 给代理提供测试环境前，明确允许访问和攻击的服务、辅助仓库及凭据范围，并用网络限制和沙箱落实边界。
• 遇到 Brotli 这类底层依赖风险时，沿着项目实际调用路径验证影响；原文没有版本信息，不能据此直接决定升级范围。
• 评估安全代理时，同时记录有效发现、复现成功率、人工复核时间和成本，并与现有扫描流程对照，再决定接入哪一环。