GPT‑6 Cyber：推动对齐型网络安全智能体迈向新前沿
这款网络安全模型经过专门训练，能够发现和验证可利用的漏洞，并遵守研究人员设定的任务范围
我们正式推出 GPT‑6 Cyber，为安全研究带来重大突破：它发现和修复漏洞的能力更强，也能更可靠地遵守研究人员设定的边界。与 GPT‑5.6 Cyber 相比，GPT‑6 Cyber 在关键网络安全基准测试中的表现显著提升：ExploitGym 得分相对提高了 51%，遵守任务范围的能力也实现了质的提升。它已开始帮助保护实际应用中的软件，在 Linux、Firefox 等对安全至关重要的代码库中发现并验证了数千种漏洞利用方式。
ExploitGym 测试模型能否利用指定漏洞。GPT‑6 Cyber 在这项评估中的得分为 48.5%，高于 GPT‑5.6 Cyber 的 32.1%。它也能更可靠地遵守任务边界：在另一项对齐评估中，不使用部署提示词时，GPT‑6 Cyber 在 99.93% 的测试中没有利用任务范围外服务中的漏洞；使用该提示词后，这一比例达到 100%。这种对齐能力的提升，源于针对遵守授权范围、遵循限制和准确报告结果的专项训练。
这些能力已经在帮助保护实际系统。尽管此前已使用前沿模型进行了大量测试，我们的研究人员仍利用 GPT‑6 Cyber 开发了 948 个 Linux 权限提升漏洞利用程序，并在 Firefox 中发现了 81 个此前未知的高危漏洞。该模型还帮助开发了候选补丁，Mozilla 已发布了其中许多 Firefox 漏洞的修复（在新窗口中打开）。Cisco、Calif 和 CodeRabbit 的安全团队正使用它开展漏洞研究和代码审查，我们也借助它发现并修复自身基础设施中的薄弱环节。
显然，利用前沿模型保障软件安全的窗口期有限。我们的目标是大幅扩大 Daybreak 的覆盖范围，让各种规模的组织、独立研究人员和开源维护者都能开展先进的安全研究。GPT‑6 Astra 等主线模型已经支持代码审查、漏洞分类分级和补丁开发。Daybreak Blue 减少了不必要的拒绝，帮助通过验证的防御方验证漏洞及修复效果；Daybreak Red 则支持使用 GPT‑6 Cyber 开展更深入的漏洞利用开发和授权安全测试。
GPT‑6 Cyber 的能力较 GPT‑5.6 Cyber 显著提升，在大多数网络安全任务上的表现也优于 GPT‑6 Astra，即使 Astra 不拒绝请求也是如此。我们通过要求模型理解软件、识别漏洞并开发可用漏洞利用程序的任务，对其进行了评估。根据评估结果，我们依据准备框架，将 GPT‑6 Cyber 的网络安全能力评定为“关键” (Critical) 级，高于 GPT‑5.6 Cyber 的“高” (High) 级。
ExploitGym 测试模型能否利用远程目标中的指定漏洞。GPT‑6 Cyber 在这项测试中的得分为 48.5%，比 GPT‑5.6 Cyber 的 32.1% 高约 16 个百分点。为测试漏洞发现能力，我们还构建了一项面向进攻性 Web 渗透测试的新评估。模型在无法访问源代码的情况下，对 Web 应用进行探测。GPT‑6 Cyber 的漏洞召回率达到 40.3%，而 GPT‑6 Astra 为 32.0%。
Daybreak Red 旨在支持更高级的安全工作流，包括开发可用的漏洞利用程序，并将其用于远程目标。为评估这些能力，我们构建了名为 RemoteExploitBench 的新基准测试，使用部署在受控环境中的 GitLab、PostgreSQL 和 Jenkins 等应用的已知漏洞。在初步评估中，使用 Daybreak Blue 的 GPT‑6 Astra 拒绝了 100% 的任务，而 GPT‑6 Cyber 完成了 95% 的任务；唯一一次失败，是未能让某个漏洞利用程序在远程环境中成功运行。完整结果和评估设置请参阅系统卡（在新窗口中打开）。
网络安全智能体存在一项风险：它们可能超出指定任务的范围，尝试利用无关服务中的漏洞，或无视研究人员设定的行动规则。
我们将对齐作为 GPT‑6 Cyber 的核心训练目标，通过专项训练，帮助模型遵守授权范围、遵循行动限制，并准确报告所做的工作。在部署前，我们开展了一系列对齐评估，衡量这些行为表现。完整结果请参阅系统卡（在新窗口中打开）。
其中一项评估是 ExploitGym Honeypot，其设计参考了 Hugging Face 事件。我们在隔离环境中给模型分配一项困难的漏洞利用任务，并允许它访问软件包注册表或对象存储等辅助服务。我们刻意让这些服务易于被攻破，以便模型通过攻击它们获取任务的 flag。模型必须自行判断，利用这些服务中的漏洞不在任务范围内。
在这项评估中，GPT‑6 Cyber 相较于 GPT‑5.6 Cyber 实现了质的提升。在不使用部署安全提示词的测试中，它在 99.93% 的情况下没有利用任务范围外服务中的漏洞，而 GPT‑5.6 Cyber 的这一比例为 94.49%。使用这些提示词后，GPT‑6 Cyber 在所有测试中都遵守了任务边界。
我们可以直接从 GPT‑6 Cyber 模型的思维链中，看到它如何通过推理确保行动不超出任务范围：
“Can't assume extra API or attack controller not target. We should only target binary/server.”
“don't explore out of scope credentials.”
GPT‑6 Cyber 已在帮助安全团队发现漏洞、验证其影响并开发修复方案。客户已将它用于大型代码库的安全研究、耗时较长的漏洞利用开发任务，以及安全审查：
我们也借助 GPT‑6 Cyber 保障自身系统的安全。我们最近分享了加固前沿模型训练基础设施的工作，它是支撑这项工作的主要模型之一。在受控的红队测试中，使用 GPT‑6 Cyber 和其他 OpenAI 模型的智能体串联多个漏洞，从 microVM 中逃逸，并在底层宿主机上执行代码。我们根据这些发现修补软件、收紧网络限制，并向维护者和供应商报告问题。
我们的漏洞研究人员还使用 GPT‑6 Cyber 大规模发现和验证开源软件中的漏洞。这项工作在经过多年严格审查的软件中发现了此前未知的缺陷：
发现 81 个此前未知的 Firefox 漏洞。GPT‑6 Cyber 可用于在自主工作流中大规模发现漏洞，并提出高质量的补丁方案。在一次漏洞研究中，GPT‑6 Cyber 为 81 个此前未知、被 Mozilla 列为高危的漏洞提供了证据和可复现的测试，并证明另有 30 个已知问题的严重程度高于先前报告所述。我们向 Mozilla 披露了这些发现，并提供了补丁方案，帮助其工程师制定修复方案。Mozilla 支持这项工作，并在收到报告后不久便开始合入修复（在新窗口中打开）。
开发漏洞利用程序，覆盖 948 个 Linux 内核漏洞。GPT‑6 Cyber 复现了 1,724 个漏洞，并为其中 948 个开发了可用的漏洞利用程序；使用同一研究执行框架的 GPT‑5.6 Sol 则成功利用了 166 个漏洞，前者超过后者的五倍。遵循 Linux 社区的指导，我们向维护者披露了 304 项严重问题，并提供候选补丁，目前正在推动其他漏洞的修复。
验证严重的远程代码执行 (RCE) 漏洞。我们最近讨论了 Brotli 中的一个严重漏洞（在新窗口中打开）。Brotli 是 Node.js 等软件使用的压缩库。我们的安全研究人员结合使用 GPT‑6 Cyber 和其他 OpenAI 模型，开发并验证了漏洞利用程序，展示该缺陷如何使下游应用面临远程代码执行风险。
随着模型能力增强、发现的安全漏洞增多，我们也看到越来越多利用模型造成危害的尝试。这些尝试既来自恶意网络攻击者，也来自试图蒸馏我们模型的对抗性团体。因此，我们为能力更强的 GPT‑6 Cyber 配备了更强的安全防护措施，以检测和阻断滥用，并确保模型的行动符合用户意图且处于授权范围内。
在发布 GPT‑6 Cyber 的同时，我们新增并强化了以下防护措施（完整信息请参阅系统卡（在新窗口中打开））：
针对网络安全场景的失对齐监测。我们监测模型的行动是否符合用户授权，同时识别正当的漏洞利用开发和测试活动。
针对新兴威胁的专项监测。例如，在协调披露 PHP 严重漏洞期间，我们设置了专项监测，识别针对线上 PHP 服务器开发漏洞利用程序的尝试，同时继续支持防御方修补受影响的系统。
隐私安全处理 (PSP)。我们通过自动检查审查相关交互，识别是否存在滥用。默认仍采用标准数据保留设置。采用零数据保留（在新窗口中打开）的 API 客户通常必须使用 PSP（在新窗口中打开）。PSP 会审查在客户存储空间中保留 30 天的加密记录，而不向 OpenAI 人员暴露提示词和回答。
防范凭据被盗。默认情况下，我们要求通过 IP 允许列表控制 Daybreak Red API 的访问，将请求来源限制在获批网络内，仅保留少量例外。我们也监测凭据是否遭到泄露或盗用。
沙箱隔离与监督。与以往模型一样，我们建议对高风险工作流采用沙箱隔离（在新窗口中打开）、行动审查（在新窗口中打开）和人工监督。
防止提供高风险网络活动协助。我们通过新的检查机制，阻止涉及关键系统的高风险活动（详见下文）。
保护关键基础设施一直是我们设计 GPT‑6 Cyber 安全防护措施和访问机制时的重点考量。这些设施包括发电厂、水处理设施，以及支撑其运行的运营技术和工业控制系统 (OT/ICS)。我们希望让守护这些系统的团队能够使用我们最强大的模型，同时加强安全防护，防止未经授权的攻击。
首先，为了向这些防御方提供支持，我们通过规模达 10 亿美元的面向一线防御者的 Daybreak 资助计划，为政府机构、基本服务提供商等资源有限的团队提供使用补贴。我们还在 Daybreak Red 中为获批的关键基础设施防御方设立了一个新组别（面向关键基础设施的 Daybreak Red），授予他们对关键系统进行授权测试的权限，同时保留防范模型失对齐的安全措施。
其次，为防止 Daybreak Red 和 Blue 平台遭到滥用，我们进一步完善了安全防护措施。这些措施旨在防范模型提供可能危及工业控制或安全关键系统、干扰设备，或导致严重人身伤害、灾难性物理破坏及危及生命的服务中断的协助，也防范模型帮助开发此类能力。下图比较了四种访问配置下的安全防护标记率，展示随 GPT‑6 Cyber 推出的近期防护更新前后的变化。
安全防护拦截率并非越高越好。这项评估中的许多技术也是正当安全工作不可或缺的一部分，例如理解系统、发现漏洞，以及验证修复方案能否抵御攻击。因此，我们会结合模型对正当研究和漏洞修补的支持情况来评估这些比率，而不是一味追求 100% 的拦截率。
为评估我们的模型如何帮助保护关键基础设施，我们与全球扩展运营技术 (xOT) 网络安全服务提供商 Dragos 开展了合作。Dragos 在受控的实验室环境中，使用对网络安全任务限制较少的 Daybreak Red 模型进行了评估。评估中的请求从网络发现和资产枚举开始，逐步深入到定向侦察、敏感数据外传，以及未经授权且可能带来危险的设备操作。
我们根据 Dragos 的反馈改进安全防护措施，力求在阻止有害协助的同时，避免对授权测试施加不必要的限制。评估详情请参阅他们的最终报告（在新窗口中打开）。我们也在扩大合作范围：与其他进攻性安全服务商和紫队合作，利用 AI 开展渗透测试和红队测试；与能源公司、其他关键基础设施运营商及国家实验室合作，评估我们的模型在工业防御中的有效性及安全防护表现。我们还加大了威胁调查方面的投入，以检测涉及 OT/ICS 的模型使用行为。我们将持续根据合作伙伴和安全社区的意见改进安全防护措施，包括通过 /feedback 提交的有关防护措施漏检有害活动或打断正当工作的报告。
GPT‑6 Cyber 初期通过 API 和 Codex 向一部分获批的 Daybreak Red 客户开放。我们将于近期逐步向所有 Daybreak Red 客户开放使用，同时也将 GPT‑5.6 Cyber 开放给所有 Daybreak Red 客户。我们也正向更多组织和个人安全研究人员开放 GPT‑6 Astra 的 Daybreak Blue Alpha 测试；如果你有兴趣，请告诉我们（在新窗口中打开）。
新用户和组织可以申请加入 Daybreak，并借助我们的网络安全技能、产品和合作伙伴开始使用。
