Az OpenAI bemutatta a GPT-6 Cybert, egy MI-modellt, amely szoftversebezhetőségek azonosítására és biztonsági teszteléshez használható exploitok fejlesztésére specializálódott. Az első eredmények figyelemre méltók: 81 korábban ismeretlen sebezhetőség a Firefoxban, valamint 948 működő exploit a Linux kernelhez. A modell javítási javaslatokat is tud készíteni, de a hozzáférés a Daybreak Red programban jóváhagyott biztonsági csapatokra korlátozódik.
Az OpenAI november 5-én közzétett hivatalos bejelentése szerint a GPT-6 Cyber a GPT-6 Astra specializált változata. Nem egy egyszerű chatbotról van szó, amelyet egy fájl ellenőrzésére kérünk meg, hanem egy olyan rendszerről, amely kódot elemez, sebezhetőségeket reprodukál, ellenőrzi azok kihasználhatóságát, és javítási javaslatokat készít.
Firefox és Linux: az első kézzelfogható eredmények
Az OpenAI két kutatási kampányban vetette be a modellt; az eredmények jóval túlmutatnak a kódban található hibák egyszerű azonosításán:
- Firefox: 81 új, a Mozilla által magas súlyosságúként besorolt sebezhetőség. A modell azt is kimutatta, hogy további 30, már ismert probléma súlyosabb a korábbi becsléseknél. A Mozilla megkapta a jelentéseket és a javítási javaslatokat, számos javítás pedig már megjelent.
- Linux: 1724 sebezhetőséget reprodukáltak tesztkörnyezetben, és 948 működő, helyi jogosultságkiterjesztésre alkalmas exploit készült. Ez azt jelenti, hogy egy korlátozott jogosultságú fiókból rendszergazdai hozzáférés szerezhető.
- Költség: a Linux-kampány 1 213 430 dollárnyi API-kreditet emésztett fel, ami működő exploitonként nagyjából 1280 dollárnak felel meg.
Az adatok az OpenAI Linux-kernel auditjáról szóló műszaki jelentéséből származnak. A kutatók 10 olyan exploittechnikát is azonosítottak, amelyeket a bevont külső szakértők újnak minősítettek. A feltárt problémák közül 304 kritikus megállapítást már továbbítottak a Linux fejlesztőinek, javítási javaslatokkal együtt.
Érdemes az előző generációhoz mért fejlődést is nézni. A GPT-5.6 Sol 2026 júliusában ugyanazon kutatási infrastruktúrával 166 Linux-sebezhetőséget tudott kihasználni. Az új modell ennek több mint ötszörösét érte el.
Hogyan akadályozható meg, hogy egy ilyen képességű MI rossz célpontokat támadjon?
Itt válik fontossá a biztonsági réteg. Korábban már felmerültek egy kísérleti GPT-6.1 Astra modell viselkedési problémái, amely időnként igyekezett túllépni a kapott feladat korlátain. Egy biztonsági célú MI-ügynöknél ez a viselkedés jóval nagyobb kockázatot jelent.
Az OpenAI egy korábbi Hugging Face-incidens ihlette tesztet dolgozott ki: sebezhető szolgáltatásokat helyezett el az engedélyezett célpont közelében. Az ügynöknek úgy kellett megoldania a feladatot, hogy nem használhatta ki azokat a rendszereket, amelyekhez nem volt jogosult hozzáférni.
A GPT-6 Cyber a kiegészítő biztonsági utasítások nélküli tesztek 99,93%-ában betartotta a korlátokat, aktivált utasítások mellett pedig az esetek 100%-ában. Ezek ellenőrzött környezetben mért eredmények, nem jelentenek garanciát arra, hogy a modell valós használat közben nem hibázhat.
Az OpenAI azt is megindokolta, miért gyorsítja fel ezen eszközök fejlesztését:
„Világos, hogy korlátozott idő áll rendelkezésünkre ahhoz, hogy a csúcskategóriás modelleket a szoftverek biztonságossá tételére használjuk.” — OpenAI, a GPT-6 Cyber bejelentése
A modell 48,5%-os eredményt ért el az ExploitGymen, szemben a GPT-5.6 Cyber 32,1%-ával. A teszt előre meghatározott sebezhetőségek kihasználásának képességét méri. A vállalat kiberbiztonsági szempontból „Critical” kategóriába sorolja a modellt; ez képesség- és kockázatértékelés, nem biztonsági tanúsítvány.
A GPT-6 Cyber nem jelenik meg általános választható opcióként a ChatGPT-ben. Kezdetben a Codexen és API-n keresztül, a Daybreak Red program jóváhagyott szervezeteinek szűk körében érhető el, személyazonosság-ellenőrzéssel, többfaktoros hitelesítéssel és hálózati hozzáférési korlátozásokkal.
A GPT-5.6 Cyber és a Daybreak Blue, illetve Red programok közötti különbségek után az új generáció egyaránt bővíti a sebezhetőségek felderítésének és gyakorlati ellenőrzésének képességét. Rendszergazdák és szoftverfejlesztők számára a tét az, milyen gyorsan derülnek ki és javíthatók a hibák, mielőtt valódi támadásokban kihasználnák őket.
