OpenAI發表GPT-6 Cyber找漏洞神器，Firefox和Linux核心都被抓包
這下漏洞真的無所遁形了
OpenAI 在週四（11 月 5 日）釋出新模型 GPT-6 Cyber，鎖定資安研究用途打造，威力驚人，光是測試階段就在 Firefox 裡揪出 81 個沒人知道的高風險漏洞，連 Linux 核心的 948 個漏洞也被做成能實際運作的攻擊程式。
把時間拉回來看，OpenAI 今年 2 月先推出資安可信存取計畫（Trusted Access for Cyber，TAC），接著 4 月端出第一款資安專用模型 GPT-5.4-Cyber，鎖定漏洞研究、惡意程式分析以及逆向工程這幾塊。到了 6 月，完整版 GPT-5.5-Cyber 上線，把大型程式碼庫分析、漏洞驗證跟自動修補的能力再往上拉，Daybreak 資安計畫的範圍也跟著擴大。
8 月輪到 GPT-5.6-Cyber 登場，重點放在讓漏洞利用程式的開發變得更厲害。GPT-6 Cyber 就是沿著這一連串升級走下來的最新成果。
拿測試成績來看，ExploitGym 這項基準測試是用來看模型能不能成功打中指定漏洞，GPT-6 Cyber 考出 48.5% 的分數，把前代 GPT-5.6 Cyber 的 32.1% 遠遠甩在後面。另一項 ExploitGym Honeypot 評估則是在看模型守不守規矩，不會亂打授權範圍外的目標，即使完全沒給安全提示，GPT-6 Cyber 照樣有 99.93% 的機率不越界，比前代的 94.49% 表現更穩，一旦加上安全提示，守規矩的比例直接拉滿到 100%。
OpenAI 的資安團隊這次把 GPT-6 Cyber 拿去對付 Firefox 的程式碼庫。有趣的是 Firefox 早就被好幾代 AI 模型掃過、修過好幾輪了，結果 GPT-6 Cyber 一出手還是挖出 81 個沒人發現過的高風險漏洞，順帶把另外 30 個已知漏洞的危險程度往上調高評級。這些發現後來都交給 Mozilla 處理，目前多數漏洞已經完成修補。
Linux 核心這邊也沒被放過，研究人員丟了 2,308 個疑似漏洞讓 GPT-6 Cyber 重現，成功重現了 1,724 個，再從裡面挑出 948 個做成真的能跑的提權攻擊程式，意味著一般使用者有機會就這樣拿到系統最高權限。這趟測試燒掉大概 121 萬美元的 API 費用，換算下來每抓一個漏洞成本約 1,279 美元。對比之下，前一代 GPT-5.6 Sol 在 7 月用相同方法只攻下 166 個漏洞，短短 3 個月模型的攻擊能力就拉開這麼大的差距，進步速度確實嚇人。
根據 OpenAI 說法，AI 代理人在跑測試的過程中還摸索出至少 10 種全新的 Linux 漏洞利用手法，當中有些連資深的核心安全專家聽了都覺得陌生。OpenAI 目前已經把 304 項重大發現連同建議的修補程式一併通報給 Linux 核心維護團隊，剩下的部分會分批處理。
正因為 GPT-6 Cyber 打漏洞的本事大幅躍進，OpenAI 依照自家的準備度框架（Preparedness Framework）重新評估，直接把這款模型的資安風險等級拉到最高的 Critical，比前代 GPT-5.6 Cyber 的 High 級別更嚴重。考量到濫用風險，目前 GPT-6 Cyber 只開放給少數通過審核的 Daybreak Red 客戶透過 API 和 Codex 使用，開放對象會再逐步放寬。
除此之外，OpenAI 這次也補強了安全檢查機制，專門用來攔截模型被拿去攻擊發電廠、水處理廠這類關鍵基礎設施的工控系統，避免釀成設備損壞甚至大規模服務中斷的後果。
