GPT-6 Cyber发布：漏洞利用能力提升51%，OpenAI自评Critical级别

2026年11月5日，OpenAI推出了GPT-6 Cyber，这是其迄今能力最强、也被自己定性为最危险的专项安全模型。官方ExploitGym基准测试中它拿到48.5%，前代GPT-5.6 Cyber为32.1%，提升幅度51%。放到真实的Linux内核安全研究里，该模型从1724个已知漏洞中做出了948个可用的漏洞利用程序，前代只产出166个，接近6倍。能力已经明显跨过了一个量级，这组数字正是本次发布的核心。

同一份公告里，OpenAI还给GPT-6 Cyber贴上了另一张标签：在“准备框架”（Preparedness Framework）的网络安全维度上，它被列为Critical级别，比前代的High上调一档。这是该公司给自家模型贴过的最高风险标签。换句话说，OpenAI自己评估认为，这个模型有协助发动严重网络攻击的潜力。

Critical级别意味着什么

这个定级本身值得细看。按OpenAI准备框架的说法，Critical指的是“能够对国家级基础设施或关键系统造成实质性帮助”。过去这是一条理论上的红线：模型只要够到这个级别，就不能发布。这一次OpenAI还是发了，理由是配套的访问控制和对齐训练足以把实际风险压下来。

技术上这套逻辑说得通，可它移动的是一条边界，安全性的本质并没有因此提升。Critical级别意味着，一旦模型落到无授权人员手里，杀伤力是真实的。OpenAI给出的答案是“那就不让它落到那样的手里”。这个答案站不站得住，全看访问控制体系够不够结实。

边界合规率99.93%：一个需要拆解的数字

发布中OpenAI重点强调了一项对齐测试结果：蜜罐测试里，未设置部署提示的情况下，模型对超出授权范围目标的攻击忽略率为99.93%；设置了明确部署提示后，这个数字升到100%。前代模型的对应数字是94.49%。

99.93%听着接近完美。可0.07%的失效率放到规模化使用中是什么概念，得看总共执行了多少次。假设一个红队在一次大规模渗透测试中触发数万次操作，0.07%就会带来几十次越界尝试。这不是说这个数字没有价值，而是说它要结合具体部署规模，才能换算成实际的风险判断。

这些测试数据全部出自OpenAI内部评估，目前还没有独立第三方复现的结果。

Mozilla的确认：外部验证终于出现

此次发布的所有声明中，唯一拿到外部独立确认的是Firefox漏洞发现。据The Decoder报道，OpenAI的Firefox安全研究找出了81个此前未知的高危漏洞；Mozilla于10月27日发布的Firefox 159安全公告共167个修复条目，其中41个明确标注了OpenAI的署名贡献。

这组数据的意义在于，它不再是OpenAI单方面的说法。Mozilla是独立的接收方，愿意在正式公告中确认并归因，说明这批漏洞走过了Mozilla的内部验证流程。这是整场发布中最有说服力的一个数据点，也是把“宣传材料”和“实际交付”分开看的关键证据。

成本经济学：漏洞挖掘的定价逻辑正在改变

据The Decoder测算，OpenAI在Linux内核漏洞利用程序开发项目上的总算力成本约121.3万美元，摊到每个漏洞利用程序约1279美元。作为对照，业界Bug Bounty项目对同级别漏洞的悬赏通常在2万到7万美元之间。

这组数字还不能直接拿来比。Bug Bounty付钱买的是真正的零日漏洞（0-day），而GPT-6 Cyber在Linux内核测试中处理的是已知漏洞，更接近“能不能自动化重现并开发利用程序”的能力验证。但方向性意义很清楚：假如AI模型能在已知漏洞上低成本批量产出可用利用程序，安全研究的准入门槛就会被大幅压低，潜在攻击者的成本同样被压低。

GPT-6 Cyber的API定价是每百万输入token 20美元、每百万输出token 100美元，落在高端专项模型的定价区间，整体高于通用GPT-6系列。

Daybreak Red：一套闸门能撑多久

眼下GPT-6 Cyber只向经过审核的Daybreak Red客户开放，渠道限于API和Codex，还要求IP白名单。Daybreak Red是OpenAI面向授权攻击性安全用途的专项客户群，定向服务渗透测试、红队演练、漏洞链验证等场景。关键基础设施的测试被明确隔离，走独立流程处理。

这套闸门的设计逻辑是合理的：在供应链层面做准入控制，把模型能力圈在授权范围之内。可历史上还没有哪套技术性访问控制能在足够长的时间里保持完整。API密钥泄露、内部滥用、授权客户二次分发，都是已经知道的风险路径。OpenAI还计划在未来数周把访问权限扩到更大范围的Daybreak Red客户。

Google的路径与OpenAI的路径

OpenAI发布GPT-6 Cyber的同期，Google通过新的Fairwind计划推出了Gemini 3.8 Flash Cyber，同样面向受信任的防御者。据The Hacker News报道，Google的产品定位与OpenAI差别明显：Gemini 3.8 Flash Cyber把漏洞修复能力放在前面，而不是漏洞利用能力，公开宣传中有意压低了进攻性特性的权重。

两种策略，是对同一个技术现实给出的不同市场叙事。攻防能力在技术上从来分不开——能发现并利用漏洞的模型，同一套能力也能生成修复方案。区别只在于产品设计把哪个方向摆到台前。Google选了防御叙事，OpenAI这次选择正视进攻能力并配上护栏。这种透明度本身值得正面评价，不过也让OpenAI成了公众审视的更大靶标。

独立判断

GPT-6 Cyber是这个领域一次真实的能力跃升，这一点已经被Mozilla的Firefox公告独立确认。从漏洞发现到生成候选修复方案的全链路自动化，确实在降低安全研究团队的人力密度，对防御者来说是净正收益。

这次发布还开了个先例：Critical级别的模型，能在有访问控制的前提下公开亮相。这套逻辑一旦站住脚，下一代更强的模型大概率会照搬同一个框架——能力往上走，护栏跟着往上走，循环往复。真正要问的不是这回的具体决定合不合理，而是“Critical可发布”这条判断被定下来以后，全行业安全模型的发布惯例会往哪个方向偏。

99.93%的边界合规率算个不错的开头。可真正的检验不看蜜罐测试，要看Daybreak Red客户群扩大后六个月内，有没有出现授权范围之外的实际利用记录。