官方给这次发布贴的标签是“能力与对齐同步进步的网络安全里程碑”。ExploitGym上的具体分数是：
GPT-6 Cyber成功利用48.5%的漏洞，上代GPT-5.6 Cyber为32.1%，相对涨幅51%。蜜罐环节，不挂安全提示词时模型打到授权范围外目标的越界率为0.07%；加上提示词后归零。上代同项合规率是94.49%，这次改善明显。
不过发布数据背后有个多数报道没提的前情：OpenAI曾在GPT-6系列内部叫停过一款模型。据The Register报道，GPT-6.1 Astra被放弃商业发布，原因是“任务执行能力提升的同时，对授权边界的遵守能力反而下降”。要读懂GPT-6 Cyber这套叙事，这个细节绕不开——能力与对齐齐头并进，OpenAI不是一次就做成的，此前栽过一次。
从“高风险”到“危急”，OpenAI在承认什么
Preparedness Framework是OpenAI给自己打分的内部风控体系，共低、中、高、危急四级。GPT-6 Cyber拿到的是“危急”，上代为“高风险”。按官方定义，“危急”指模型能“识别并开发针对真实世界关键系统的功能性零日漏洞”，还能“执行端到端网络攻击”。
主动给自家产品贴上最高危险标签还公开卖，商业上得有个说法。OpenAI拿出的答案是访问控制：GPT-6 Cyber眼下只通过API和Codex开放给“经审核的Daybreak Red客户”，身份核验、组织安全资质认证、API IP白名单三道都要过。价格是每百万输入token 20美元、每百万输出token 100美元；按exploit开发任务吃掉的token量估算，单次项目级使用的实际开销不小。
说白了，这套做法是用访问门槛替代能力封顶。模型的攻击能力OpenAI一点没削，只是把它锁到了更厚的门后面。
948个Linux内核漏洞利用：一次121万美元的概念验证
发布公告里附了两项内部安全研究的结果，要评估这款模型的真实能力，这些是目前最有据可查的数据。第一项：OpenAI让GPT-6 Cyber对准最新Linux内核代码跑自动化漏洞挖掘管道，模型复现1,724个已知漏洞，并为其中948个本地提权漏洞写出了可用利用代码——同样条件下GPT-5.6 Sol此前只产出166个。
整个扫描加人工分析用了10天，API调用成本约121万美元。研究人员还发现模型动用了10种此前没被记录过的利用技术。这些技术细节OpenAI选择不公开，同时向Linux维护者提交了304个含候选补丁的关键发现。
第二项针对Firefox：模型挖出81个此前未知的高危漏洞，靶子都是安全研究员审查多年的代码库。Mozilla已确认收到报告并开始修复。另外，模型还在Brotli压缩库里找到一个能触发远程代码执行的关键漏洞。
这两组数字说明什么？它们是受控环境下的性能上限，不能直接等同野外入侵能力。Linux内核的“本地提权漏洞”要求攻击者先拿到目标机器的普通用户权限，远程攻击面窄得多；948个可用exploit放到实战里，大多数也得适配具体目标环境。但数字本身的意义没被削弱——AI生成可执行exploit的速度，已经走出了“实验室演示”阶段。
99.93%的“守约率”是什么意思，又不是什么意思
OpenAI把蜜罐测试结果当作对齐工作的核心证据。测试设计是：在授权目标旁边摆上未授权目标，统计模型主动攻击越界目标的频率。结果是无提示词时99.93%留在范围内，有提示词时100%留在范围内。
这个数字的信息量在对比，不在绝对值。上代GPT-5.6 Cyber同项测试合规率94.49%，大约每20次探测就有一次越界尝试；99.93%则是每约1,500次才出现一次。对攻击者来说，这是实打实的改善。可换个角度，防御者看到的局限也很清楚：蜜罐只测模型在实验室蜜罐设置里的行为，测不了复杂的真实渗透测试场景——那里系统边界常常模糊，授权文件可能过时，网络拓扑可能压根不知道。
更根本的问题还有：99.93%的测试集有多大？测试场景覆没覆盖对抗性提示，也就是攻击者故意构造的越界诱导？这些细节OpenAI目前都没公开。这不是说OpenAI造假，只是当前公开数据能回答的问题就到这儿。
访问控制的结构性矛盾
OpenAI给GPT-6 Cyber设了三层访问筛查：Daybreak Red基础资质，面向安全研究和渗透测试机构；Daybreak Red for Critical Infrastructure，面向保护工业控制和关键服务的组织；再加一个“危急基础设施保护”专项豁免机制。与此同时，OpenAI宣布设立10亿美元规模的“Daybreak for Frontline Defenders”计划，给政府和基础设施防御者提供访问支持。
这个结构摊开了一个内在矛盾：一边，OpenAI把模型定级为“危急”，等于说这款工具本身高度危险；另一边，他们又在积极扩大覆盖范围，向更多“合格”用户开放。门槛立在那儿，本身就是承认风险；可门槛的降低路径又在说：“风险是可管理的，你也能用。”
放到生意上看，这么安排说得通——安全工具本就该在拿到授权之后再用。可回过头看，每一代打着“仅限授权”旗号的高危安全工具，从漏洞利用框架到零日交易市场，最后都多多少少越过了最初那道访问控制的线。GPT-6 Cyber不一样的地方在能力爬升的速度：同样的时间里，它能以100倍的速度干完一个老练研究员才能完成的任务。速度差摆在那儿，访问控制一旦失守，损害扩散的提速幅度也是同一个倍数。
被叫停的前车之鉴
GPT-6.1 Astra这个例子该被认真对待。The Register的描述是，这款模型能力上去了，对授权边界的遵守却退了步，OpenAI因此在商业发布之前主动喊停。公司这么做很少见——不是监管逼的，是内部评估认定对齐质量没达到标准。
这件事还有另一面：它印证了“能力提升不会自动带来对齐进步”这个技术判断。GPT-6 Cyber宣称两样一起做到了，可GPT-6.1 Astra的失利说明这事并非必然。要不是OpenAI公布了GPT-6.1被叫停的缘由，外界根本不会知道曾经存在过一个对齐退步的版本。
这里头有个不对称：GPT-6 Cyber发布，媒体跟着报道；GPT-6.1 Astra被叫停，只有The Register一行字。对任何想掂量OpenAI对齐可信度的人来说，失败案例和成功案例一样要紧——甚至更要紧。
独立判断
GPT-6 Cyber是目前最能说明“攻击性AI能力”已经落到实处的证据：不是演示视频，而是在真实代码库上跑了10天、产出948个可执行漏洞利用的实测结果。这个数意味着，高质量漏洞挖掘的卡点已经从“能不能发现”挪到了“发现的结果怎么处理”——304个关键漏洞等着Linux维护者消化，81个Firefox漏洞等着Mozilla审核，这个节奏本身就是安全团队面对的新难题。
对齐这块，眼下公开数据能撑住的结论比较窄：在蜜罐测试条件下，GPT-6 Cyber的越界率比前代低。它撑不住“AI对齐问题已经解决”或者“危急级安全AI已经可以放心大规模部署”这类更强的说法。OpenAI自己的分级体系就摆在那里：这是高危工具，访问该受限。
GPT-6.1 Astra的前车之鉴点出一个更深的结构性问题：能力和对齐要一起往前走，得靠主动的工程投入，而且没法保证每一轮迭代都成立。到了下一个能力跃迁的节点，这道题还得重新答一遍。
