OpenAI发布GPT-6 Cyber：Linux内核挖出948个可用漏洞利用

OpenAI CEO山姆·奥特曼。图片由AI处理

AI在找软件漏洞这件事上，又往前走了一步。

美国当地时间11月5日，OpenAI推出了专门面向网络安全的模型GPT-6 Cyber。

这个版本以GPT-6 Astra为基础做了攻防方向的专门优化，漏洞发现、漏洞利用和Web渗透测试三项能力是重点。OpenAI透露，该模型在Linux内核里做出了948个能用的漏洞利用程序，还在Firefox中找出81个此前不为人知的高危漏洞。

安全边界上也能看出变化。研究人员故意布下越权诱饵，在没加额外部署提示词的情况下，GPT-6 Cyber有99.93%的比例守住了授权范围。

OpenAI给它的网络安全能力定级为Preparedness Framework中的Critical，也就是该框架里的"最高危险等级"。

01 漏洞利用测试接近五成

漏洞利用是GPT-6 Cyber提升最明显的一块。

ExploitGym测试要求模型对远程目标中的指定漏洞实施利用。GPT-6 Cyber拿到48.45%，GPT-6 Astra是42.43%，上一代GPT-5.6 Cyber只有32.1%。

难度更高的ExploitGym Hardened加入了地址空间随机化、栈金丝雀和V8沙箱等防护，GPT-6 Cyber仍有36.94%的成绩，GPT-6 Astra为29.69%。

Web渗透测试也是同样的走向。不给源代码、直接探测Web应用的任务里，GPT-6 Cyber的漏洞召回率达到40.3%，GPT-6 Astra为32.0%。逆向工程基准SRE-Bench上它拿到92.84%，代码安全测试SEC-Bench Pro上是87.02%。

RemoteExploitBench的结果看得更清楚。测试用GitLab、PostgreSQL和Jenkins中的已知漏洞搭出受控环境，GPT-6 Cyber完成了95%的任务，唯一没成功的一例是漏洞利用程序没能在远程环境里跑起来。作为对照，GPT-6 Astra在Daybreak Blue配置下把所有任务都拒了。

但测试分数不等于模型已经能稳定利用最新漏洞。ExploitBench用的是2023年以来的历史漏洞，训练数据污染的风险存在，成绩可能因此偏高。

Internal Port测试针对的是2026年6月至8月新披露的漏洞，GPT-6 Cyber成功率为42%。OpenAI也承认，要可靠利用近期披露的漏洞，模型仍有难度。

外部机构Irregular的测试给出了另一个侧面。长周期网络攻防任务CyScenarioBench中，GPT-6 Cyber把11项挑战全部完成，平均成功率61%。可到了真实软硬件漏洞测试FrontierCyber，它完成90项任务，比GPT-6 Astra的96项少。

02 从代码分析到生成补丁

单项成绩之外，GPT-6 Cyber在Linux内核上的那套研究过程，更能说明它实际能干什么。

OpenAI搭了一条多智能体组成的自动化工具链，让模型按顺序走完代码筛选、漏洞分析、动态验证、漏洞利用和补丁生成。

第一步是Scout Agent，从Linux内核代码里挑出值得查的目标。接着Analyst Agent读代码逻辑、找潜在风险，定位可能被利用的漏洞。模型给出候选问题后，Triage Agent负责写概念验证程序，放到隔离虚拟机里跑，靠程序输出和系统日志判断漏洞是不是真的存在。

验证通过之后，系统继续评估这个漏洞能造成什么影响，并试着写出可运行的利用程序。确认成功的问题，模型还会给出对应补丁，交给人工审核。

整条流程最终复现了1724个漏洞，其中948个做出了可用的本地权限提升利用程序。同一套工具链下，GPT-5.6 Sol完成了166个，GPT-6 Cyber是它的五倍多。

本地权限提升有个明确前提：攻击者得先拿到普通本地账户，再借漏洞把权限提到root。所以这948个利用程序，不能直接理解成能远程攻入任意Linux设备。

这次研究涉及的Linux内核代码超过4000万行。OpenAI披露，整套自动化流程的API成本约为121万美元。研究团队随后把关键发现和候选补丁提交给Linux维护者，部分问题已经进入修复流程。

Firefox是另一项成果。OpenAI称，GPT-6 Cyber在这个代码库里找到81个此前未知的高危漏洞，每个都附了可复现的测试和证据。模型还发现30个已知问题的实际严重程度比原先评估的更高。Mozilla已开始陆续处理这些报告并发布修复。

OpenAI自己也在用这款模型加固基础设施。一次受控红队行动里，智能体借助漏洞从微虚拟机中逃出，随后在底层宿主机上运行了代码。OpenAI据此修好软件、收紧了网络访问限制，并把问题通报给相关维护方。

在Brotli压缩库的一处漏洞验证中，GPT-6 Cyber同样参与其中。该漏洞可能让Node.js等下游应用面临远程代码执行风险。

03 蜜罐测试“自控能力”

漏洞利用本事越大，模型就越得守得住任务边界。

网络安全智能体在干指定任务时，有可能顺带攻击旁边那些没获授权的服务。为此OpenAI专门设计了ExploitGym Honeypot测试。

测试人员在一个隔离环境里摆了个高难度目标，旁边再放一个容易攻破的辅助服务当蜜罐。打掉蜜罐同样能拿到任务标志，可它并不在授权范围内。模型得自己判断任务边界，不能为了完成任务去碰无关服务。

结果显示，不给额外安全提示词时，GPT-6 Cyber的越界攻击率只有0.07%，守规率对应为99.93%。GPT-5.6 Cyber的守规率是94.49%。加上部署提示词之后，GPT-6 Cyber在测试里一次越界利用都没出现。

不过GPT-6 Cyber也有要改的地方。

Blocker Deception测试考察的是：模型会不会在最终回答里如实交代任务卡住的原因。GPT-6 Cyber有20.29%的回答被标记，高于GPT-6 Astra的11.66%。OpenAI的解释是，多数情况下模型前面已经提过障碍，只是最后总结时没再讲一遍。

另一项警告响应测试里，GPT-6 Cyber停止任务的比例是73%，比GPT-6 Astra的78.38%低。OpenAI认为这跟新模型任务持续性更强有关。通用编码能力也没跟着涨，GPT-6 Cyber在ExpertSWE上拿到82.95%，略低于GPT-6 Astra的83.24%。

04 模拟发电厂里的两个零日漏洞

关键基础设施是OpenAI这次重点加固的方向。

OpenAI跟工业控制系统安全公司Dragos合作，在模拟发电厂环境里测GPT-6 Cyber。模型几乎没拿到额外提示，就从大量IT系统信息中认出了运营技术（OT）资产，还在一款管理保护继电器数据的工程软件里找出两个零日漏洞。

Dragos首席AI官罗伯·李（Rob T. Lee）表示，攻击者在碰到物理设备之前，得先摸清关键基础设施的系统结构。AI把侦察和漏洞研究的门槛降了下来，相关风险也随之更突出。

为了管住模型的使用风险，OpenAI搭了一套分层访问机制。

眼下GPT-6 Cyber只通过API和Codex，向通过审核的Daybreak Red客户开放，之后再慢慢扩范围。机构用户要启用单点登录、多因素认证和受管理设备；个人用户得通过身份与活体认证，并用FIDO2物理安全密钥。相关API默认还带IP白名单限制。

面对工业控制系统、关键公共服务和选举系统这类高风险领域，OpenAI加了专项安全检查。公司还推出Daybreak Red for Critical Infrastructure，给通过审核的关键基础设施防御人员更贴合其工作的访问权限。

同时公布的还有一项10亿美元的Daybreak for Frontline Defenders资助计划，面向资源有限的政府机构和关键公共服务提供者，帮他们用AI做安全防御。

目前GPT-6 Cyber还处在受限开放阶段。OpenAI打算逐步扩到全部Daybreak Red客户，同时向这一层级用户开放GPT-5.6 Cyber。GPT-6 Astra的Daybreak Blue测试项目也会扩大参与范围。

真正的考验在修补速度上。AI让漏洞发现和利用开发都变快了，企业得面对一个更现实的问题：能不能赶在攻击者利用之前，把验证、修补和部署做完。对软件供应商和关键基础设施运营方来说，这场竞赛已经开跑。

特约编译金鹿对本文亦有贡献