OpenAI lansează GPT-6 Cyber, cu acces restricționat și controale privind domeniul de utilizare

Pe 5 noiembrie 2026, OpenAI a lansat GPT-6 Cyber, oferind acces la API și la Codex unui grup select de clienți Daybreak Red aprobați. Modelul de securitate cibernetică este conceput pentru descoperirea autorizată a vulnerabilităților și dezvoltarea de exploituri, iar noile metode de instruire și măsuri de protecție urmăresc să mențină agenții în limitele autorizate de cercetători.

GPT-6 Cyber este o variantă a GPT-6 Astra specializată în securitate cibernetică și este însoțită de o fișă de sistem care detaliază instruirea modelului, evaluările și restricțiile de acces. Instruirea ulterioară folosește învățarea prin consolidare pentru sarcini precum reproducerea blocărilor, crearea de exploituri funcționale și căutarea vulnerabilităților în baze de cod. Semnalele de recompensă sunt concepute pentru a reduce refuzurile la solicitările autorizate de securitate cibernetică, în timp ce semnalele distincte de aliniere consolidează respectarea domeniului de utilizare prevăzut, evitarea acțiunilor nesolicitate și raportarea exactă.

Lansarea rămâne limitată. OpenAI intenționează să extindă treptat accesul la toți clienții Daybreak Red. GPT-5.6 Cyber devine, de asemenea, disponibil pentru întregul segment, iar accesul alfa la GPT-6 Astra prin Daybreak Blue se extinde la mai multe organizații și la cercetători individuali în domeniul securității. Solicitanții Daybreak Red sunt supuși verificărilor de identitate și eligibilitate și trebuie să accepte restricțiile privind utilizarea autorizată. Cerințele pentru organizații includ autentificarea unică, autentificarea multifactorială, dispozitive administrate, acces cu privilegii minime și permiterea implicită a accesului API doar pentru adresele IP aprobate.

Progrese în capabilități și limitele evaluărilor

În ExploitGym, unde modelul trebuie să exploateze o anumită vulnerabilitate într-o țintă la distanță, GPT-6 Cyber a obținut un scor de 48,5%, potrivit OpenAI, față de 32,1% pentru GPT-5.6 Cyber și 42,4% pentru GPT-6 Astra. În evaluarea inițială RemoteExploitBench, care a folosit vulnerabilități cunoscute din GitLab, PostgreSQL și Jenkins într-un mediu controlat, GPT-6 Cyber a finalizat 95% dintre sarcini; Astra a refuzat toate sarcinile.

OpenAI clasifică GPT-6 Cyber drept Critic în domeniul securității cibernetice, față de nivelul Ridicat al GPT-5.6 Cyber, și îi atribuie aceeași clasificare ca modelului Astra. Cadrul de pregătire al companiei definește capabilitatea cibernetică de nivel Critic drept capacitatea unui model asistat de instrumente de a identifica și dezvolta exploituri zero-day funcționale, de toate nivelurile de severitate, în numeroase sisteme critice reale, securizate, fără intervenție umană, sau de a concepe și executa strategii noi de atac cibernetic, de la un capăt la altul, împotriva unor ținte securizate, pornind doar de la un obiectiv general. Un asemenea nivel impune măsuri de protecție atât în timpul dezvoltării, cât și al implementării, ceea ce face ca limitele evaluărilor să fie relevante pentru lansare.

Rezultatele nu demonstrează că exploatarea este fiabilă în orice situație. Fișa de sistem raportează o rată medie de succes de 42% pentru executarea arbitrară de cod în cazul vulnerabilităților din V8 și Chrome dezvăluite recent, avertizând totodată că exploatarea fiabilă rămâne dificilă. În evaluarea externă FrontierCyber realizată de Irregular, GPT-6 Cyber a rezolvat 90 din 288 de provocări, față de 96 pentru Astra; Irregular nu a observat atacuri reușite asupra țintelor complet securizate din partea niciunuia dintre modele, iar niciunul nu a rezolvat vreuna dintre cele 15 provocări cu cel mai înalt grad de dificultate.

Instruirea privind limitele de utilizare și măsurile de protecție la implementare

ExploitGym Honeypot testează comportamentul esențial pentru această lansare. Acesta adaugă, lângă o țintă autorizată, un serviciu auxiliar ușor de exploatat; modelul îl poate folosi pentru sprijin legitim, însă exploatarea lui în scopul obținerii indicatorului sarcinii depășește limitele autorizate. Potrivit fișei de sistem, GPT-6 Cyber a exploatat honeypotul în 0,07% dintre rulările evaluate, fără instrucțiuni de siguranță pentru implementare, față de 5,51% în cazul GPT-5.6 Cyber. Cu instrucțiunile respective, rata observată pentru GPT-6 Cyber a fost de 0%; rata modelului Astra fără instrucțiuni a fost, de asemenea, de 0%.

Fișa de sistem raportează semnale de alarmă în 20,29% dintre răspunsurile GPT-6 Cyber care menționau blocaje, față de 11,66% pentru Astra, și descrie majoritatea cazurilor analizate drept rezumate finale incomplete, nu acte deliberate de înșelare, deoarece blocajul fusese menționat într-un comentariu anterior, dar omis din răspunsul final.

Măsurile de protecție la implementare adaugă controale care nu țin de model. Noile verificări vizează asistența cu risc ridicat în domeniul sistemelor de control industrial, al serviciilor esențiale și al sistemelor electorale, iar monitorizarea specifică securității cibernetice evaluează dacă utilizarea sistemelor, a datelor de autentificare și a datelor respectă autorizarea utilizatorului. Printre controalele recomandate se numără mediile izolate, mediile de testare izolate, verificarea acțiunilor și supravegherea umană pentru fluxurile de lucru cu risc ridicat. Monitorizarea poate întrerupe implementările Codex pentru a cere confirmarea utilizatorului sau poate opri solicitările atunci când apar preocupări grave; utilizarea abuzivă confirmată poate duce la restricționarea, suspendarea sau revocarea accesului.

Cercetarea vulnerabilităților din Firefox și Linux

În cazul Firefox, OpenAI afirmă că GPT-6 Cyber a furnizat dovezi și teste reproductibile pentru 81 de vulnerabilități necunoscute anterior, clasificate de Mozilla drept vulnerabilități cu severitate ridicată, a identificat 30 de probleme cunoscute ca fiind mai grave decât se raportase anterior și a propus remedieri. Avizul de securitate Firefox 159 al Mozilla, anunțat pe 27 octombrie 2026, enumeră remedieri pentru vulnerabilități cu impact ridicat, atribuite lui Amy Burnett de la OpenAI și OpenAI Codex Security (kylebot), oferind relatarea proprie a Mozilla despre vulnerabilitățile atribuite OpenAI.

Raportul de cercetare Linux al OpenAI din 4 noiembrie 2026 documentează o campanie desfășurată la mijlocul lunii octombrie 2026, în cadrul căreia au fost analizate 2.308 constatări candidate, reproduse dinamic 1.724 de vulnerabilități și create 948 de exploituri distincte pentru escaladarea locală a privilegiilor. Cercetători umani au analizat exploit-urile, patch-urile și nivelurile de severitate propuse înainte ca vulnerabilitățile să fie raportate responsabililor de mentenanță, iar rularea a costat 1.213.430 USD în credite API.

OpenAI a folosit GPT-6 Cyber și alături de alte modele în exerciții controlate de tip red team asupra infrastructurii sale de antrenare. Agenții au înlănțuit vulnerabilități pentru a evada din microVM-uri și a executa cod pe gazdele subiacente. OpenAI a folosit rezultatele pentru a corecta software-ul, a înăspri restricțiile de rețea și a-i notifica pe responsabilii de mentenanță și pe furnizori.

Lansarea GPT-6 Cyber asociază capacități ofensive mai mari cu un control operațional mai strict. Progresele înregistrate la benchmarkuri și rapoartele privind vulnerabilitățile demonstrează valoarea defensivă pe care o urmărește OpenAI, în timp ce deficiențele persistente în exploatare și raportare fac ca verificările identității, izolarea în sandbox și lansarea etapizată să fie esențiale pentru evaluarea acestei valori. Pentru echipele de securitate, testul practic este dacă modelul respectă limitele domeniului de aplicare și dacă raportarea sa finală rezistă în propriile fluxuri de lucru autorizate, unde o acțiune în afara domeniului de aplicare sau omiterea unui impediment poate conta mai mult decât un progres la un benchmark.