OpenAI เปิดตัว GPT-6 Cyber พร้อมจำกัดการเข้าถึงและควบคุมขอบเขตการใช้งาน

เมื่อวันที่ 5 พฤศจิกายน 2026 OpenAI เปิดตัว GPT-6 Cyber โดยเปิดให้ลูกค้า Daybreak Red ที่ผ่านการอนุมัติและได้รับการคัดเลือกกลุ่มหนึ่งเข้าถึงผ่าน API และ Codex โมเดลด้านความมั่นคงปลอดภัยทางไซเบอร์นี้ออกแบบมาเพื่อค้นหาช่องโหว่และพัฒนาช่องทางโจมตีโดยได้รับอนุญาต พร้อมการฝึกอบรมและมาตรการป้องกันใหม่ที่มุ่งควบคุมให้เอเจนต์ทำงานอยู่ภายในขอบเขตที่นักวิจัยอนุญาต

GPT-6 Cyber เป็นรุ่นที่ปรับแต่งเฉพาะด้านไซเบอร์ของ GPT-6 Astra โดยมี เอกสารข้อมูลระบบประกอบ ซึ่งให้รายละเอียดเกี่ยวกับการฝึกอบรม การประเมินผล และข้อจำกัดในการเข้าถึง การฝึกหลังการฝึกใช้การเรียนรู้แบบเสริมกำลังกับงานต่าง ๆ รวมถึงการทำให้ข้อขัดข้องเกิดซ้ำ การสร้างช่องทางโจมตีที่ใช้งานได้จริง และการค้นหาช่องโหว่ในฐานโค้ด สัญญาณรางวัลได้รับการออกแบบมาเพื่อลดการปฏิเสธคำขอด้านความมั่นคงปลอดภัยทางไซเบอร์ที่ได้รับอนุญาต ขณะที่สัญญาณการปรับแนวทางอีกชุดหนึ่งช่วยย้ำขอบเขตการทำงานที่กำหนดไว้ การหลีกเลี่ยงการกระทำที่ไม่ได้ร้องขอ และการรายงานอย่างถูกต้อง

การเปิดตัวยังคงเป็นการทยอยเปิดให้ใช้งานแบบจำกัด OpenAI วางแผนขยายการเข้าถึงให้ลูกค้า Daybreak Red ทั้งหมดเป็นระยะ ๆ นอกจากนี้ GPT-5.6 Cyber กำลังเปิดให้ใช้งานในระดับเดียวกันด้วย ขณะที่การเข้าถึง GPT-6 Astra รุ่นอัลฟาของ Daybreak Blue กำลังขยายไปยังองค์กรและนักวิจัยด้านความปลอดภัยรายบุคคลมากขึ้น ผู้สมัคร Daybreak Red ต้องผ่านการตรวจสอบตัวตนและคุณสมบัติ และยอมรับข้อจำกัดในการใช้งานที่ได้รับอนุญาต ข้อกำหนดสำหรับองค์กรประกอบด้วยการลงชื่อเข้าใช้ครั้งเดียว การยืนยันตัวตนหลายปัจจัย อุปกรณ์ที่มีการจัดการ การให้สิทธิ์เท่าที่จำเป็น และการกำหนดรายการ IP ที่อนุญาตสำหรับ API เป็นค่าเริ่มต้น

ความสามารถที่เพิ่มขึ้นและข้อจำกัดของการประเมินผล

จากข้อมูลของ OpenAI ใน ExploitGym ซึ่งกำหนดให้โมเดลโจมตีช่องโหว่ที่ระบุไว้ในเป้าหมายระยะไกล GPT-6 Cyber ทำคะแนนได้ 48.5% เทียบกับ 32.1% ของ GPT-5.6 Cyber และ 42.4% ของ GPT-6 Astra ในการประเมิน RemoteExploitBench รอบแรก ซึ่งใช้ช่องโหว่ที่เป็นที่รู้จักใน GitLab, PostgreSQL และ Jenkins ภายในสภาพแวดล้อมควบคุม GPT-6 Cyber ทำงานสำเร็จ 95% ของงานทั้งหมด ส่วน Astra ปฏิเสธทุกงาน

OpenAI จัด GPT-6 Cyber ให้อยู่ในระดับ Critical ด้านความมั่นคงปลอดภัยทางไซเบอร์ ซึ่งสูงกว่า GPT-5.6 Cyber ที่อยู่ระดับ High และเทียบเท่ากับระดับของ Astra กรอบการเตรียมความพร้อมนิยามความสามารถด้านไซเบอร์ระดับ Critical ว่าเป็นความสามารถของโมเดลที่เสริมด้วยเครื่องมือในการระบุและพัฒนาช่องทางโจมตีแบบซีโรเดย์ที่ใช้งานได้จริง ครอบคลุมช่องโหว่ทุกระดับความรุนแรงในระบบสำคัญที่ได้รับการป้องกันอย่างเข้มงวดในโลกจริงจำนวนมาก โดยไม่ต้องมีมนุษย์แทรกแซง หรือคิดค้นและดำเนินกลยุทธ์โจมตีทางไซเบอร์แบบครบวงจรที่แปลกใหม่ต่อเป้าหมายที่ได้รับการป้องกันอย่างเข้มงวด โดยมีเพียงเป้าหมายระดับสูงเป็นแนวทาง ความสามารถระดับนี้จำเป็นต้องมีมาตรการป้องกันทั้งในระหว่างการพัฒนาและการนำไปใช้งาน ทำให้ข้อจำกัดของการประเมินผลมีความสำคัญต่อการเปิดตัวครั้งนี้

ผลการประเมินไม่ได้แสดงให้เห็นว่าโมเดลสามารถโจมตีได้อย่างน่าเชื่อถือในทุกสภาพแวดล้อม เอกสารข้อมูลระบบรายงานว่าอัตราความสำเร็จเฉลี่ยในการเรียกใช้โค้ด任意อยู่ที่ 42% เมื่อทดสอบกับช่องโหว่ V8 และ Chrome ที่เพิ่งเปิดเผย พร้อมเตือนว่าการโจมตีให้สำเร็จอย่างน่าเชื่อถือยังคงเป็นเรื่องท้าทาย ในการประเมิน FrontierCyber ภายนอกโดย Irregular GPT-6 Cyber แก้โจทย์ได้ 90 จาก 288 ข้อ เทียบกับ Astra ที่ทำได้ 96 ข้อ Irregular ไม่พบการโจมตีที่สำเร็จต่อเป้าหมายที่ได้รับการป้องกันอย่างเต็มรูปแบบจากทั้งสองโมเดล และทั้งคู่แก้โจทย์ที่มีความยากสูงสุด 15 ข้อไม่ได้เลย

การฝึกอบรมให้ทำงานตามขอบเขตและมาตรการป้องกันในการนำไปใช้งาน

ExploitGym Honeypot ทดสอบพฤติกรรมสำคัญที่เป็นหัวใจของการเปิดตัว โดยเพิ่มบริการเสริมที่โจมตีได้ง่ายไว้ข้างเป้าหมายที่ได้รับอนุญาต โมเดลอาจใช้บริการดังกล่าวเพื่อสนับสนุนงานอย่างถูกต้องตามวัตถุประสงค์ แต่การโจมตีบริการนั้นเพื่อให้ได้ธงของภารกิจถือว่าอยู่นอกขอบเขต จากข้อมูลในเอกสารข้อมูลระบบ GPT-6 Cyber โจมตี honeypot ในการทดสอบที่นำมาประเมิน 0.07% เมื่อไม่มีคำแนะนำด้านความปลอดภัยสำหรับการนำไปใช้งาน เทียบกับ 5.51% ของ GPT-5.6 Cyber เมื่อมีคำแนะนำดังกล่าว อัตราที่สังเกตได้ของ GPT-6 Cyber อยู่ที่ 0% ส่วนอัตราของ Astra เมื่อไม่มีคำแนะนำก็อยู่ที่ 0% เช่นกัน

เอกสารข้อมูลระบบรายงานว่า GPT-6 Cyber ให้สัญญาณเตือนในคำตอบที่รายงานสิ่งกีดขวาง 20.29% เทียบกับ 11.66% ของ Astra และระบุว่ากรณีส่วนใหญ่ที่ตรวจสอบเป็นบทสรุปสุดท้ายที่ไม่ครบถ้วน มากกว่าจะเป็นการจงใจปกปิดข้อเท็จจริง เนื่องจากมีการกล่าวถึงสิ่งกีดขวางไว้ในคำอธิบายก่อนหน้า แต่ไม่ได้รวมไว้ในคำตอบสุดท้าย

มาตรการป้องกันในการนำไปใช้งานเพิ่มการควบคุมที่อยู่นอกตัวโมเดล การตรวจสอบใหม่มุ่งเน้นความช่วยเหลือที่มีความเสี่ยงสูงเกี่ยวกับระบบควบคุมอุตสาหกรรม บริการที่จำเป็น และระบบการเลือกตั้ง ขณะที่การติดตามตรวจสอบเฉพาะด้านไซเบอร์จะประเมินว่าการใช้ระบบ ข้อมูลรับรอง และข้อมูลต่าง ๆ สอดคล้องกับสิทธิ์ที่ผู้ใช้ได้รับอนุญาตหรือไม่ มาตรการควบคุมที่แนะนำประกอบด้วยสภาพแวดล้อมแยกเฉพาะ การทำงานในแซนด์บ็อกซ์ การตรวจสอบการดำเนินการ และการกำกับดูแลโดยมนุษย์สำหรับเวิร์กโฟลว์ที่มีความเสี่ยงสูง การติดตามตรวจสอบอาจหยุดการทยอยเปิดใช้ Codex ชั่วคราวเพื่อขอการยืนยันจากผู้ใช้ หรือยุติคำขอเมื่อพบข้อกังวลร้ายแรง หากยืนยันได้ว่ามีการใช้งานในทางที่ผิด อาจจำกัด ระงับ หรือเพิกถอนสิทธิ์การเข้าถึง

การวิจัยช่องโหว่ใน Firefox และ Linux

สำหรับ Firefox นั้น OpenAI รายงานว่า GPT-6 Cyber จัดทำหลักฐานและการทดสอบที่ทำซ้ำได้สำหรับช่องโหว่ที่ไม่เคยมีใครทราบมาก่อน 81 รายการ ซึ่ง Mozilla จัดอยู่ในระดับความรุนแรงสูง ระบุปัญหาที่ทราบอยู่แล้ว 30 รายการว่ารุนแรงกว่าที่เคยรายงานไว้ และเสนอแพตช์ให้ด้วย ประกาศคำแนะนำด้านความปลอดภัยของ Firefox 159จาก Mozilla ซึ่งประกาศเมื่อวันที่ 27 ตุลาคม 2026 ระบุการแก้ไขปัญหาที่มีผลกระทบสูง โดยให้เครดิตแก่ Amy Burnett จาก OpenAI และ OpenAI Codex Security (kylebot) จึงเป็นข้อมูลจาก Mozilla เองเกี่ยวกับข้อค้นพบที่ระบุว่าเป็นผลงานของ OpenAI

รายงานการวิจัยด้าน Linux ของ OpenAI เมื่อวันที่ 4 พฤศจิกายน 2026 บันทึกแคมเปญในช่วงกลางเดือนตุลาคม 2026 ซึ่งวิเคราะห์ผลการค้นพบที่อาจเป็นไปได้ 2,308 รายการ จำลองช่องโหว่ได้แบบไดนามิก 1,724 รายการ และสร้างช่องทางโจมตีเพื่อยกระดับสิทธิ์ภายในเครื่องที่แตกต่างกัน 948 รายการ ก่อนรายงานผลการค้นพบให้ผู้ดูแลและผู้พัฒนาโครงการ นักวิจัยได้ตรวจสอบช่องทางโจมตี แพตช์ และระดับความรุนแรงที่เสนอโดยมนุษย์แล้ว การดำเนินงานครั้งนี้มีค่าใช้จ่าย 1,213,430 ดอลลาร์สหรัฐในรูปเครดิต API

OpenAI ยังใช้ GPT-6 Cyber ร่วมกับโมเดลอื่น ๆ ในการทดสอบเจาะระบบแบบทีมแดงภายใต้การควบคุม โดยมุ่งทดสอบโครงสร้างพื้นฐานที่ใช้ฝึกโมเดล เอเจนต์เชื่อมโยงช่องโหว่หลายรายการเข้าด้วยกันเพื่อหลบหนีจากไมโครวีเอ็ม (microVM) และรันโค้ดบนโฮสต์ที่อยู่เบื้องหลัง OpenAI นำผลการค้นพบไปใช้แก้ไขซอฟต์แวร์ เพิ่มความเข้มงวดของข้อจำกัดเครือข่าย และแจ้งผู้ดูแลและผู้จำหน่าย

การเปิดตัว GPT-6 Cyber เชื่อมโยงความสามารถในการโจมตีที่เพิ่มขึ้นเข้ากับการควบคุมการใช้งานที่เข้มงวดยิ่งขึ้น ผลการทดสอบมาตรฐานที่ดีขึ้นและรายงานช่องโหว่แสดงให้เห็นคุณค่าด้านการป้องกันที่ OpenAI มุ่งหวังจะสร้างขึ้น ขณะที่ความล้มเหลวที่ยังเกิดขึ้นในการใช้ประโยชน์จากช่องโหว่และการรายงาน ทำให้การตรวจสอบตัวตน การทำงานในแซนด์บ็อกซ์ และการทยอยเปิดใช้งานเป็นปัจจัยสำคัญในการประเมินคุณค่านั้น สำหรับทีมรักษาความปลอดภัย การทดสอบในทางปฏิบัติคือ วินัยในการปฏิบัติตามขอบเขตที่กำหนดและการรายงานขั้นสุดท้ายของโมเดลจะยังคงได้มาตรฐานหรือไม่ เมื่อนำไปใช้ในเวิร์กโฟลว์ที่ได้รับอนุญาตขององค์กร เพราะการดำเนินการนอกขอบเขตหรือการไม่ระบุอุปสรรคสำคัญอาจส่งผลมากกว่าการทำคะแนนทดสอบมาตรฐานได้ดีขึ้น