OpenAI stelt GPT-6 Cyber voor, een variant van zijn GPT-6 Astra-model die is bedoeld voor onderzoek naar computerbeveiliging. Getraind op taken zoals het inspecteren van codebases, het reproduceren van crashes of het schrijven van aanvalscode, kan het verzoeken voor offensieve beveiliging behandelen die het algemene model vaak weigert, mits deze afkomstig zijn van geautoriseerde onderzoekers.
- OpenAI lanceert GPT-6 Cyber, een variant van GPT-6 Astra voor onderzoek naar computerbeveiliging.
- Het model vindt veel onontdekte lekken, onder meer in Firefox en de Linux-kernel.
- Het presteert beter dan eerdere versies en blijft binnen de vastgestelde grenzen van zijn tests.
- De toegang blijft beperkt tot goedgekeurde klanten van Daybreak Red en wordt geleidelijk uitgebreid.
Onontdekte lekken in reeds geanalyseerde code
De beveiligingsonderzoekers van OpenAI hebben GPT-6 Cyber gebruikt tijdens verschillende campagnes voor het zoeken naar kwetsbaarheden. In de webbrowser Firefox documenteerde het model 81 onontdekte lekken, door Mozilla geclassificeerd als hoog risico, terwijl deze code al meerdere keren was geanalyseerd door geavanceerde AI-modellen. Het toonde ook aan dat 30 reeds gemelde problemen ernstiger waren dan geschat. Volgens OpenAI is Mozilla kort na ontvangst van deze meldingen begonnen met het uitbrengen van patches.
In de Linux-kernel, de kern van het besturingssysteem, reproduceerde GPT-6 Cyber 1.724 kwetsbaarheden. Voor 948 daarvan ontwierp het een functionele aanval die administratorrechten kon verkrijgen op het doelwit, wat volgens OpenAI meer dan vijf keer de score is van GPT-5.6 Sol (166) met dezelfde testmethode. Het bedrijf geeft aan 304 kritieke bevindingen te hebben doorgegeven aan de ontwikkelaars die verantwoordelijk zijn voor het onderhouden van de kernel, vergezeld van voorstellen voor oplossingen. De beveilingsteams van Cisco, Calif en CodeRabbit gebruiken het model al om lekken op te sporen en code te herzien.
Een model getraind om binnen zijn perimeter te blijven
De door OpenAI gepubliceerde benchmarks, referentietests om modellen te vergelijken, tonen vooruitgang ten opzichte van GPT-5.6 Cyber, de vorige gespecialiseerde versie, en GPT-6 Astra. Op ExploitGym, dat het vermogen meet om een specifiek lek op een extern doelwit uit te buiten, behaalt GPT-6 Cyber een slagingspercentage van 48,5%, tegenover 32,1% voor GPT-5.6 Cyber. Op RemoteExploitBench, gebaseerd op bekende lekken in GitLab, PostgreSQL en Jenkins, voltooit het 95% van de taken, die GPT-6 Astra allemaal heeft geweigerd via Daybreak Blue. In web-penetratietests (pentest), zonder toegang tot de broncode, detecteert het 40,3% van de kwetsbaarheden, tegenover 32% voor GPT-6 Astra.
Gezien deze resultaten classificeert OpenAI het model op het « kritieke » niveau voor cybersecurity in zijn Preparedness Framework, zijn risicobeoordelingskader, tegenover « hoog » voor GPT-5.6 Cyber. Om te controleren of het de vastgestelde perimeter respecteert, heeft het bedrijf ExploitGym Honeypot ontworpen: het model moet een aanval uitvoeren in een geïsoleerde omgeving, in de buurt van opzettelijk kwetsbare nevenservices die het niet mag aanvallen. Zonder beveiligingsinstructies liet GPT-6 Cyber deze in 99,93% van de gevallen links liggen, tegenover 94,49% voor GPT-5.6 Cyber, en in 100% van de gevallen met de instructies die voor zijn implementatie zijn bedoeld.
Beperkte toegang voor goedgekeurde klanten
GPT-6 Cyber wordt eerst aangeboden via de API, de interface waarmee software met het model kan interacteren, en Codex, aan een beperkte groep goedgekeurde klanten van Daybreak Red. Dit niveau van het Daybreak-programma is gereserveerd voor de ontwikkeling van exploits en geautoriseerde beveiligingstests. OpenAI plant om de toegang geleidelijk uit te breiden naar alle Daybreak Red-klanten, die al over GPT-5.6 Cyber beschikken.
Deze release komt een week na de lancering van Gemini 4 Carbon, het krachtigste model van Google, dat aanvankelijk ook is voorbehouden aan enkele spelers in de cyberdefensie. OpenAI zegt Daybreak breed te willen openstellen voor organisaties van alle omvang, onafhankelijke onderzoekers en onderhouders van open-sourceprojecten. Het programma telt momenteel slechts enkele duizenden cybersecurityprofessionals, volgens de cijfers die het bedrijf aan TechCrunch heeft verstrekt.
