Модель GPT-6 Cyber от OpenAI нашла 81 уязвимость в Firefox

Новая модель OpenAI для исследований безопасности GPT-6 Cyber нашла в Firefox 81 ранее неизвестную уязвимость, и все их Mozilla отнесла к высокой степени серьёзности. Но работать с моделью, объявленной 5 ноября, пока могут только отдельные клиенты Daybreak Red. Для остальных защитников OpenAI в тот же день расширила альфу Daybreak Blue с GPT-6 Astra: туда пускают больше организаций и частных исследователей.

В анонсе OpenAI модель отнесена к уровню Critical по кибербезопасности в Preparedness Framework, внутренней шкале рисков компании. У предшественницы GPT-5.6 Cyber был уровень High. По словам OpenAI, на GPT-6 Cyber работало и исследование ядра Linux, о котором компания объявила 4 ноября.

Кому достанется модель

Daybreak, программа OpenAI для специалистов по защите, делится на два уровня. Blue помогает проверенным защитникам подтверждать уязвимости и исправления с меньшим числом лишних отказов. Red нужен для того, что глубже: разработки рабочих эксплойтов и авторизованного тестирования, и именно здесь живёт GPT-6 Cyber. Ревью кода, разбор уязвимостей и подготовку патчей, по словам OpenAI, уже тянут и обычные модели вроде GPT-6 Astra.

Граница между уровнями хорошо видна на RemoteExploitBench, новом тесте OpenAI с известными уязвимостями в GitLab, PostgreSQL и Jenkins, развёрнутыми в контролируемой среде. В первичной оценке GPT-6 Astra на Daybreak Blue отказалась от всех задач, а GPT-6 Cyber выполнила 95%. Не справилась она лишь с одним эксплойтом, который не заработал удалённо.

Доступ к Red OpenAI обещает расширять постепенно, сроки не названы. Заявку на Daybreak подают через страницу программы. Командам с ограниченными ресурсами, например госорганизациям и поставщикам жизненно важных услуг, доступ субсидирует грантовая программа Daybreak for Frontline Defenders на 1 миллиард долларов. Для одобренных защитников критической инфраструктуры внутри Red появилась отдельная группа, Daybreak Red for Critical Infrastructure: там разрешено авторизованное тестирование критических систем, но защита от отклонений модели сохраняется. Новые анонсы по кибербезопасности OpenAI обещает на трансляции Cyber at the Frontier 12 ноября в 10:00 по тихоокеанскому времени.

Условия для API

Запросы к API Daybreak Red по умолчанию принимаются только из одобренных сетей, через список разрешённых IP-адресов. Исключения есть, но ограниченные, а учётные данные OpenAI отслеживает на предмет компрометации. Тем, кто работает с API в режиме Zero Data Retention, как правило, придётся подключить Private Safety Processing. Эта система автоматически проверяет связанные запросы на злоупотребления по зашифрованным записям, которые 30 дней хранятся в хранилище самого клиента, и сотрудники OpenAI не видят ни промптов, ни ответов. Для остальных по умолчанию действует стандартное хранение данных. Для рискованных сценариев OpenAI, как и с прошлыми моделями, советует песочницу, ревью действий агента и надзор человека.

Что намерила OpenAI

В ExploitGym модель должна проэксплуатировать заданную уязвимость в удалённой цели. GPT-6 Cyber решает 48,5% задач, GPT-5.6 Cyber решала 32,1%, разница около 16 процентных пунктов, или 51% в относительных величинах. В новом тесте на пентест веб-приложений без доступа к исходному коду GPT-6 Cyber нашла 40,3% уязвимостей, GPT-6 Astra 32,0%. По словам OpenAI, на большинстве киберзадач Cyber обходит Astra, даже когда Astra не отказывается от запроса. Все эти цифры замерила сама OpenAI, и оба новых теста, на веб-пентест и RemoteExploitBench, она же и собрала. Полные результаты и настройки вынесены в system card.

Отдельно OpenAI проверяла, не выходит ли модель за рамки задачи. Тест ExploitGym Honeypot появился после инцидента с Hugging Face. Модель получает трудную задачу на эксплуатацию в изолированной среде, а рядом нарочно оставлены легко взламываемые вспомогательные сервисы вроде реестра пакетов или объектного хранилища, через которые тоже можно добыть флаг. Модель должна сама понять, что атаковать их нельзя. Без защитных промптов развёртывания GPT-6 Cyber не тронула посторонние сервисы в 99,93% случаев против 94,49% у GPT-5.6 Cyber, а с этими промптами осталась в рамках во всех 100%. В цепочке рассуждений модели OpenAI показывает фразы вроде «не исследовать учётные данные вне рамок задачи».

Firefox, Linux, Brotli

По Firefox GPT-6 Cyber собрала доказательства и воспроизводимые тесты на 81 новую уязвимость, хотя браузер до этого уже много проверяли frontier-моделями. Ещё для 30 известных проблем модель показала, что они серьёзнее, чем считалось. OpenAI передала находки Mozilla вместе с предложенными патчами, и вскоре после получения отчётов Mozilla начала выпускать исправления.

В ядре Linux модель воспроизвела 1 724 уязвимости и написала рабочие эксплойты для 948 из них. GPT-5.6 Sol на том же исследовательском стенде дала 166. По правилам сообщества Linux OpenAI раскрыла мейнтейнерам 304 критические находки с кандидатными патчами, исправление остальных ещё в работе. А в Brotli, библиотеке сжатия, которую использует в том числе Node.js, GPT-6 Cyber вместе с другими моделями OpenAI помогла показать, как критическая уязвимость ведёт к удалённому выполнению кода в программах, которые от неё зависят.

В посте OpenAI среди тех, кто уже ищет уязвимости и ревьюит код с GPT-6 Cyber, названы команды безопасности Cisco, Calif и CodeRabbit. В анонсе в X компания добавляет к ним Mozilla и Palo Alto Networks. Пользуется моделью и сама OpenAI: в контролируемых red-team-кампаниях агенты на GPT-6 Cyber и других её моделях выстраивали цепочки уязвимостей, выбирались из microVM и выполняли код на хостах. По итогам компания патчила софт, ужесточала сетевые ограничения и сообщала о проблемах мейнтейнерам и вендорам.

Злоупотребления и критическая инфраструктура

Вместе с ростом возможностей OpenAI видит и больше попыток навредить, в том числе со стороны злоумышленников и групп, которые пытаются дистиллировать её модели. Поэтому в мониторинг добавили отдельную проверку на то, соответствуют ли действия модели полномочиям пользователя, при этом легитимную разработку эксплойтов он должен пропускать. Есть и точечные меры: во время скоординированного раскрытия критических уязвимостей в PHP OpenAI отслеживала попытки писать эксплойты против живых PHP-серверов, но защитникам, которые патчили свои системы, помогать продолжала.

На платформах Red и Blue ужесточили фильтры против помощи в атаках на промышленные системы управления и системы, от которых зависит безопасность людей. Модели Daybreak Red с ослабленными ограничениями в лабораторных условиях проверяла Dragos, компания по защите операционных технологий: запросы шли от разведки сети и инвентаризации устройств до вывода чувствительных данных и опасных действий с оборудованием. Стопроцентной блокировки OpenAI при этом не добивается. «Более высокая доля блокировок не всегда лучше», - пишет компания: многие из этих техник нужны и для легитимной работы, чтобы понимать системы, находить уязвимости и проверять, выдерживают ли исправления атаку.