OpenAI udostępnia GPT-6 Cyber. Model wykrył setki luk w Linuksie i Firefoksie

OpenAI wprowadza GPT-6 Cyber, model przeznaczony do zaawansowanych badań nad cyberbezpieczeństwem. Narzędzie potrafi wykrywać podatności, przygotowywać exploity i pomagać w tworzeniu poprawek. Firma wykorzystała je już do analizy jądra Linuksa i przeglądarki Firefox, a teraz chce rozszerzyć dostęp do swoich narzędzi dla specjalistów zajmujących się ochroną systemów.

GPT-6 Cyber dostępny jest w ramach programu Daybreak Red, przeznaczonego dla zweryfikowanych badaczy prowadzących autoryzowane testy bezpieczeństwa. Według OpenAI, w benchmarku ExploitGym model ten osiągnął wynik 48,5 proc., wobec 32,1 proc. w przypadku poprzedniej wersji GPT-5.6 Cyber. Firma podkreśla też, że nowe narzędzie znacznie lepiej przestrzega ograniczeń narzuconych przez badaczy. W przeprowadzonych testach model nie podejmował działań poza wyznaczonym zakresem w 99,93 proc. przypadków, a po dodatkowym instruktażu wynik wzrósł do 100 proc.

Setki podatności w Linuksie i Firefoksie

OpenAI wykorzystało model do opracowania 948 exploitów typu privilege escalation dla systemu Linux oraz wykrycia 81 wcześniej nieznanych luk o wysokim stopniu zagrożenia w przeglądarce Firefox. GPT-6 Cyber pomógł również przygotować propozycje poprawek. Mozilla udostępniła już aktualizacje usuwające część wykrytych podatności. Z modelu korzystają także zespoły bezpieczeństwa w Cisco i CodeRabbit.

Firma rozwija przy tym cały program Daybreak. Daybreak Blue wspierać ma obrońców w weryfikacji podatności i sprawdzaniu poprawek, natomiast Daybreak Red zapewni dostęp do bardziej zaawansowanych funkcji, w tym tworzenia exploitów i testowania zdalnych systemów. OpenAI zapowiedziało również inicjatywę o wartości 1 mld dolarów, która ma wesprzeć specjalistów chroniących infrastrukturę krytyczną, m.in. sieci energetyczne i wodociągowe.

Obrońcy nie nadążą za rozwojem AI?

Coraz większe możliwości narzędzi do wykrywania luk skłaniają jednak do postawienia pytania, czy zespoły odpowiedzialne za bezpieczeństwo będą w ogóle w stanie wykorzystać ich możliwości. Specjaliści muszą bowiem analizować coraz więcej zgłoszeń i wdrażać poprawki, często przy ograniczonych zasobach. Przykładowo, Max Justicz, dyrektor ds. technicznych i współzałożyciel startupu Charge Robotics, sam wydał około 5 tys. dolarów na subskrypcje i tokeny, aby znaleźć zaledwie kilka podatności, informuje TechCrunch.

Pojawiają się też zastrzeżenia dotyczące samego dostępu do modeli. Wspomniany Max Justicz zwrócił uwagę, że OpenAI miało ograniczyć możliwości programu Daybreak Blue, co zmniejszyło jego przydatność w wyszukiwaniu luk. Z jednej strony restrykcje utrudniają wykorzystanie narzędzi przez cyberprzestępców. Z drugiej, eksperci obawiają się, że ograniczony dostęp do najbardziej zaawansowanych modeli osłabi pozycję obrońców, podczas gdy atakujący mogą korzystać z otwartych modeli pozbawionych zabezpieczeń.

Sami przedstawiciele OpenAI przyznają, że pozostało niewiele czasu na przygotowanie infrastruktury do nowej rzeczywistości. Eric Wallace z zespołu technicznego firmy poinformował, że OpenAI przeznacza znaczną część swoich mocy obliczeniowych na wykrywanie i usuwanie luk w projektach open source. Sama analiza Linuksa kosztowała jednak 1,2 mln dolarów. Skala takich wydatków pokazuje, że automatyzacja badań nad bezpieczeństwem może pomóc w wykrywaniu podatności, ale nie rozwiązuje problemu ograniczonych zasobów potrzebnych do ich usuwania.