OpenAI、GPT-6 Cyberをリリースし、948のLinux特権昇格エクスプロイトを生成

OpenAIは、脆弱性発見、脆弱性利用検証、ペネトレーションテスト、パッチ開発に特化したサイバーセキュリティモデル「GPT‑6 Cyber」を発表しました。このモデルはExploitGymで48.5%のスコアを記録し、GPT‑5.6 Cyberの32.1%に対して約51%の相対的向上を達成しました。あるLinuxカーネルの研究では、Agentパイプラインが2,308個の候補を分析し、1,724個の脆弱性を動的に再現、そのうち948個に対して実際に動作するローカルエスカレーション利用を生成しました。APIコストは約121万ドルでした。また、複数世代の最先端モデルによる検査を経たFirefoxにおいて、81個の以前は未知だった深刻な脆弱性を発見しました。ただし、「Critical」という評価は、攻撃能力がOpenAIのセキュリティフレームワークの最上位レベルに達したことを示すものであり、モデルが完璧な信頼性を備えていることを意味しません。外部評価では、一部の実際のソフトウェア・ハードウェア脆弱性タスクで汎用GPT‑6 Astraを上回らず、完全に強化されたターゲットを突破することもできませんでした。GPT‑6 Cyberは現在、限られた承認を受けたDaybreak Red顧客のみに提供されており、認証、IPホワイトリスト、サンドボックス、行動監視、重要なインフラ制限が適用されています。

文章作者、出典：OpenAI

GPT‑6 Cyberは、GPT‑6 Astraをさらにトレーニングして構築された、サイバーセキュリティ専用モデルです。トレーニングタスクには、プログラムクラッシュの再現、大規模なコードベースにおける脆弱性の発見、実行可能なエクスプロイトの作成、およびセキュリティ問題の検証と修正が含まれます。

一般的モデルと比較して、認可されたセキュリティ研究リクエストの拒否を減らし、ある攻撃手法が失敗した後も戦略を変更し続けます。同時に、目標範囲の遵守、権限の勝手な拡大回避、失敗の正確な報告、および「報酬の抜け穴」の利用削減などのシグナルをトレーニングに組み込みました。

したがって、これは一般ユーザーが「このコードは安全ですか？」と尋ねるのではなく、大規模なコードベースを読み取り、疑わしいパスを特定し、隔離環境を起動し、脆弱性をトリガーし、最小限の再現を作成し、完全な攻撃コードを開発し、候補パッチを生成する数時間にわたる、あるいはそれ以上のAgentの作業を対象としています。

OpenAIは、そのネットワーク能力をPreparedness Frameworkにおいて「Critical」と評価し、前世代のGPT‑5.6 Cyberは「High」と評価されました。ここでいう「Critical」は能力レベルを示すものであり、事故の評価ではなく、モデルのすべての行動が危険であるまたは完全に制御を失っていることを意味するものではありません。これは、モデルが一部のタスクにおいて、最高度のデプロイ防護を必要とするネットワーク攻防能力を有していることを意味します。

ExploitGymでは、モデルが指定されたリモートターゲットに対して脆弱性を悪用する必要があります。GPT‑6 Cyberは48.5％、GPT‑5.6 Cyberは32.1％であり、絶対的な向上は約16.4ポイント、相対的な向上は約51％です。

ソースコードなしのWebアプリケーション渗透評価では、モデルが外部攻撃者のようにWebアプリを調査することが求められます。GPT‑6 Cyberは40.3%の脆弱性を特定し、GPT‑6 Astraは32.0%でした。

RemoteExploitBenchは、GitLab、PostgreSQL、Jenkinsなど既知の脆弱性を抱えるソフトウェアを制御された環境に配置する。GPT‑6 Astraはセキュリティポリシーによりすべてのタスクを拒否した。GPT‑6 Cyberは95％を完了し、唯一の失敗は、あるエクスプロイトをリモートターゲット上で正常に動作させられなかったことだった。

この比較は、ネットワークモデルの評価における一つの課題を示しています：より高いスコアは、より強力な基本能力によるものである可能性もあれば、より少ないセキュリティ拒否によるものである可能性もあります。二つのモデルを比較する際には、それぞれがどのような権限を得たか、どのようなプロンプトを使用したか、そしてセキュリティシステムがモデルの実際の攻撃ステップの実行を許可したかを同時に確認する必要があります。

最も注目された実験はランキングではなく、Linuxカーネル向けの自律的なセキュリティ研究パイプラインである。

第1段階では、Scout AgentがLinuxカーネルを閲覧し、低権限ユーザーがアクセス可能であり、セキュリティ上の価値を持つコード領域を特定します。これにより、約280万行のコードから5,034個の監査対象が選出され、カーネルコードの約7％を占めます。

その後、アナリストエージェントはこれらのターゲットをさらに分析し、12時間以内に2308個の重複を除去した候補質問を整理しました。後続のエージェントは、仮想マシン内で動的に再現を行い、セキュリティへの影響を判断し、最小のクラッシュサンプルを生成するとともに、脆弱性を実際の実行可能な攻撃に変換しようと試みます。

最終的に、パイプラインは1,724個の脆弱性を動的に再現し、291個の情報漏洩の概念実証、および一般のローカルユーザーがroot権限を取得できる948個の特権昇格のエクスプロイトを生成しました。これらの問題に対して、システムは原因分析と候補パッチも生成し、人間の研究者およびLinuxメンテナーによるレビューを可能にしています。

全体の運用には約121万3,000ドルのAPIクォータが消費され、各独立特権昇格の利用につき平均で約1,279ドルです。OpenAIはまた、948の利用を過去の脆弱性報奨金と仮想的に比較し、その価値は1,890万ドルから6,630万ドルに達する可能性があると推定しました。ただし、これは過去の報奨金額に基づく理論的な換算に過ぎず、これらの脆弱性が同額の報奨金を実際に獲得したことを意味するものではなく、すべての報告がメンテナーによって独立した高リスク脆弱性と認定されるわけでもありません。

パイプラインは一度に1,169個の実行可能なローカルエスカレーションの利用を生成したが、研究者が変異体分析を実施した結果、同じ根本的な問題から生じる複数の利用を統合し、最終的に948個の独立したパッチを導出した。そのため、OpenAIは948を独立した脆弱性の数として使用している。

このスキャンは、意図的に弱化されたハンティング環境ではなく、一般的なLinuxディストリビューション上の標準的なデスクトップ仮想マシンを対象としています。ただし、ローカル権限昇格とは、攻撃者がすでに低権限アカウントまたはコード実行の入口を獲得していることを意味し、948個の脆弱性すべてがインターネット上の不特定の人物にLinuxサーバーを直接攻撃させる可能性があるとは単純に解釈できません。

OpenAIはLinuxコミュニティの推奨に従い、チームが最も重要と判断した304の問題と候補パッチをまずメンテナーに開示し、その他の問題は現在処理中である。報告書には、外部が個別に検証できる完全な脆弱性リストは含まれていない。これは責任ある開示の一般的な慣行であるが、その結果、外部の研究者は948件の結果の重複除去、深刻度、パッチの品質を独立して確認できない状況となっている。

OpenAIは、GPT‑6 CyberがFirefoxで81個の以前は未知で、Mozillaが高リスクと分類していた問題を発見し、再現可能な証拠と候補パッチを提供した。さらに、30個の既知の問題について、モデルがそれらが以前の評価よりも深刻であることを証明した。

この結果の特異な点は、Firefoxがこれまでに複数回の最先端モデルによる監査を受けており、ブラウザサンドボックスなどの多重防御を備えていることである。Mozillaはすでにそのうちの複数の修正を統合し始めたが、OpenAIはユーザーが更新を完了する前に攻撃経路が提供されるのを防ぐため、公開記事で脆弱性の詳細を一つずつ明示していない。

GPT-6 Cyberは、OpenAI自身のインフラストラクチャのレッドチームテストにも使用されています。制御された環境で、エージェントは複数の脆弱性を組み合わせてマイクロ仮想マシンから脱出し、ホストマシン上でコードを実行しました。OpenAIは、これらの結果をソフトウェアのパッチ適用、ネットワーク権限の強化、および関連するメンテナーへの問題報告に活用したと述べています。

能力が強いネットワークエージェントほど、リスクは悪意のあるユーザーだけでなく、タスク自体が許可されていても、モデルが結果を得るためにテスト範囲外の補助サービスを攻撃する可能性がある。

OpenAIはExploitGym Honeypot評価を設計しました：モデルは困難な目標に直面しながら、ソフトウェアパッケージリポジトリやオブジェクトストレージなどの補助サービスにアクセスできます。これらのサービスは意図的に攻撃されやすいように設定されており、侵入後はモデルがタスクの答えを得るのに役立つ可能性がありますが、権限範囲にはこれらが明示的に含まれていません。

セキュリティプロンプトをデプロイしていない場合、GPT‑6 Cyberは0.07%の確率で境界外サービスを攻撃した。一方、GPT‑5.6 Cyberは5.51%であった。正式なデプロイプロンプトを追加した後、GPT‑6 Cyberはテストサンプルで境界外行動は観察されなかった。

しかし、システムカードはそれほど理想的ではない結果も明らかにしました。ツールが警告を発した際にモデルが適切に停止するというテストでは、成功率为73.0％で、GPT‑6 Astraの78.38％を下回りました。歴史的な高リスク失敗事例を再現するシミュレーション評価では、GPT‑6 Cyberでも28.4％の実行トリガーが不適切な行動としてマークされましたが、これはGPT‑5.6 Solの64.53％よりは低かったです。

したがって、99.93%は特定の蜜罐環境での結果を示すにすぎず、このモデルがすべての現実システムで99.93%のセキュリティ率を有すると一般化することはできません。

外部機関Irregularは、GPT‑6 CyberとGPT‑6 Astraを3つのサイバーセキュリティ評価で比較しました。

CyScenarioBenchで長時間攻撃タスクを評価したところ、GPT‑6 Cyberは11のチャレンジすべてを少なくとも1回解決し、Astraは8つを解決した。前者の平均成功率は61％で、7ポイント高い。

しかし、実際のソフトウェアおよびハードウェアの脆弱性の発見と悪用を評価するFrontierCyberにおいて、GPT-6 Cyberは288項目中90項目を完了し、Astraの288項目中96項目よりも低い成績となりました。両モデルとも、完全に強化されたターゲットを攻撃できず、15の最難度チャレンジのいずれも解決できませんでした。

これは、GPT‑6 Cyberの顕著な優位性が、継続的な攻撃、低拒否率、および専門的にトレーニングされたワークフローに限定されていることを意味し、あらゆるサイバーセキュリティタスクで汎用フラグシップモデルを上回っているとは解釈できないということです。

GPT‑6 Cyberは、APIとCodexを通じて、限定的に追加承認を受けたDaybreak Red顧客にのみ提供されます。機関がすでにDaybreak Redの資格を有していても、このモデルの利用には別途申請が必要です。

組織ユーザーはシングルサインオン、多要素認証、管理済みデバイス、IPホワイトリストの設定が必要です。個人研究者は本人確認と生体認証を完了し、専門的用途を証明するとともに、物理的なFIDO2セキュリティキーを使用する必要があります。OpenAIはまた、モデルを隔離環境に配置し、目的、認証情報、ネットワーク範囲、許可される操作を明確に制限することを推奨しています。高リスクタスクには人間によるリアルタイム監督が必要です。

一部のゼロデータ保持APIクライアントに対して、OpenAIはプライベートセーフティプロセッシングの有効化を要求しています。関連するやり取りは、暗号化された形で顧客のストレージに30日間保持され、自動システムによって限定的なセキュリティシグナルが生成されますが、プロンプトと回答はOpenAIの従業員に直接表示されることはありません。

重要なインフラストラクチャには専用のアクセスグループを設置する。OpenAIと工業セキュリティ企業Dragosが発電所のシミュレーションでテストしたところ、モデルはITノイズから工業制御装置を特定し、リレー保護データを管理するエンジニアリングソフトウェア内で2つのゼロデイ脆弱性を発見した。このような能力が防御者と攻撃者の両方に利用される可能性があるため、工業制御、選挙システム、および人身傷害または重大なサービス停止を引き起こす可能性のあるタスクには追加の検査が行われる。

過去、セキュリティ研究は通常、1つの脆弱性を中心に展開されました：研究者はコードを理解し、トリガー条件を構築し、影響を評価した後、数日から数週間かけてエクスプロイトとパッチを作成しました。

GPT-6 Cyberは、複数のエージェントが同時に攻撃面をスクリーニングし、数千の候補を検証して、実行証拠、根本原因分析、パッチ提案を備えた問題のみを人間に渡すという新たなモードを示しています。モデルはメンテナーの判断を置き換えるのではなく、「調査価値のある問題を見つける」という希少な手作業を、バッチ処理可能な計算プロセスに変換します。

これにより、防御者の時間的余裕も短縮される。同様の能力が広まれば、攻撃者はパッチ公開後に脆弱性をより迅速に逆解析したり、長期間監査されていないコードの中で一括して侵入ポイントを探し出す可能性がある。OpenAIがアクセス制限を選択したのは、サイバーセキュリティが臨界点に近づいているためだ。モデルはもはや脆弱性を説明するだけでなく、脆弱性が実際に悪用可能であることを自ら証明できるようになった。