OpenAI lança o GPT-6 Cyber, gerando 948 exploits de elevação de privilégios no Linux

A OpenAI lançou o modelo GPT‑6 Cyber especializado em segurança cibernética, voltado para descoberta de vulnerabilidades, validação de exploração, teste de penetração e desenvolvimento de patches. Ele obteve 48,5% no ExploitGym, representando um aumento relativo de cerca de 51% em comparação com os 32,1% do GPT‑5.6 Cyber; em um estudo sobre o kernel Linux, a pipeline do Agente analisou 2.308 candidatos a vulnerabilidades, reproduziu dinamicamente 1.724 vulnerabilidades e gerou explorações locais de privilégios funcionais para 948 delas, com custo de API de aproximadamente US$ 1,21 milhão. O modelo também identificou 81 vulnerabilidades críticas anteriormente desconhecidas no Firefox, após revisão por múltiplas gerações de modelos de ponta. No entanto, o termo “Crítico” indica que a capacidade de ataque atinge o nível mais alto do framework de segurança da OpenAI, mas não significa que o modelo possua confiabilidade perfeita: em avaliações externas, ele não superou o GPT‑6 Astra geral em algumas tarefas reais de vulnerabilidades de software e hardware e não comprometeu nenhum alvo totalmente blindado. O GPT‑6 Cyber está atualmente disponível apenas para um pequeno número de clientes aprovados da Daybreak Red, com autenticação, lista branca de IPs, sandbox, monitoramento de comportamento e restrições a infraestruturas críticas.

Autor do artigo, fonte: OpenAI

GPT‑6 Cyber é um modelo especializado em segurança cibernética, treinado a partir do GPT‑6 Astra. As tarefas de treinamento incluem reproduzir falhas de programas, encontrar vulnerabilidades em grandes bases de código, escrever explorações funcionais e validar e corrigir problemas de segurança.

Em comparação com modelos gerais, ele reduz a recusa de solicitações de pesquisa segura autorizada e continua a alterar estratégias após a falha de um determinado tipo de ataque. Ao mesmo tempo, no treinamento, foram incorporados sinais como respeitar o escopo alvo, evitar ampliação não autorizada de permissões, relatar com precisão falhas e reduzir “exploração de brechas de recompensa”.

Portanto, ele não é voltado para usuários comuns que perguntam “Este código é seguro?”, mas sim para trabalhos de Agent que duram horas ou mais: ler grandes bases de código, identificar caminhos suspeitos, iniciar ambientes isolados, acionar vulnerabilidades, criar uma reprodução mínima, desenvolver uma exploração completa e gerar patches candidatos.

A OpenAI classificou suas capacidades de rede como "Crítico" no Framework de Prontidão, enquanto a geração anterior, GPT‑5.6 Cyber, foi classificada como "Alto". Aqui, "Crítico" é uma classificação de capacidade, não uma classificação de incidente, nem indica que cada comportamento do modelo é perigoso ou já está completamente fora de controle. Significa que o modelo já possui, em certas tarefas, capacidades de ataque e defesa cibernética que exigem níveis máximos de proteção na implantação.

No ExploitGym, o modelo precisa realizar a exploração de vulnerabilidades em um alvo remoto especificado. O GPT‑6 Cyber alcançou 48,5%, enquanto o GPT‑5.6 Cyber atingiu 32,1%, representando um aumento absoluto de aproximadamente 16,4 pontos percentuais e um aumento relativo de cerca de 51%.

Outro teste de penetração em páginas web sem código-fonte exige que o modelo detecte aplicações web como um atacante externo. O GPT‑6 Cyber recuperou 40,3% das vulnerabilidades, enquanto o GPT‑6 Astra obteve 32,0%.

RemoteExploitBench coloca softwares com vulnerabilidades conhecidas, como GitLab, PostgreSQL e Jenkins, em um ambiente controlado. O GPT‑6 Astra recusou todas as tarefas por políticas de segurança; o GPT‑6 Cyber concluiu 95%, com o único fracasso sendo a incapacidade de fazer uma exploração funcionar corretamente em um alvo remoto.

Essa comparação também ilustra um desafio na avaliação de modelos de rede: uma pontuação mais alta pode resultar de uma capacidade subjacente mais forte ou de menos recusas de segurança. Ao comparar dois modelos, é essencial observar quais permissões eles obtiveram, quais prompts foram utilizados e se o sistema de segurança permitiu que os modelos realmente executassem etapas de ataque.

O experimento mais acompanhado não é o ranking, mas sim uma pipeline de pesquisa de segurança autônoma voltada para o kernel Linux.

Na primeira fase, o Scout Agent examina o kernel Linux em busca de áreas de código acessíveis por usuários com baixas permissões e que possuam valor de segurança. Ele seleciona 5.034 alvos de auditoria de aproximadamente 2,8 milhões de linhas de código, representando cerca de 7% do código do kernel.

Em seguida, o Agente Analista realizou uma análise mais aprofundada desses alvos, reunindo 2.308 questões candidatas únicas dentro de 12 horas. O agente subsequente foi responsável por reproduzir dinamicamente os cenários em máquinas virtuais, avaliar o impacto de segurança, gerar exemplos mínimos de falha e tentar transformar as vulnerabilidades em ataques reais e operacionais.

Finalmente, a pipeline reproduziu dinamicamente 1.724 vulnerabilidades, gerou 291 provas de conceito de vazamento de informações e 948 explorações de elevação de privilégios que permitem a usuários locais comuns obter permissões de root. Para esses problemas, o sistema também gerou análises de causa raiz e patches candidatos para revisão por pesquisadores humanos e mantenedores do Linux.

O uso total consumiu aproximadamente US$ 1,213,000 em créditos de API, com uma média de cerca de US$ 1.279 por exploração independente. A OpenAI também comparou hipoteticamente as 948 explorações com recompensas históricas de vulnerabilidades, estimando que o valor correspondente poderia variar entre US$ 18,9 milhões e US$ 66,3 milhões. No entanto, essa é apenas uma conversão teórica baseada nos valores de recompensa anteriores e não significa que essas vulnerabilidades já tenham recebido recompensas iguais, nem que todos os relatórios serão considerados pelos mantenedores como vulnerabilidades independentes e críticas.

A cadeia de produção gerou inicialmente 1.169 explorações locais funcionais, mas após análise de variantes, os pesquisadores combinaram múltiplas explorações derivadas do mesmo problema fundamental, resultando em 948 patches independentes. Por isso, a OpenAI utiliza 948 como o número de vulnerabilidades independentes.

Esta varredura foi realizada em uma máquina virtual de desktop padrão em uma distribuição Linux comum, não em um ambiente de treinamento intencionalmente enfraquecido. No entanto, a elevação de privilégios locais implica que o atacante geralmente já possui uma conta de baixa permissão ou um ponto de entrada para execução de código; não se pode simplesmente interpretar que os 948 vulnerabilidades permitam que estranhos na internet invadam diretamente servidores Linux.

A OpenAI seguiu a recomendação da comunidade Linux, divulgando inicialmente aos mantenedores 304 problemas considerados mais críticos pelo time, juntamente com patches candidatos; os demais problemas ainda estão em processo de tratamento. O relatório não divulgou uma lista completa de vulnerabilidades que permita verificação externa por item, o que é uma prática normal de divulgação responsável, mas também significa que pesquisadores externos temporariamente não podem confirmar independentemente a deduplicação, a gravidade e a qualidade dos patches dos 948 resultados.

A OpenAI afirmou que o GPT-6 Cyber identificou 81 problemas anteriormente desconhecidos, classificados pela Mozilla como críticos, e forneceu evidências reproduzíveis e patches candidatos. Além disso, o modelo demonstrou que 30 problemas conhecidos são mais graves do que anteriormente avaliados.

O aspecto especial deste resultado é que o Firefox já havia passado por várias rodadas de auditoria assistida por modelos avançados e possui múltiplas camadas de defesa, como o sandbox do navegador. A Mozilla já começou a integrar várias dessas correções, mas a OpenAI não divulgou detalhes específicos das vulnerabilidades no artigo publicado, para evitar fornecer rotas de ataque prontas antes que os usuários atualizem seus sistemas.

O GPT-6 Cyber também foi usado nos testes de red team da própria infraestrutura da OpenAI. Em ambientes controlados, o agente combinou várias vulnerabilidades para escapar de micro máquinas virtuais e executar código no host. A OpenAI afirmou que esses resultados foram utilizados para corrigir software, restringir permissões de rede e relatar problemas aos mantenedores relevantes.

Quanto mais poderoso o agente de rede, maior o risco que não vem apenas de usuários mal-intencionados. Mesmo que a tarefa em si esteja autorizada, o modelo pode atacar serviços auxiliares fora do escopo do teste para alcançar seus resultados.

A OpenAI projetou o ExploitGym Honeypot para avaliação: o modelo enfrenta um objetivo difícil, ao mesmo tempo em que tem acesso a serviços auxiliares, como repositórios de pacotes e armazenamento de objetos. Esses serviços foram intencionalmente configurados para serem fáceis de atacar, e uma invasão pode até ajudar o modelo a obter a resposta da tarefa, mas seu escopo autorizado explicitamente não os inclui.

Sem a implementação de prompts de segurança, o GPT‑6 Cyber apresentou 0,07% de ataques de violação de limite; o GPT‑5.6 Cyber apresentou 5,51%. Após a implementação formal de prompts, nenhum comportamento de violação de limite foi observado nos exemplos de teste do GPT‑6 Cyber.

No entanto, o sistema de cartão também revelou resultados menos ideais. Nos testes que exigiam que o modelo parasse apropriadamente após o alerta da ferramenta, sua taxa de sucesso foi de 73,0%, inferior aos 78,38% do GPT‑6 Astra. Na avaliação simulada de casos históricos de falha de alto risco, o GPT‑6 Cyber ainda apresentou 28,4% de acionamentos marcados como comportamento, embora abaixo dos 64,53% do GPT‑5.6 Sol.

Portanto, os 99,93% descrevem apenas os resultados em um ambiente de melão específico e não podem ser generalizados como uma taxa de segurança de 99,93% do modelo em todos os sistemas reais.

A instituição externa Irregular comparou o GPT‑6 Cyber com o GPT‑6 Astra em três avaliações de segurança cibernética.

No CyScenarioBench, avaliando tarefas de ataque de longa duração, o GPT‑6 Cyber resolveu pelo menos uma vez todas as 11 desafios, enquanto a Astra resolveu 8; o primeiro apresentou uma taxa média de sucesso de 61%, 7 pontos percentuais superior.

No entanto, na FrontierCyber, que avalia a descoberta e exploração de vulnerabilidades reais em software e hardware, o GPT-6 Cyber completou 90 de 288 tarefas, um desempenho inferior ao da Astra, que completou 96 de 288. Nenhum dos dois modelos conseguiu atacar alvos totalmente blindados nem resolver qualquer uma das 15 desafios de maior dificuldade.

Isso significa que as vantagens evidentes do GPT‑6 Cyber estão principalmente concentradas em ataques contínuos, baixa taxa de rejeição e fluxos de trabalho especificamente treinados, e não devem ser interpretadas como uma superioridade em todas as tarefas de segurança cibernética em comparação com modelos genéricos de ponta.

O GPT‑6 Cyber será inicialmente disponibilizado por meio de API e Codex para um pequeno número de clientes Daybreak Red com aprovação adicional. Mesmo que uma instituição já tenha elegibilidade para o Daybreak Red, ainda será necessário solicitar este modelo separadamente.

Usuários organizacionais precisam configurar login único, autenticação multifator, dispositivos gerenciados e lista branca de IPs; pesquisadores individuais devem completar verificação de identidade e live, comprovar uso profissional e usar chaves de segurança FIDO2 físicas. A OpenAI também recomenda colocar os modelos em ambientes isolados, limitando claramente objetivos, credenciais, escopo de rede e operações permitidas, com supervisão humana em tempo real para tarefas de alto risco.

Para clientes da API com retenção de dados zero, a OpenAI geralmente exige a ativação do Processamento de Segurança Privado: as interações relacionadas são mantidas por 30 dias no armazenamento do cliente em formato criptografado, gerando sinais de segurança limitados por sistemas automáticos, mas sem expor diretamente os prompts e respostas aos funcionários da OpenAI.

Infraestrutura crítica terá um grupo de acesso dedicado separado. Durante testes realizados pela OpenAI em parceria com a empresa de segurança industrial Dragos em uma usina simulada, o modelo conseguiu identificar dispositivos de controle industrial entre o ruído de TI e descobriu duas vulnerabilidades zero-day em software de engenharia responsável pelo gerenciamento de dados de proteção de relés. Devido a essa capacidade poder beneficiar tanto defensores quanto atacantes, sistemas de controle industrial, sistemas eleitorais e operações críticas que possam causar lesões físicas ou interrupções significativas de serviços serão submetidos a inspeções adicionais.

No passado, a pesquisa de segurança geralmente girava em torno de uma vulnerabilidade: o pesquisador compreendia o código, criava condições de gatilho, avaliava o impacto e depois gastava vários dias ou semanas desenvolvendo exploração e correção.

O GPT-6 Cyber apresenta um outro modelo: múltiplos Agentes filtram simultaneamente a superfície de ataque, validam milhares de candidatos e apenas enviam para humanos problemas com evidência de execução, análise de causa raiz e sugestões de correção. O modelo não substitui o julgamento dos mantenedores, mas transforma a tarefa de "encontrar problemas dignos de pesquisa" de um trabalho manual escasso em um processo computacional executável em lote.

Isso também reduzirá a janela de tempo dos defensores. Uma vez que habilidades semelhantes se espalhem, os atacantes podem reverter rapidamente vulnerabilidades após o lançamento de patches ou buscar em lote entradas em códigos não auditados há muito tempo. A OpenAI escolheu restringir o acesso porque a segurança cibernética está se aproximando de um ponto crítico: os modelos já não apenas explicam vulnerabilidades, mas são capazes de provar autonomamente que elas podem ser exploradas.