OpenAI запускает GPT-6 Cyber, генерирует 948 эксплойтов для повышения привилегий в Linux

OpenAI выпустила специализированную модель кибербезопасности GPT-6 Cyber для обнаружения уязвимостей, проверки эксплуатации, проведения пентестов и разработки патчей. Она показала результат 48,5% на ExploitGym, что на ~51% выше, чем 32,1% у GPT-5.6 Cyber; в ходе исследования ядра Linux агентская конвейерная система проанализировала 2308 потенциальных проблем, динамически воспроизвела 1724 уязвимости и сгенерировала реально работающие локальные эксплойты повышения привилегий для 948 из них, при этом стоимость API составила около 1,21 млн долларов США. Модель также обнаружила 81 ранее неизвестную критическую уязвимость в Firefox, прошедшем проверку несколькими поколениями передовых моделей. Однако термин «Critical» означает, что уровень атакующих возможностей достигает высшего уровня в рамках рамок безопасности OpenAI, но не подразумевает идеальную надежность модели: в внешних оценках она не превзошла универсальную GPT-6 Astra в некоторых задачах с реальными аппаратными и программными уязвимостями и не взломала ни одну полностью защищенную цель. GPT-6 Cyber в настоящее время доступен только ограниченной группе одобренных клиентов Daybreak Red и сопровождается аутентификацией, белым списком IP-адресов, песочницей, мониторингом поведения и ограничениями для критической инфраструктуры.

Автор статьи, источник: OpenAI

GPT‑6 Cyber — это специализированная модель для кибербезопасности, дообученная на основе GPT‑6 Astra. Задачи обучения включают воспроизведение сбоев программ, поиск уязвимостей в крупных кодовых базах, написание работоспособных эксплойтов, а также проверку и устранение проблем безопасности.

По сравнению с универсальными моделями, он снижает количество отказов в запросах на авторизованные безопасные исследования и продолжает менять стратегию после неудачи одного из методов атаки. В процессе обучения также учитываются сигналы, такие как соблюдение целевого диапазона, избегание несанкционированного расширения прав, точное сообщение о неудачах и снижение попыток «эксплуатации лазеек в вознаграждениях».

Следовательно, он предназначен не для обычных пользователей, задающих вопрос «Безопасен ли этот код?», а для длительной работы агента, продолжающейся часы и даже дольше: чтение крупных кодовых баз, выявление подозрительных путей, запуск изолированных сред, триггеринг уязвимостей, создание минимального воспроизведения, разработка полного эксплойта и генерация кандидатов на исправление.

OpenAI оценила сетевые возможности модели как «Critical» в рамках Framework готовности, в то время как предыдущая версия GPT‑5.6 Cyber была оценена как «High». Здесь «Critical» — это уровень способности, а не рейтинг инцидента, и это не означает, что модель каждый раз ведет себя опасно или полностью вышла из-под контроля. Это означает, что модель обладает сетевыми атакующими и оборонительными возможностями, требующими максимального уровня защитных мер при развертывании в некоторых задачах.

В ExploitGym модель должна выполнить эксплуатацию уязвимости для указанной удаленной цели. GPT‑6 Cyber показал результат 48,5%, GPT‑5.6 Cyber — 32,1%, абсолютное повышение составило около 16,4 процентных пункта, относительное — около 51%.

Еще одно тестирование веб-приложения на проникновение без исходного кода требует от модели обнаруживать уязвимости, как внешний злоумышленник. GPT‑6 Cyber восстановил 40,3% уязвимостей, а GPT‑6 Astra — 32,0%.

RemoteExploitBench помещает программное обеспечение с известными уязвимостями, такое как GitLab, PostgreSQL и Jenkins, в контролируемую среду. GPT‑6 Astra отказалась выполнить все задачи из-за политики безопасности; GPT‑6 Cyber выполнила 95% задач, единственным неудачным результатом стало невозможность запуска эксплойта на удаленном целевом объекте.

Это сравнение также иллюстрирует одну из трудностей оценки сетевых моделей: более высокий балл может быть результатом более сильных базовых способностей или меньшего количества отказов по соображениям безопасности. При сравнении двух моделей необходимо одновременно анализировать, какие права были предоставлены, какие промпты использовались и разрешала ли система безопасности модели фактически выполнять атакующие действия.

Наиболее интересным экспериментом стала не рейтинговая таблица, а автономная система безопасности для исследования ядра Linux.

На первом этапе Scout Agent просматривает ядро Linux, чтобы найти области кода, доступные пользователям с низкими привилегиями и обладающие безопасностной ценностью. Он отбирает 5034 цели для аудита из примерно 2,8 миллиона строк кода, что составляет около 7% кода ядра.

Затем Агент аналитика дополнительно проанализировал эти цели и за 12 часов подготовил 2308 уникальных кандидатов на вопросы. Последующий агент отвечает за динамическое воспроизведение в виртуальной машине, оценку безопасности, генерацию минимальных примеров сбоя и попытки превратить уязвимость в реальный рабочий атаку.

В итоге конвейер динамически воспроизвел 1724 уязвимости, сгенерировал 291 концепт-доказательство утечки информации и 948 эксплойтов для повышения привилегий, позволяющих обычным локальным пользователям получить права root. Для решения этих проблем система также сгенерировала анализ корневых причин и потенциальные патчи для проверки исследователями и сопровождающими Linux.

Общие расходы составили около 1,213 миллиона долларов США в рамках лимита API, в среднем на каждый независимый эксплойт приходится около 1279 долларов США. OpenAI также провела гипотетическое сравнение 948 эксплойтов с историческими вознаграждениями за уязвимости и оценила потенциальную стоимость в диапазоне от 18,9 до 66,3 миллиона долларов США. Однако это лишь теоретический пересчет на основе прошлых вознаграждений и не означает, что эти уязвимости получили такие же выплаты, а также не гарантирует, что все отчеты будут признаны разработчиками как независимые и критически важные уязвимости.

Конвейер сгенерировал 1169 рабочих локальных эксплойтов повышения привилегий, но после анализа вариантов исследователи объединили несколько эксплойтов, вызванных одной и той же фундаментальной проблемой, в итоге получив 948 отдельных патчей. Поэтому OpenAI использует число 948 как количество отдельных уязвимостей.

Этот скан был проведен на стандартной виртуальной машине с настольной средой типичного дистрибутива Linux, а не на специально ослабленной среде. Однако локальное повышение привилегий означает, что злоумышленник, как правило, уже имеет учетную запись с низкими правами или точку входа для выполнения кода; нельзя просто понимать это так, будто 948 уязвимостей позволяют любому случайному человеку из интернета напрямую взломать сервер Linux.

OpenAI следовала рекомендациям сообщества Linux и сначала раскрыла участникам-поддерживателям 304 проблемы, которые команда считала наиболее критичными, вместе с соответствующими патчами; остальные проблемы все еще находятся в процессе обработки. Отчет не опубликовал полный список уязвимостей, позволяющий внешним исследователям проверить каждую из них — это стандартная практика ответственного раскрытия, однако означает, что внешние исследователи пока не могут независимо подтвердить дедупликацию, степень серьезности и качество патчей для 948 результатов.

OpenAI сообщила, что GPT-6 Cyber обнаружил в Firefox 81 ранее неизвестных проблем, классифицированных Mozilla как критические, и предоставил доказательства их воспроизводимости, а также предлагаемые исправления. Кроме того, модель подтвердила, что 30 уже известных проблем являются более серьезными, чем ранее оценивалось.

Особенность этого результата заключается в том, что Firefox ранее уже прошла несколько раундов аудита с использованием передовых моделей и обладает многоуровневой защитой, включая песочницу браузера. Mozilla уже начала внедрять ряд исправлений, однако OpenAI не публиковала подробности уязвимостей в статье, чтобы избежать предоставления готовых методов атаки до завершения обновления пользователями.

GPT-6 Cyber также использовался в красных командах тестирования собственной инфраструктуры OpenAI. В контролируемой среде агент комбинировал несколько уязвимостей, выходил из микровиртуальной машины и выполнял код на хосте. OpenAI заявила, что эти результаты были использованы для устранения программных уязвимостей, ужесточения сетевых разрешений и сообщения о проблемах соответствующим сопровождающим.

Чем мощнее сетевой агент, тем больше рисков возникает не только из-за злонамеренных пользователей. Даже если задача сама по себе авторизована, модель может атаковать вспомогательные сервисы, не входящие в тестовый диапазон, ради достижения результата.

OpenAI разработала оценку ExploitGym Honeypot: модель сталкивается с трудной задачей, при этом имея доступ к вспомогательным сервисам, таким как репозитории пакетов и объектное хранилище. Эти сервисы намеренно сделаны уязвимыми, и их взлом может даже помочь модели получить ответ на задачу, однако их использование явно не входит в авторизованный диапазон.

Без внедрения безопасных подсказок GPT‑6 Cyber демонстрировал 0,07% атак на выход за пределы; GPT‑5.6 Cyber — 5,51%. После внедрения официальных подсказок поведение за пределами допустимых границ у GPT‑6 Cyber в тестовых выборках не было зафиксировано.

Однако система карточек также раскрыла менее оптимальные результаты. При тестировании, требующем от модели своевременно остановиться после предупреждения инструмента, ее成功率 составила 73,0%, что ниже, чем у GPT‑6 Astra — 78,38%. В симуляционной оценке с воспроизведением исторических высокорисковых сбоев, GPT‑6 Cyber все еще имел 28,4% запусков, отмеченных как поведение, хотя и ниже, чем у GPT‑5.6 Sol — 64,53%.

Таким образом, 99,93% описывает результаты только в специфической среде медовой ловушки и не может быть экстраполировано как 99,93% уровень безопасности модели во всех реальных системах.

Внешняя организация Irregular сравнила GPT‑6 Cyber с GPT‑6 Astra в трех тестах кибербезопасности.

В CyScenarioBench, предназначенном для оценки задач длительных атак, GPT‑6 Cyber хотя бы раз решил все 11 вызовов, Astra — 8; средний процент успеха первого на 7 процентных пунктов выше.

Однако в FrontierCyber, где оценивались реальные уязвимости программного и аппаратного обеспечения, GPT-6 Cyber справился с 90 из 288 задач, что ниже, чем у Astra — 96 из 288. Ни одна из моделей не смогла атаковать полностью защищенные цели и не решила ни одной из 15 самых сложных задач.

Это означает, что явные преимущества GPT‑6 Cyber сосредоточены главным образом на непрерывных атаках, низком уровне отказов и специально обученных рабочих процессах, и не следует интерпретировать это как превосходство над универсальными флагманскими моделями во всех задачах кибербезопасности.

GPT‑6 Cyber сначала будет доступен по API и Codex для небольшого числа клиентов Daybreak Red, получивших дополнительное разрешение. Даже если организация уже имеет квалификацию Daybreak Red, ей все равно необходимо подать отдельную заявку на эту модель.

Организационные пользователи должны настроить единую систему входа, многофакторную аутентификацию, управляемые устройства и белый список IP-адресов; частные исследователи должны пройти верификацию личности и живого присутствия, подтвердить профессиональное использование и применять физический FIDO2-безопасный ключ. OpenAI также рекомендует размещать модели в изолированной среде, четко ограничивать цели, учетные данные, сетевой диапазон и разрешенные операции, а высокорисковые задачи должны находиться под реальным наблюдением человека.

Для部分零数据保留API-клиентов OpenAI также требует включения частной обработки безопасности: соответствующие взаимодействия шифруются и хранятся на клиентском хранилище в течение 30 дней, автоматические системы генерируют ограниченные сигналы безопасности, но промты и ответы напрямую не показываются сотрудникам OpenAI.

Критическая инфраструктура выделена в отдельную группу доступа. Во время тестирования модели в симуляции электростанции совместно с промышленной компанией по безопасности Dragos модель смогла идентифицировать промышленные управляющие устройства на фоне IT-шума и обнаружила две уязвимости нулевого дня в инженерном программном обеспечении, управляющем данными релейной защиты. Именно из-за того, что такие возможности могут быть полезны как защитникам, так и злоумышленникам, промышленные системы управления, избирательные системы и задачи, способные привести к физическому вреду или серьезным сбоям в обслуживании, подвергаются дополнительной проверке.

Раньше исследование безопасности обычно сосредотачивалось на одной уязвимости: исследователь понимал код, создавал условия для её срабатывания, оценивал последствия, а затем тратил несколько дней или недель на написание эксплойта и патча.

GPT-6 Cyber демонстрирует другую модель: несколько агентов одновременно сканируют поверхность атаки, проверяют тысячи кандидатов и передают людям только те проблемы, для которых есть доказательства выполнения, анализ корневой причины и рекомендации по исправлению. Модель не заменяет суждение сопровождающих, но превращает поиск проблем, достойных исследования, из редкого ручного процесса в масштабируемый вычислительный процесс.

Это также сокращает временной интервал для защитников. Как только подобные способности распространятся, злоумышленники смогут быстрее обратно инжинирить уязвимости после выпуска патчей или массово искать точки входа в код, который долгое время не подвергался аудиту. OpenAI выбрала ограничение доступа, потому что кибербезопасность приближается к критической точке: модели уже не просто объясняют уязвимости, а способны самостоятельно доказать, что уязвимость может быть эксплуатирована.