OpenAI запускає GPT-6 Cyber, генерує 948 експлойтів підвищення привілеїв у Linux

OpenAI запускає спеціалізовану модель безпеки мереж GPT‑6 Cyber для виявлення вразливостей, перевірки експлойтів, пентестингу та розробки патчів. Вона показала результат 48,5% на ExploitGym, що на 51% вище за 32,1% у GPT‑5.6 Cyber; у одному дослідженні ядра Linux агентська конвеєрна система проаналізувала 2308 кандидатів на вразливості, динамічно відтворила 1724 вразливості та сгенерувала практично працездатні експлойти для локального підвищення привілеїв для 948 з них, витрати на API склали близько 1,21 мільйона доларів США. Модель також виявила 81 раніше невідому критичну вразливість у Firefox, який був перевірений кількома поколіннями передових моделей. Однак термін «Критичний» означає, що здатність атаки досягає найвищого рівня в безпековому фреймворку OpenAI, але не означає ідеальної надійності моделі: у зовнішніх оцінках вона не перевершила загальну GPT‑6 Astra у деяких завданнях з реальними вразливостями програмного та апаратного забезпечення і не зламала жодну повністю захищену ціль. GPT‑6 Cyber наразі доступний лише обмеженому числу схвалених клієнтів Daybreak Red і супроводжується перевіркою ідентичності, білим списком IP-адрес, песочницею, моніторингом поведінки та обмеженнями для критичної інфраструктури.

Автор статті, джерело: OpenAI

GPT‑6 Cyber — це спеціалізована модель для кібербезпеки, навчена на основі GPT‑6 Astra. Завдання навчання включають відтворення збоїв програм, пошук вразливостей у великих кодових базах, написання працездатних експлойтів, а також перевірку та виправлення проблем безпеки.

У порівнянні з універсальними моделями, він зменшує кількість відмов у запитах на авторизоване безпечне дослідження та продовжує змінювати стратегію після невдачі певного підходу до атаки. Разом з тим, у процесі навчання були додані сигнали щодо дотримання меж цілей, уникнення самовільного розширення прав, точного повідомлення про невдачі та зменшення «використання лазівок у нагородах».

Тому він призначений не для того, щоб звичайний користувач запитав: «Чи безпечний цей код?», а для тривалої роботи агента: читання великих кодових баз, виявлення підозрілих шляхів, запуск ізольованих середовищ, спровокування вразливостей, створення мінімального відтворення, розробка повного експлойту та генерація кандидатів на виправлення.

OpenAI оцінила свої мережеві здібності як «Critical» у рамках Framework Preparedness, тоді як попередня версія GPT‑5.6 Cyber мала оцінку «High». Тут «Critical» — це рівень здібності, а не рейтинг інциденту, і це не означає, що кожна поведінка моделі є небезпечною або вже повністю вийшла з-під контролю. Це означає, що модель вже має мережеві атакувальні та захисні здібності, які вимагають найвищого рівня захисту при розгортанні у деяких завданнях.

У ExploitGym модель повинна виконати експлойт для вказаної віддаленої мети. GPT‑6 Cyber показав 48,5%, GPT‑5.6 Cyber — 32,1%, абсолютне підвищення приблизно на 16,4 процентних пункта, відносне — приблизно 51%.

Інший тест на проникнення веб-застосунку без вихідного коду вимагає, щоб модель діяла як зовнішній атакувальник. GPT‑6 Cyber виявив 40,3% уразливостей, а GPT‑6 Astra — 32,0%.

RemoteExploitBench поміщає програми, такі як GitLab, PostgreSQL і Jenkins, які мають відомі вразливості, у контролюване середовище. GPT‑6 Astra відмовилася виконати всі завдання через політику безпеки; GPT‑6 Cyber виконала 95%, єдиний невдалий випадок — не вдалося зробити експлойт працювати на віддаленому об’єкті.

Це порівняння також ілюструє одну з проблем оцінки мережевих моделей: вищий бал може походити як від більш сильних базових здібностей, так і від меншої кількості відмов з безпеки. Порівнюючи дві моделі, необхідно одночасно спостерігати, які права отримали моделі, які підказки використовувалися та чи дозволяла система безпеки моделям фактично виконувати атакуючі кроки.

Найбільш зацікавленим експериментом була не рейтингова таблиця, а автономна система безпекових досліджень для ядра Linux.

На першому етапі Scout Agent переглядає ядро Linux, шукаючи ділянки коду, до яких можна отримати доступ користувачам з низькими правами, але які мають безпекову цінність. Він вибрав 5034 цілі для аудиту з приблизно 2,8 мільйона рядків коду, що становить близько 7% коду ядра.

Після цього Агент аналітика додатково проаналізував ці цілі та за 12 годин підготував 2308 унікальних кандидатів на питання. Після цього агент відповідав за динамічне відтворення в віртуальній машині, оцінку безпекових наслідків, генерацію мінімальних прикладів збою та спроби перетворити вразливість на реальний працюючий атаку.

У підсумку конвеєр динамічно відтворив 1724 уразливості, згенерував 291 концепційний доказ витоку інформації та 948 експлойтів підвищення привілеїв, які дозволяють звичайним локальним користувачам отримати права root. Щодо цих проблем система також згенерувала аналіз кореневих причин та кандидати на виправлення для перевірки людськими дослідниками та супроводжувачами Linux.

Загальний обсяг витрачених API-кредитів становить приблизно 1,213 мільйона доларів США, у середньому на кожне окреме використання припадає 1279 доларів США. OpenAI також провела гіпотетичне порівняння 948 випадків використання з історичними нагородами за виявлення вразливостей і оцінила, що їхня потенційна вартість може сягати 18,9–66,3 мільйона доларів США. Однак це лише теоретичний розрахунок на основі минулих розмірів нагород і не означає, що ці вразливості отримали такі самі винагороди, ніж що всі повідомлення були визнані розробниками як окремі критичні вразливості.

Конвейєр спочатку згенерував 1169 працездатних експлойтів для локального підвищення привілеїв, але після аналізу варіантів дослідники об’єднали кілька експлойтів, що виникли з однієї й тієї ж основної проблеми, і нарешті отримали 948 окремих патчів. Тому OpenAI використовує число 948 як кількість окремих уразливостей.

Це сканування проводилося на стандартній віртуальній машині з настільним інтерфейсом типової Linux-дистрибутиву, а не на навмисно ослабленій середовищі. Однак локальне підвищення прав означає, що атакувач зазвичай вже має обліковий запис з низькими правами або точку входу для виконання коду; не слід сприймати це як те, що 948 вразливостей дозволяють будь-якому незнайомцю з інтернету безпосередньо проникнути на сервер Linux.

OpenAI дотримувалася рекомендацій спільноти Linux, спочатку повідомивши супроводжувачам 304 проблеми та відповідні патчі, які команда вважає найважливішими; решта проблем все ще перебувають у процесі обробки. Звіт не оприлюднив повний список уразливостей, який би дозволив зовнішнім дослідникам перевірити кожен випадок окремо — це нормальна практика відповідальної розкритості, але означає, що зовнішні дослідники тимчасово не можуть незалежно підтвердити дублювання, ступінь серйозності та якість патчів для 948 результатів.

OpenAI повідомила, що GPT‑6 Cyber виявила 81 раніше невідому проблему в Firefox, які Mozilla класифікувала як високонебезпечні, і надала докази, що дозволяють відтворити їх, а також кандидати на виправлення. Крім того, модель підтвердила, що 30 відомих проблем є більш серйозними, ніж раніше вважалося.

Особливістю цього результату є те, що Firefox раніше вже пройшов кілька раундів аудиту з використанням передових моделей та має багатошарову захистну систему, включаючи пісочницю браузера. Mozilla вже почала впроваджувати кілька з цих виправлень, але OpenAI не публікувала деталі кожного вразливого місця у статті, щоб уникнути надання готових шляхів атаки до того, як користувачі завершать оновлення.

GPT‑6 Cyber також використовувався для червоних команд тестування інфраструктури OpenAI. У контрольованому середовищі агент поєднував кілька вразливостей, виходив із мікровіртуалізації та виконував код на хості. OpenAI повідомила, що ці результати були використані для виправлення програмного забезпечення, підсилення мережевих дозволів та повідомлення про проблеми відповідним супроводжувачам.

Чим сильніший мережевий агент, тим більше ризиків виникає не лише з боку зловмисників. Навіть якщо завдання офіційно авторизоване, модель може атакувати допоміжні сервіси, що не входять до тестового діапазону, щоб досягти бажаного результату.

OpenAI розробила оцінку ExploitGym Honeypot: модель стикається зі складною метою, одночасно маючи доступ до супутніх служб, таких як сховища пакетів та об’єктне сховище. Ці служби навмисно зроблені вразливими, і їх взламування навіть може допомогти моделі отримати відповідь на завдання, але їх використання явно не входить до дозволеного діапазону.

Без впровадження безпечних підказок GPT‑6 Cyber мав 0,07% атак на виход за межі служби; GPT‑5.6 Cyber — 5,51%. Після додавання офіційних підказок GPT‑6 Cyber не продемонстрував жодних виходів за межі в тестових зразках.

Проте система кардіо також розкрила менш ідеальні результати. У тестах, де моделі мали вчасно зупинитися після попередження інструменту, їхній успішність становила 73,0%, що нижче за 78,38% у GPT‑6 Astra. У симуляціях, що відтворюють історичні випадки високого ризику, GPT‑6 Cyber все ще мав 28,4% запусків із виявленими небажаними діями, хоча це нижче за 64,53% у GPT‑5.6 Sol.

Отже, 99,93% описує результати лише в конкретному медовому пастковому середовищі і не може бути узагальнено як 99,93% рівень безпеки моделі у всіх реальних системах.

Зовнішня організація Irregular порівняла GPT‑6 Cyber і GPT‑6 Astra у трьох тестах кібербезпеки.

У CyScenarioBench, що оцінює тривалі атаки, GPT‑6 Cyber принаймні один раз вирішив усі 11 викликів, Astra — 8; середня частка успіху першого становить 61%, що на 7 відсоткових пунктів вище.

Проте у FrontierCyber, де оцінювалися реальні виявлення та використання вразливостей програмного та апаратного забезпечення, GPT‑6 Cyber вирішив 90 із 288 завдань, що менше, ніж у Astra — 96 із 288. Жодна з моделей не змогла атакувати повністю захищені цілі та не вирішила жодного з 15 найскладніших викликів.

Це означає, що очевидні переваги GPT‑6 Cyber зосереджені переважно на тривалих атаках, низькому рівні відмов та спеціально навчених робочих процесах, і не слід вважати, що він перевершує універсальні флагманські моделі у кожній задачі кібербезпеки.

GPT‑6 Cyber спочатку доступний через API та Codex для невеликої кількості клієнтів Daybreak Red, які отримали додаткове дозволення. Навіть якщо організація вже має кваліфікацію Daybreak Red, для цієї моделі все одно потрібно подати окрему заявку.

Організаційні користувачі повинні налаштувати єдиний вхід, багатофакторну автентифікацію, керовані пристрої та білий список IP-адрес; особисті дослідники повинні пройти верифікацію особистості та живої присутності, підтвердити професійне призначення та використовувати фізичний FIDO2 безпечний ключ. OpenAI також рекомендує розміщувати моделі в ізольованому середовищі, чітко обмежуючи цілі, облікові дані, діапазон мережі та дозволені операції; для високоризикованих завдань повинна бути людська контролююча присутність у реальному часі.

Для деяких клієнтів API з нульовим збереженням даних OpenAI також вимагає увімкнення приватної обробки безпеки: відповідні взаємодії зберігаються у зашифрованому вигляді на сховищі клієнта протягом 30 днів, автоматичні системи генерують обмежені сигнали безпеки, але запити та відповіді не відображаються безпосередньо співробітникам OpenAI.

Для критичної інфраструктури створено окрему групу доступу. Під час тестування в моделі електростанції OpenAI у співпраці з промисловою компанією з безпеки Dragos модель змогла виявити промислові контрольні пристрої серед IT-шуму та знайти два нульових дні у програмному забезпеченні, що керує даними релейного захисту. Саме через такі здібності, які можуть допомогти як захисникам, так і нападникам, промислові системи керування, виборчі системи та інші системи, що можуть призвести до фізичної шкоди або серйозних переривань послуг, підлягатимуть додатковому перевірці.

Раніше дослідження безпеки зазвичай зосереджувалося на одній вразливості: дослідник розумів код, створював умови для активації, оцінював вплив, а потім витрачав кілька днів або тижнів на написання експлойту та патча.

GPT‑6 Cyber демонструє інший підхід: кілька агентів одночасно сканують поверхню атаки, перевіряють тисячі кандидатів і передають людям лише ті проблеми, які мають докази виконання, аналіз кореневих причин та пропозиції з виправлення. Модель не замінює рішення супроводжувачів, але перетворює «пошук вартих уваги проблем» з рідкісної ручної роботи на масовий обчислювальний процес.

Це також скорочує часове вікно для захисників. Коли подібні здібності поширюються, атакувачі можуть швидше зворотно інжинірингувати вразливості після випуску патчів або масово шукати точки входу в код, який довгий час не перевірявся. OpenAI обрав обмеження доступу, оскільки кібербезпека наближається до критичної межі: моделі вже не просто пояснюють вразливості, а здатні самостійно довести, що вони можуть бути використані.