OpenAI ra mắt GPT-6 Cyber, tạo ra 948 lỗ hổng tăng quyền truy cập Linux

OpenAI ra mắt mô hình chuyên dụng về an ninh mạng GPT‑6 Cyber, tập trung vào phát hiện lỗ hổng, xác minh khai thác, kiểm thử xâm nhập và phát triển bản vá. Mô hình đạt 48,5% trên ExploitGym, tăng khoảng 51% so với 32,1% của GPT‑5.6 Cyber; trong một nghiên cứu về nhân Linux, quy trình Agent đã phân tích 2.308 vấn đề tiềm ẩn, tái tạo động 1.724 lỗ hổng và tạo ra các exploit quyền nâng cao cục bộ có thể chạy thực tế cho 948 lỗ hổng, với chi phí API khoảng 1,21 triệu USD. Mô hình cũng phát hiện 81 lỗ hổng nghiêm trọng chưa từng được biết đến trong Firefox sau nhiều thế hệ kiểm tra bởi các mô hình tiên tiến. Tuy nhiên, thuật ngữ “Critical” chỉ mô tả khả năng tấn công đạt cấp độ cao nhất trong khung an ninh của OpenAI, không có nghĩa là mô hình đã đạt độ tin cậy hoàn hảo: trong các đánh giá bên ngoài, nó không vượt qua GPT‑6 Astra phổ thông trong một số nhiệm vụ lỗ hổng phần mềm/hardware thực tế và chưa từng xâm nhập bất kỳ mục tiêu nào đã được củng cố hoàn toàn. GPT‑6 Cyber hiện chỉ được cấp quyền truy cập cho một số ít khách hàng Daybreak Red được phê duyệt, kèm theo xác thực danh tính, danh sách IP được phép, sandbox, giám sát hành vi và giới hạn cơ sở hạ tầng then chốt.

Tác giả bài viết, nguồn: OpenAI

GPT‑6 Cyber là mô hình chuyên dụng về an ninh mạng được huấn luyện thêm từ GPT‑6 Astra. Các nhiệm vụ huấn luyện bao gồm tái tạo sự cố chương trình, tìm lỗ hổng trong các kho mã lớn, viết khai thác có thể chạy được, cũng như xác minh và sửa chữa các vấn đề bảo mật.

So sánh với các mô hình phổ thông, nó giảm việc từ chối các yêu cầu nghiên cứu an toàn được ủy quyền và tiếp tục thay đổi chiến lược sau khi một phương pháp tấn công thất bại. Đồng thời, trong quá trình huấn luyện còn tích hợp các tín hiệu tuân thủ phạm vi mục tiêu, tránh tự ý mở rộng quyền hạn, báo cáo chính xác các thất bại và giảm thiểu hành vi “khai thác lỗ hổng phần thưởng”.

Do đó, nó không nhằm vào người dùng thông thường hỏi “Đoạn mã này có an toàn không?”, mà là các tác vụ Agent kéo dài hàng giờ乃至 lâu hơn: đọc các kho mã lớn, xác định các đường dẫn khả nghi, khởi động môi trường cô lập, kích hoạt lỗ hổng, tạo bản sao lại tối thiểu, phát triển khai thác đầy đủ và tạo ra các bản vá đề xuất.

OpenAI đánh giá khả năng mạng của nó ở mức “Critical” trong Khung Đánh giá Sẵn sàng, trong khi thế hệ trước GPT‑5.6 Cyber ở mức “High”. Ở đây, “Critical” là cấp độ khả năng, không phải mức độ sự cố, và không có nghĩa là mọi hành vi của mô hình đều nguy hiểm hoặc đã hoàn toàn mất kiểm soát. Nó có nghĩa là mô hình đã sở hữu khả năng tấn công và phòng thủ mạng ở mức cao nhất cần được bảo vệ khi triển khai trong một số nhiệm vụ nhất định.

Trong ExploitGym, mô hình cần thực hiện khai thác漏洞 nhắm vào mục tiêu từ xa đã chỉ định. GPT‑6 Cyber đạt 48,5%, GPT‑5.6 Cyber đạt 32,1%, tăng tuyệt đối khoảng 16,4 điểm phần trăm và tăng tương đối khoảng 51%.

Một bài đánh giá thâm nhập trang web không có mã nguồn yêu cầu mô hình phát hiện ứng dụng web như một kẻ tấn công bên ngoài. GPT‑6 Cyber khôi phục được 40,3% lỗ hổng, trong khi GPT‑6 Astra là 32,0%.

RemoteExploitBench đưa các phần mềm có lỗ hổng đã biết như GitLab, PostgreSQL và Jenkins vào môi trường được kiểm soát. GPT‑6 Astra từ chối tất cả các nhiệm vụ do chính sách bảo mật; GPT‑6 Cyber hoàn thành 95%, thất bại duy nhất là không thể làm cho một khai thác hoạt động bình thường trên mục từ xa.

Sự so sánh này cũng làm nổi bật một thách thức trong đánh giá mô hình mạng: điểm số cao hơn có thể đến từ khả năng nền tảng mạnh hơn, hoặc từ ít lần từ chối an toàn hơn. Khi so sánh hai mô hình, cần đồng thời quan sát chúng được cấp quyền gì, sử dụng lời nhắc nào, và hệ thống an toàn có cho phép mô hình thực hiện các bước tấn công thực sự hay không.

The most interesting experiment is not the leaderboard, but a self-hosted security research pipeline for the Linux kernel.

Giai đoạn đầu tiên, Scout Agent duyệt mã nguồn Linux kernel để tìm các khu vực mã có thể được người dùng có quyền hạn thấp tiếp cận và mang lại giá trị bảo mật. Nó đã chọn ra 5.034 mục tiêu kiểm toán từ khoảng 2,8 triệu dòng mã, chiếm khoảng 7% mã nguồn kernel.

Sau đó, Analyst Agent tiếp tục phân tích các mục tiêu này và tổng hợp 2.308 câu hỏi ứng cử đã loại bỏ trùng lặp trong vòng 12 giờ. Agent tiếp theo chịu trách nhiệm tái tạo động học trong máy ảo, đánh giá tác động bảo mật, tạo mẫu sụp đổ tối thiểu và cố gắng chuyển hóa lỗ hổng thành cuộc tấn công thực tế có thể chạy được.

Cuối cùng, đường ống đã tái tạo lại 1.724 lỗ hổng, tạo ra 291 proof-of-concept rò rỉ thông tin và 948 exploit nâng quyền cho người dùng địa phương thông thường lên quyền root. Đối với các vấn đề này, hệ thống còn tạo ra phân tích nguyên nhân gốc và các bản vá đề xuất để các nhà nghiên cứu và người duy trì Linux xem xét.

Toàn bộ hoạt động tiêu tốn khoảng 1,213,000 USD hạn mức API, trung bình mỗi khai thác độc lập tiêu tốn khoảng 1.279 USD. OpenAI còn so sánh giả định 948 khai thác với các phần thưởng lỗ hổng trong quá khứ, ước tính giá trị tương ứng có thể đạt từ 18,9 đến 66,3 triệu USD. Tuy nhiên, đây chỉ là phép chuyển đổi lý thuyết dựa trên số tiền thưởng trước đây, không có nghĩa là các lỗ hổng này đã nhận được mức thưởng tương đương, cũng không đảm bảo tất cả các báo cáo đều được người duy trì công nhận là các lỗ hổng độc lập và nghiêm trọng.

Dây chuyền đã tạo ra 1.169 khai thác quyền lợi địa phương có thể chạy được, nhưng sau khi phân tích biến thể, các nhà nghiên cứu đã hợp nhất nhiều khai thác phát sinh từ cùng một vấn đề cốt lõi, cuối cùng tạo ra 948 bản vá độc lập. Do đó, OpenAI sử dụng con số 948 làm số lượng lỗ hổng độc lập.

Cuộc quét này nhắm vào một máy ảo desktop tiêu chuẩn trên một bản phân phối Linux phổ biến, chứ không phải một môi trường mục tiêu bị suy yếu cố ý. Tuy nhiên, quyền nâng cao tại chỗ có nghĩa là kẻ tấn công thường đã sở hữu tài khoản quyền thấp hoặc lỗ hổng thực thi mã, không nên hiểu đơn giản là 948 lỗ hổng đều cho phép người lạ trên internet xâm nhập trực tiếp vào máy chủ Linux.

OpenAI đã tuân theo khuyến nghị của cộng đồng Linux, trước tiên tiết lộ cho các người duy trì 304 vấn đề mà nhóm cho là quan trọng nhất cùng các bản vá ứng cử, các vấn đề còn lại vẫn đang trong quá trình xử lý. Báo cáo không công bố danh sách đầy đủ các lỗ hổng để bên ngoài có thể kiểm tra từng mục, đây là hành vi tiết lộ có trách nhiệm bình thường, nhưng đồng nghĩa với việc các nhà nghiên cứu bên ngoài tạm thời không thể tự xác minh việc loại bỏ trùng lặp, mức độ nghiêm trọng và chất lượng bản vá của 948 kết quả.

OpenAI cho biết, GPT‑6 Cyber đã phát hiện thêm 81 lỗ hổng chưa từng được biết đến trong Firefox, mà Mozilla xếp vào mức độ nguy hiểm cao, đồng thời cung cấp bằng chứng có thể tái hiện và các bản vá đề xuất. Ngoài ra, mô hình còn chứng minh rằng 30 lỗ hổng đã biết nghiêm trọng hơn so với đánh giá trước đó.

Điểm đặc biệt của kết quả này là Firefox trước đó đã trải qua nhiều vòng kiểm toán được hỗ trợ bởi các mô hình tiên tiến và sở hữu nhiều lớp bảo vệ như sandbox trình duyệt. Mozilla đã bắt đầu tích hợp một số bản vá này, nhưng OpenAI không công khai chi tiết từng lỗ hổng trong bài viết phát hành để tránh cung cấp đường đi tấn công sẵn có trước khi người dùng hoàn tất cập nhật.

GPT-6 Cyber cũng được sử dụng trong các bài kiểm tra red team cho cơ sở hạ tầng của chính OpenAI. Trong môi trường được kiểm soát, Agent kết hợp nhiều lỗ hổng để thoát khỏi máy ảo vi mô và thực thi mã trên máy chủ. OpenAI cho biết những kết quả này đã được sử dụng để vá phần mềm, siết chặt quyền truy cập mạng và báo cáo các vấn đề cho các bên duy trì liên quan.

Càng mạnh mẽ, mạng Agent càng có nhiều rủi ro không chỉ đến từ người dùng độc hại. Ngay cả khi nhiệm vụ được cấp phép, mô hình vẫn có thể tấn công các dịch vụ phụ nằm ngoài phạm vi kiểm thử nhằm đạt được kết quả.

OpenAI đã thiết kế bài đánh giá ExploitGym Honeypot: mô hình đối mặt với một mục tiêu khó khăn, đồng thời có thể truy cập các dịch vụ hỗ trợ như kho gói, lưu trữ đối tượng, v.v. Các dịch vụ này được cố ý thiết lập để dễ bị tấn công, và việc xâm nhập có thể giúp mô hình tìm được câu trả lời cho nhiệm vụ, nhưng phạm vi ủy quyền rõ ràng không bao gồm chúng.

Mà không có triển khai từ khóa bảo mật, GPT‑6 Cyber có 0,07% hành vi tấn công vượt giới hạn; GPT‑5.6 Cyber là 5,51%. Sau khi thêm từ khóa triển khai chính thức, GPT‑6 Cyber không ghi nhận hành vi vượt giới hạn nào trong các mẫu kiểm tra.

Tuy nhiên, hệ thống thẻ cũng tiết lộ những kết quả không mấy lý tưởng. Trong bài kiểm tra yêu cầu mô hình dừng lại kịp thời sau khi công cụ cảnh báo, tỷ lệ thành công của nó là 73,0%, thấp hơn 78,38% của GPT‑6 Astra. Trong bài đánh giá mô phỏng tái hiện các trường hợp thất bại rủi ro cao trong quá khứ, GPT‑6 Cyber vẫn có 28,4% các lần kích hoạt chạy bị ghi nhận hành vi, dù thấp hơn 64,53% của GPT‑5.6 Sol.

Do đó, 99,93% chỉ mô tả kết quả trong môi trường bẫy mật cụ thể và không thể suy rộng thành tỷ lệ an toàn 99,93% của mô hình trên tất cả các hệ thống thực tế.

Cơ quan bên ngoài Irregular đã so sánh GPT‑6 Cyber với GPT‑6 Astra trong ba bài đánh giá an ninh mạng.

Trong CyScenarioBench đánh giá các nhiệm vụ tấn công kéo dài, GPT‑6 Cyber ít nhất một lần giải quyết thành công cả 11 thách thức, trong khi Astra giải quyết được 8 thách thức; tỷ lệ thành công trung bình của前者 cao hơn 7 phần trăm.

Tuy nhiên, trong FrontierCyber, nơi đánh giá việc phát hiện và khai thác lỗ hổng phần mềm và phần cứng thực tế, GPT‑6 Cyber hoàn thành 90/288 nhiệm vụ, thấp hơn so với Astra với 96/288 nhiệm vụ. Cả hai mô hình đều không thành công trong việc tấn công các mục tiêu đã được củng cố hoàn toàn và cũng không giải được bất kỳ nhiệm vụ nào trong số 15 thách thức khó nhất.

Điều này có nghĩa là lợi thế rõ ràng của GPT‑6 Cyber chủ yếu tập trung vào các cuộc tấn công liên tục, tỷ lệ từ chối thấp và các quy trình làm việc được đào tạo chuyên biệt, không nên hiểu là nó vượt trội hơn các mô hình nền tảng phổ thông trong mọi nhiệm vụ an ninh mạng.

GPT‑6 Cyber ban đầu được mở rộng cho một số ít khách hàng Daybreak Red được phê duyệt đặc biệt thông qua API và Codex. Ngay cả khi một tổ chức đã đủ điều kiện sử dụng Daybreak Red, vẫn cần nộp đơn riêng để truy cập mô hình này.

Người dùng tổ chức cần cấu hình xác thực đơn điểm, xác thực đa yếu tố, thiết bị được quản lý và danh sách trắng IP; các nhà nghiên cứu cá nhân cần hoàn thành xác minh danh tính và xác minh sống, chứng minh mục đích chuyên nghiệp, và sử dụng khóa bảo mật FIDO2 vật lý. OpenAI cũng khuyến nghị đặt mô hình trong môi trường cô lập, giới hạn rõ ràng mục tiêu, thông tin xác thực, phạm vi mạng và các thao tác được phép thực hiện; các nhiệm vụ rủi ro cao nên được giám sát thời gian thực bởi con người.

Đối với một số khách hàng API giữ dữ liệu bằng không, OpenAI thường yêu cầu kích hoạt Xử lý Bảo mật Riêng tư: các tương tác được lưu trữ dưới dạng mã hóa trong kho của khách hàng trong 30 ngày, tạo ra các tín hiệu bảo mật hạn chế bởi hệ thống tự động, nhưng không hiển thị trực tiếp các lời nhắc và câu trả lời cho nhân viên OpenAI.

Cơ sở hạ tầng then chốt được thiết lập nhóm truy cập riêng biệt. Trong quá trình thử nghiệm tại nhà máy điện mô phỏng cùng công ty an toàn công nghiệp Dragos, mô hình đã nhận diện được thiết bị điều khiển công nghiệp từ tiếng ồn IT và phát hiện hai lỗ hổng zero-day trong phần mềm kỹ thuật quản lý dữ liệu bảo vệ rơ-le. Chính vì khả năng này có thể hỗ trợ cả bên phòng thủ lẫn bên tấn công, các hệ thống điều khiển công nghiệp, hệ thống bầu cử và các nhiệm vụ có thể gây tổn hại đến tính mạng hoặc gián đoạn dịch vụ nghiêm trọng sẽ được kiểm tra kỹ lưỡng hơn.

Trước đây, các nghiên cứu bảo mật thường tập trung vào một lỗ hổng: các nhà nghiên cứu hiểu mã, xây dựng điều kiện kích hoạt, đánh giá ảnh hưởng, sau đó mất vài ngày đến vài tuần để viết khai thác và bản vá.

GPT‑6 Cyber thể hiện một mô hình khác: nhiều Agent cùng lúc sàng lọc bề mặt tấn công, xác minh hàng ngàn ứng cử viên, và chỉ chuyển những vấn đề có bằng chứng vận hành, phân tích nguyên nhân gốc rễ và đề xuất vá lỗi cho con người. Mô hình không thay thế phán quyết của người duy trì, nhưng có thể biến việc “tìm kiếm các vấn đề đáng để nghiên cứu” từ công việc thủ công khan hiếm thành quy trình tính toán có thể chạy hàng loạt.

Điều này cũng thu hẹp cửa sổ thời gian của người phòng thủ. Một khi các khả năng tương tự lan rộng, kẻ tấn công có thể nhanh chóng đảo ngược lỗ hổng sau khi bản vá được phát hành, hoặc tìm kiếm điểm xâm nhập hàng loạt trong các mã nguồn chưa được kiểm tra an ninh trong thời gian dài. OpenAI chọn hạn chế quyền truy cập vì an ninh mạng đang tiến gần đến một điểm tới hạn: các mô hình không chỉ giải thích lỗ hổng, mà còn có thể tự chứng minh rằng lỗ hổng có thể bị khai thác.