OpenAI發表GPT-6 Cyber，找出Firefox 81個未知高風險漏洞

OpenAI周四（11/5）發表GPT-6 Cyber，此一專為資安研究開發的AI模型，已在Firefox瀏覽器中發現81個先前未知的高風險漏洞，並針對Linux核心的948個漏洞開發出可實際運作的攻擊程式。

OpenAI於今年2月推出資安可信存取計畫（Trusted Access for Cyber，TAC），4月發表首款資安專用模型GPT-5.4-Cyber，支援漏洞研究、惡意程式分析及逆向工程。6月推出GPT-5.5-Cyber完整版，強化大型程式碼庫分析、漏洞驗證及自動修補能力，並擴展Daybreak資安計畫。8月再推出GPT-5.6-Cyber，進一步提升漏洞利用程式開發能力。

GPT-6 Cyber延續上述發展方向。在測試模型能否成功利用指定漏洞的ExploitGym基準測試中，GPT-6 Cyber取得48.5%的成績，高於GPT-5.6 Cyber的32.1%。在測試模型能否遵守授權範圍的ExploitGym Honeypot評估中，即使沒有額外安全提示，GPT-6 Cyber仍有99.93%的情況能避免攻擊授權範圍外的服務，高於前代的94.49%；加入安全提示後，遵守比例更達100%。

圖片來源/OpenAI

OpenAI資安研究人員利用GPT-6 Cyber來檢測Firefox的程式碼庫。儘管Firefox先前已接受多代先進AI模型的漏洞掃描與安全強化，GPT-6 Cyber依然發現81個先前未知的高風險漏洞，並確認另外30個已知漏洞的嚴重程度高於原先評估。OpenAI已將相關證據與修補建議提供給Mozilla，後者亦已完成其中多項漏洞的修補。

研究人員也利用GPT-6 Cyber測試Linux核心的安全性，從2,308個疑似漏洞中成功重現1,724個，並針對其中948個開發出可實際運作的提權攻擊程式，讓一般使用者有機會取得系統最高管理權限。整個測試耗費約121萬美元的API額度，平均每項漏洞約1,279美元。相較之下，GPT-5.6 Sol在7月的相同研究架構下僅成功利用166個漏洞，顯示AI自動化漏洞利用能力在短短3個月內大幅提升。

OpenAI指出，AI代理人在測試過程中發現至少10種新的Linux漏洞利用技術，其中部分方法連外部核心安全專家都不熟悉。OpenAI已向Linux核心維護者通報304項重大發現，並提供候選修補程式，其餘漏洞將分階段處理。

由於GPT-6 Cyber具備更強大的漏洞利用能力，OpenAI依據其準備度框架（Preparedness Framework），將模型的資安能力風險等級列為Critical，高於前一代GPT-5.6 Cyber的High。為降低遭到惡意利用的風險，GPT-6 Cyber初期僅透過API及Codex提供給部分經核准的Daybreak Red客戶，未來將逐步擴大至所有Daybreak Red客戶。

此外，OpenAI也強化安全檢查機制，偵測並阻擋模型協助攻擊發電廠、水處理設施等關鍵基礎設施的工業控制系統，避免造成設備損壞或重大服務中斷。