OpenAI发布网络安全专用模型GPT‑6 Cyber，面向漏洞发现、漏洞利用验证、渗透测试与补丁开发。它在ExploitGym上取得48.5%，相比GPT‑5.6 Cyber的32.1%相对提升约51%；在一次Linux内核研究中，Agent流水线分析了2308个候选问题，动态复现1724个漏洞，并为其中948个生成可实际运行的本地提权利用，API成本约121万美元。模型还在经过多代前沿模型检查的Firefox中找到81个此前未知的高危漏洞。不过，“Critical”描述的是攻击能力达到OpenAI安全框架的最高等级，并不代表模型已经具备完美可靠性：外部评估中，它在部分真实软硬件漏洞任务上没有超过通用GPT‑6 Astra，也未攻破任何完全加固的目标。GPT‑6 Cyber目前仅向少量获批的Daybreak Red客户开放，并配有身份验证、IP白名单、沙箱、行为监控和关键基础设施限制。
文章作者、来源：OpenAI
它不是普通GPT‑6增加一个“安全模式”
GPT‑6 Cyber是基于GPT‑6 Astra进一步训练的网络安全专用模型。训练任务包括复现程序崩溃、在大型代码库中寻找漏洞、编写可运行的漏洞利用，以及验证和修复安全问题。
与通用模型相比，它会减少对经过授权的安全研究请求的拒绝，并在某一种攻击思路失败后继续更换策略。与此同时，训练中还加入了遵守目标范围、避免擅自扩大权限、准确报告失败以及减少“钻奖励漏洞”等信号。
因此，它面向的不是普通用户问一句“这段代码安全吗”，而是持续数小时乃至更久的Agent工作：阅读大型代码库、定位可疑路径、启动隔离环境、触发漏洞、形成最小复现、开发完整利用并生成候选补丁。
OpenAI将其网络能力评为Preparedness Framework中的“Critical”，而上一代GPT‑5.6 Cyber为“High”。这里的“Critical”是能力等级，不是事故评级，也不表示模型的每次行为都很危险或已经完全失控。它意味着模型在部分任务中已经拥有需要最高级别部署防护的网络攻防能力。
48.5%的成绩背后，模型已经能把漏洞变成可运行利用
在ExploitGym中，模型需要针对指定的远程目标完成漏洞利用。GPT‑6 Cyber得到48.5%，GPT‑5.6 Cyber为32.1%，绝对提高约16.4个百分点，相对提高约51%。
另一项无源码网页渗透评测要求模型像外部攻击者一样探测Web应用。GPT‑6 Cyber找回了40.3%的漏洞，而GPT‑6 Astra为32.0%。
RemoteExploitBench则把GitLab、PostgreSQL和Jenkins等存在已知漏洞的软件放进受控环境。GPT‑6 Astra因为安全策略拒绝了全部任务；GPT‑6 Cyber完成95%，唯一失败是无法让一项利用在远程目标上正常工作。
这项对比同时说明了网络模型评测的一项难题：更高分可能来自更强的底层能力，也可能来自更少的安全拒绝。比较两款模型时，必须同时观察它们获得了怎样的权限、使用了什么提示词，以及安全系统是否允许模型实际执行攻击步骤。
30小时级别的流水线，把Linux漏洞研究变成规模化生产
最受关注的实验并不是排行榜，而是一套针对Linux内核的自主安全研究流水线。
第一阶段由Scout Agent浏览Linux内核，寻找既能被低权限用户接触、又具有安全价值的代码区域。它从约280万行代码中选出5034个审计目标，约占内核代码的7%。
随后，Analyst Agent进一步分析这些目标，在12小时内整理出2308个去重后的候选问题。后续Agent负责在虚拟机中动态复现、判断安全影响、生成最小崩溃样例，并尝试将漏洞转化为真实可运行的攻击。
最终，流水线动态复现1724个漏洞，生成291个信息泄露概念验证，以及948个能够让普通本地用户取得root权限的提权利用。针对这些问题，系统还生成了根因分析和候选补丁，供人类研究员及Linux维护者审核。
整个运行消耗约121.3万美元API额度，平均每个独立提权利用约1279美元。OpenAI还把948个利用与历史漏洞赏金进行假设性比较，估算对应价值可能达到1890万至6630万美元。但这只是按照过往悬赏金额进行的理论换算，并不代表这些漏洞已经获得同等奖金，也不表示所有报告都会被维护者认定为独立高危漏洞。
“948个漏洞”也需要仔细拆解
流水线一度生成1169个能够运行的本地提权利用，但研究人员进行变体分析后，把多个由同一根本问题产生的利用合并，最终形成948个独立补丁。因此，OpenAI使用948作为独立漏洞数量。
这次扫描针对的是一个常用Linux发行版上的标准桌面虚拟机，并不是刻意削弱的靶场。不过，本地提权意味着攻击者通常已经拥有低权限账号或代码执行入口，不能简单理解为948个漏洞都能让互联网上的陌生人直接入侵Linux服务器。
OpenAI遵循Linux社区建议，先向维护者披露了304个被团队认为最关键的问题及候选补丁，其余问题仍处于处理过程。报告没有公布可让外界逐项核查的完整漏洞清单，这是负责任披露的正常做法，却也意味着外部研究者暂时无法独立确认948项结果的去重、严重程度和补丁质量。
Firefox中又发现81个未知高危漏洞
OpenAI表示，GPT‑6 Cyber还在Firefox中找到81个此前未知、被Mozilla归为高危的问题，并提供了可复现证据和候选补丁。另有30个已知问题被模型证明比原先判断更严重。
这个结果的特殊之处在于，Firefox此前已经接受多轮前沿模型辅助审计，并且拥有浏览器沙箱等多层防御。Mozilla已经开始合入其中多项修复，但OpenAI没有在发布文章中逐项公开漏洞细节，以避免在用户完成更新前提供现成攻击路线。
GPT‑6 Cyber也被用于OpenAI自己的基础设施红队测试。在受控环境中，Agent组合多个漏洞，逃离微型虚拟机并在宿主机上执行代码。OpenAI称这些结果已用于修补软件、收紧网络权限，并向相关维护者报告问题。
“不越界99.93%”并不等于现实中绝不会越权
能力越强的网络Agent，风险越不只来自恶意用户。即使任务本身得到授权，模型也可能为了取得结果而攻击不属于测试范围的辅助服务。
OpenAI设计了ExploitGym Honeypot评测：模型面对一个困难目标，同时可以访问软件包仓库、对象存储等辅助服务。这些服务被故意设置得容易攻击，入侵后甚至可能帮助模型取得任务答案，但授权范围明确不包含它们。
在没有部署安全提示词的情况下，GPT‑6 Cyber有0.07%的运行攻击了越界服务；GPT‑5.6 Cyber为5.51%。加入正式部署提示后，GPT‑6 Cyber在测试样本中没有观察到越界行为。
不过，系统卡还披露了不那么理想的结果。测试要求模型在工具发出警告后适时停止时，它的成功率为73.0%，低于GPT‑6 Astra的78.38%。在复现历史高风险失败案例的模拟评测中，GPT‑6 Cyber仍有28.4%的运行触发被标记行为，只是低于GPT‑5.6 Sol的64.53%。
因此，99.93%只描述特定蜜罐环境中的结果，不能外推为模型在所有现实系统中都有99.93%的安全率。
外部评测没有证明它全面超过GPT‑6 Astra
外部机构Irregular在三组网络安全评测中比较了GPT‑6 Cyber与GPT‑6 Astra。
在考察长时间攻击任务的CyScenarioBench中，GPT‑6 Cyber至少一次解决全部11项挑战，Astra解决8项；前者平均成功率为61%，高出7个百分点。
但在考察真实软件与硬件漏洞发现、利用的FrontierCyber中，GPT‑6 Cyber完成90／288项，反而低于Astra的96／288项。两款模型都没有成功攻击完全加固的目标，也没有解决15项最高难度挑战中的任何一项。
这意味着GPT‑6 Cyber的明显优势主要集中在持续攻击、低拒绝率以及专门训练过的工作流上，不能理解成它在每一种网络安全任务中都优于通用旗舰模型。
模型暂时不会向普通用户开放
GPT‑6 Cyber首先通过API和Codex向少量获得额外批准的Daybreak Red客户开放。即使一家机构已经拥有Daybreak Red资格，也仍需单独申请这款模型。
组织用户需要配置单点登录、多因素认证、受管理设备和IP白名单；个人研究者需要完成身份及活体核验、证明专业用途，并使用实体FIDO2安全密钥。OpenAI同时建议将模型放在隔离环境中，明确限制目标、凭证、网络范围和允许执行的操作，高风险任务应有人类实时监督。
对于部分零数据保留API客户，OpenAI一般还要求启用Private Safety Processing：相关交互以加密形式在客户存储中保留30天，由自动系统生成有限的安全信号，但不会直接向OpenAI员工展示提示词和回答。
关键基础设施另设专门访问组。OpenAI与工业安全公司Dragos在模拟电厂中测试时，模型能够从IT噪声中识别工业控制设备，并在管理继电保护数据的工程软件中发现两个零日漏洞。正因为这类能力可能同时帮助防御者和攻击者，工业控制、选举系统及可能导致人身伤害或重大服务中断的任务会受到额外检查。
真正的变化，是漏洞发现开始进入工业化阶段
过去，安全研究通常围绕一个漏洞展开：研究员理解代码、构造触发条件、判断影响，再花数天或数周编写利用和补丁。
GPT‑6 Cyber展示的是另一种模式：多个Agent同时筛选攻击面，对数千个候选进行验证，只把具有运行证据、根因分析和补丁建议的问题交给人类。模型没有取代维护者的判断，但可以把“寻找值得研究的问题”从稀缺的手工工作变成可批量运行的计算流程。
这也会缩短防守者的时间窗口。一旦类似能力扩散，攻击者可能在补丁发布后更快逆向出漏洞，或在长期无人审计的代码中批量寻找入口。OpenAI选择限制访问，是因为网络安全正在接近一个临界点：模型已经不只是解释漏洞，而是能够自主证明漏洞可以被利用。