GPT-6 Cyber: Audit di sicurezza automatizzati e proposte di patch per piccoli team

OpenAI ha rilasciato GPT-6 Cyber, un modello di intelligenza artificiale addestrato specificamente per la ricerca di vulnerabilità di sicurezza software, la creazione di exploit funzionanti e la proposta di patch. Secondo The Decoder, il modello ha raggiunto un tasso di successo del 100% nel rimanere all'interno dei confini operativi quando le istruzioni di sicurezza erano abilitate, segnando un significativo miglioramento dell'affidabilità rispetto al suo predecessore.

Cosa è successo

The Decoder riferisce che GPT-6 Cyber ottiene un punteggio del 48,5 percento sul benchmark ExploitGym, rispetto al 32,1 percento di GPT-5.6 Cyber. Nei test nel mondo reale, il modello ha identificato 81 vulnerabilità gravi precedentemente sconosciute in Firefox e ha riprodotto 1.724 vulnerabilità di sicurezza nel kernel Linux, sviluppando exploit funzionanti per 948 di esse. OpenAI rileva che l'intera campagna sul kernel Linux è costata 1.213.430 dollari in potenza di calcolo, pari a 1.279 dollari per exploit. Questa cifra è notevolmente inferiore alle taglie da 20.000 a 70.000 dollari pagate storicamente da programmi come Pwn2Own. Il modello è attualmente disponibile tramite API e Codex per clienti selezionati di Daybreak Red, con un accesso più ampio previsto in futuro. OpenAI sottolinea che tutti i dati dei benchmark sono auto-segnalati e non sono ancora stati pubblicati test indipendenti.

Perché è importante per i proprietari di piccole aziende e i team leader

Per le piccole aziende, la barriera tradizionale all'auditing di sicurezza di livello enterprise è sempre stata il costo e la scarsità di talenti. Sebbene il costo totale di 1,2 milioni di dollari per una scansione dell'intero kernel sia fuori dalla portata della maggior parte delle PMI, il costo per exploit di 1.279 dollari rappresenta una svolta radicale. In passato, assumere un ricercatore di sicurezza specializzato o pagare per un test di penetrazione manuale poteva costare decine di migliaia di dollari per una singola scoperta. GPT-6 Cyber sposta il paradigma da audit costosi e periodici alla scoperta continua e automatizzata delle vulnerabilità. Tuttavia, il vincolo principale è l'accesso. Poiché il modello è inizialmente limitato a clienti Daybreak Red selezionati, i piccoli team devono valutare se possono ottenere l'accesso o se devono affidarsi al rilascio più ampio di GPT-5.6 Cyber. La capacità del modello di proporre patch, e non solo di trovare bug, riduce l'onere operativo per i piccoli team di ingegneri che spesso non dispongono di personale di sicurezza dedicato. Ciò consente a un team di sviluppo di due persone di gestire correzioni di sicurezza che in precedenza avrebbero richiesto un'agenzia esterna.

Cosa fare questa settimana

1. Esegui un audit della tua attuale catena di approvvigionamento software per identificare le prime tre applicazioni critiche in cui una vulnerabilità causerebbe il maggior danno finanziario o operativo immediato, dando priorità a queste per l'adozione precoce di strumenti di scansione automatizzati.
2. Registra la tua organizzazione al programma Daybreak Red o monitora la documentazione API di OpenAI per il rilascio di GPT-5.6 Cyber, poiché questo è il probabile punto d'accesso per i piccoli team prima che GPT-6 Cyber diventi ampiamente disponibile.
3. Stabilisci un semplice protocollo interno per la gestione delle proposte di patch generate dall'intelligenza artificiale, inclusa una fase obbligatoria di revisione manuale del codice, per mitigare il rischio di introdurre nuove vulnerabilità sfruttando al contempo la velocità del modello.

Fonti

• OpenAIs GPT-6 Cyber can both break into systems and propose how to fix them — The Decoder