GPT-6 Cyber: Zautomatyzowane audyty bezpieczeństwa i propozycje łatek dla małych zespołów

OpenAI wydaje GPT-6 Cyber, model AI przeszkolony specjalnie do wyszukiwania luk w zabezpieczeniach oprogramowania, tworzenia działających exploitów i proponowania łatek. Według The Decoder, model osiągnął 100-procentową skuteczność w pozostawianiu w granicach operacyjnych po włączeniu instrukcji bezpieczeństwa, co stanowi znaczącą poprawę niezawodności w porównaniu z poprzednikiem.

Co się stało

The Decoder podaje, że GPT-6 Cyber uzyskuje wynik 48,5 procent w benchmarku ExploitGym, w porównaniu do 32,1 procent dla GPT-5.6 Cyber. W testach w rzeczywistych warunkach model zidentyfikował 81 wcześniej nieznanych, poważnych luk w przeglądarce Firefox i odtworzył 1 724 luki w zabezpieczeniach jądra systemu Linux, tworząc działające exploity dla 948 z nich. OpenAI zauważa, że cała kampania w jądrze Linuxa kosztła 1 213 430 USD w postaci mocy obliczeniowej, co daje 1 279 USD na jeden exploit. Jest to kwota znacznie niższa niż nagrody wynoszące od 20 000 do 70 000 USD, wypłacane historycznie przez programy takie jak Pwn2Own. Model jest obecnie dostępny przez API i Codex dla wybranych klientów Daybreak Red, a szerszy dostęp jest planowany. OpenAI podkreśla, że wszystkie dane testowe pochodzą z samooceny i nie opublikowano jeszcze niezależnych testów.

Dlaczego to ma znaczenie dla właścicieli małych firm i liderów zespołów

Dla małych firm tradycyjną barierą w audytach bezpieczeństwa klasy korporacyjnej były koszty i niedobór talentów. O ile całkowity koszt 1,2 miliona dolarów za skan całego jądra jest poza zasięgiem większości MŚP, o tyle koszt jednostkowy wynoszący 1 279 USD za exploit zmienia postać rzeczy. Wcześniej zatrudnienie wyspecjalizowanego badacza bezpieczeństwa lub opłacenie ręcznych testów penetracyjnych mogło kosztować dziesiątki tysięcy dolarów za jedno zgłoszenie. GPT-6 Cyber zmienia paradygmat z drogich, okresowych audytów na ciągłe, zautomatyzowane wykrywanie luk. Kluczowym ograniczeniem pozostaje jednak dostęp. Ponieważ model jest początkowo ograniczony do wybranych klientów Daybreak Red, małe zespoły muszą ocenić, czy mogą uzyskać dostęp, czy też muszą polegać na szerszym wdrożeniu GPT-5.6 Cyber. Zdolność modelu do proponowania łatek, a nie tylko znajdowania błędów, zmniejsza obciążenie operacyjne małych zespołów inżynieryjnych, które często nie mają dedykowanego personelu ds. bezpieczeństwa. Pozwala to dwuosobowemu zespołowi deweloperskiemu na obsługę poprawek bezpieczeństwa, które wcześniej wymagałyby zewnętrznej agencji.

Co zrobić w tym tygodniu

1. Przeprowadź audyt obecnego łańcucha dostaw oprogramowania, aby zidentyfikować trzy najważniejsze aplikacje, w których luka w zabezpieczeniach wyrządziłaby największe szkody finansowe lub operacyjne, priorytetowo traktując je pod kątem wczesnego wdrożenia zautomatyzowanych narzędzi skanujących.
2. Zarejestruj swoją organizację w programie Daybreak Red lub monitoruj dokumentację API OpenAI pod kątem wdrażania GPT-5.6 Cyber, ponieważ jest to prawdopodobny punkt wejścia dla małych zespołów, zanim GPT-6 Cyber będzie szeroko dostępny.
3. Ustanów prosty wewnętrzny protokół obsługi propozycji łatek generowanych przez AI, obejmujący obowiązkowy krok ręcznego przeglądu kodu, aby zminimalizować ryzyko wprowadzania nowych luk, jednocześnie wykorzystując szybkość modelu.

Źródła

• OpenAIs GPT-6 Cyber can both break into systems and propose how to fix them — The Decoder