OpenAI 发布 GPT-6 Cyber:首个被判定为"关键级"的网络安全模型，一周挖出 81 个 Firefox 高危漏洞

Fri, 06 Nov 2026 00:00:00 +0000

摘要

2026 年 11 月 5 日，OpenAI 发布了 GPT-6 系列的网络安全专用变体 GPT-6 Cyber。这次发布最值得注意的不是性能数字，而是它在 OpenAI 内部 Preparedness Framework 中的定级：Critical（关键级）。上一代 GPT-5.6 Cyber 的评级是 High，GPT-6 Cyber 成为首个被自家安全框架判定为"关键级"的商用模型。

能力层面的变化同样剧烈。在 ExploitGym 基准上，GPT-6 Cyber 得分 48.5%，上一代是 32.1%，相对提升约 51%。在 RemoteExploitBench 上，以 Daybreak Red 配置运行的 GPT-6 Cyber 完成了 95% 的任务，而同代的通用模型 GPT-6 Astra 在 Daybreak Blue 配置下对同类请求全部拒绝。

真正让安全行业震动的是一组实战数据：GPT-6 Cyber 在 Linux 内核上复现了 1724 个漏洞，并做出 948 个可用 EXP，而上一代 GPT-5.6 Sol 只有 166 个；在 Firefox 中发现 81 个此前未知的高危漏洞，Mozilla 已开始修复，另有 30 个已知问题的严重性被证明比原先评估更高。

能力越强，滥用风险越大。OpenAI 给出的答案是分级准入、蜜罐边界测试、单价上调五倍，以及一个总额 10 亿美元的防御者资助计划。

事件背景

过去两年，“AI 能不能挖漏洞"从研究话题变成了工程问题。2025 年之后，模型在代码审计、补丁比对、模糊测试种子生成上的能力快速提升，安全团队开始把大模型当作初级分析员使用。但"能读代码"和"能写出可利用的 exploit"之间，隔着一道很厚的墙——后者需要对内存布局、缓解机制、利用链构造有完整的工程判断。

GPT-6 Cyber 把这堵墙推倒了一大截。OpenAI 在发布说明里用词很克制，但数据说明问题：从"辅助分析"跨到"端到端产出可用利用”，这是攻防能力性质上的变化，而不是程度上的变化。

也正因为如此，这次发布被放进了 Preparedness Framework 的严格审查流程。这个框架原本是用来评估模型在生物、化学、网络、自主性四个方向上的灾难性风险，如今第一次有模型在网络维度上触到最高档。

与此同时，AI 攻防的现实背景也在恶化。漏洞从披露到被利用的时间窗口持续压缩，开源基础设施的维护者长期缺乏人力，企业补丁覆盖率普遍偏低。OpenAI 在发布材料里引用了一个叫 Patch the Planet 的公共仪表盘，显示大量已知漏洞的修复率长期低于 25%。这个数字既是 GPT-6 Cyber 的存在理由，也是它最大的风险来源。

核心技术解析

技术架构

GPT-6 Cyber 不是一个从头训练的新基座，而是在 GPT-6 系列基础上做了安全领域的后训练与工具链适配。从公开信息可以还原出四层结构：底层的通用推理能力、面向代码与二进制理解的安全后训练、围绕漏洞生命周期的工具调用层，以及最外层按客户分级的准入控制。

  graph TD
    A[GPT-6 通用基座] --> B[安全领域后训练]
    B --> C[代码与二进制理解]
    B --> D[漏洞生命周期工具链]
    D --> D1[代码审计与差分分析]
    D --> D2[模糊测试与种子生成]
    D --> D3[利用链构造与验证]
    C --> E[Daybreak Red 通道]
    D --> E
    E --> F[关键基础设施专用通道]
    E --> G[前线防御者资助计划]
    A --> H[GPT-6 Astra 通用通道]
    H --> I[Daybreak Blue 行为约束]
    I --> J[高风险请求全量拒绝]

这张图里有两条路径值得注意。第一条是 Daybreak Red 与 Daybreak Blue 的分叉：同一个基座，Red 通道放开进攻性能力，Blue 通道保留同样的知识但把执行侧关死。第二条是新增的"关键基础设施"专用通道，它意味着 OpenAI 开始按行业而不是按客户规模来切分授权。

关键创新点

第一，把"能力"和"授权"解耦。 过去限制滥用主要靠提示词层面的拒绝，模型本身能力被保留。GPT-6 Cyber 的做法相反：能力按通道下发，Daybreak Blue 的 GPT-6 Astra 在 RemoteExploitBench 上对同类任务全部拒绝，而 Red 通道的同一代模型完成 95%。这意味着风险控制从"模型自己判断该不该做"前移到"账户有没有权限做"。

第二，蜜罐越界测试成为量化指标。 OpenAI 披露了一组 Honeypot 测试结果：在没有部署提示词的情况下，GPT-6 Cyber 有 99.93% 的请求守住了预设边界，上一代是 94.49%；加上部署提示词后达到 100%。这个指标本质上测的是"模型会不会偷偷越权"，它比传统的拒绝率更贴近真实部署的风险。

第三，漏洞猎取从"发现"走到"可验证"。 Linux 内核上复现 1724 个漏洞、产出 948 个可用 EXP，这个比例的含金量在于"可用"两个字。安全行业长期存在的问题是误报率高，一个能自动生成并自验证利用的流程，等于把人工验证环节压缩掉了。OpenAI 表示已向 Linux 维护者披露 304 项关键发现。

第四，跨域实战验证。 与工业网络安全公司 Dragos 的合作中，GPT-6 Cyber 在被模拟的发电厂环境里发现了 2 个零日漏洞，位置在保护继电器的数据工程软件中。这类软件长期缺乏安全审计，一旦被利用直接指向物理世界。

性能评测

评测项	GPT-6 Cyber	上一代 / 对照	说明
Preparedness 风险定级	Critical	High（GPT-5.6 Cyber）	首次触到最高档
ExploitGym	48.5%	32.1%	相对提升约 51%
RemoteExploitBench（Daybreak Red）	95%	—	端到端远程利用任务完成率
RemoteExploitBench（Daybreak Blue / Astra）	全量拒绝	—	同代通用模型在受限通道
蜜罐守界率（无提示词）	99.93%	94.49%	越权行为检测
蜜罐守界率（含部署提示词）	100%	—	提示词加固后的上限
Linux 内核漏洞复现	1724 个	—	全量扫描结果
Linux 内核可用 EXP	948 个	166 个（GPT-5.6 Sol）	可用性提升约 4.7 倍
Firefox 未知高危漏洞	81 个	—	Mozilla 已开始修复
Firefox 严重性重估	30 个	—	原评估偏低
发电厂模拟环境零日	2 个	—	与 Dragos 联合测试

价格是另一组必须看的数字。GPT-6 Cyber 短上下文定价为输入每百万 token 20 美元、输出每百万 token 100 美元，是 GPT-5.6 Sol 的 5 倍；缓存输入 2 美元；缓存写入按时长计费，30 分钟档 25 美元、12 小时档 50 美元。这个定价明显不是按"通用推理"卖的，而是按"替代一名安全分析员的工时"卖的。

行业影响

对市场的影响

短期最直接的变化是攻防两侧的节奏都会加快。防守方第一次有了可以批量跑漏洞挖掘的工具，但攻击方（以及有授权但动机不纯的账户）同样拿到了更强的能力。安全行业的分水岭不再是谁有更好的扫描器，而是谁能更快地把发现变成修复。

其次是漏洞披露生态的压力。一周内 1724 个内核漏洞复现、304 项关键发现提交给维护者，这个量级会直接压垮志愿者驱动的开源项目。OpenAI 的 10 亿美元资助计划某种程度上是在为这个外部性买单。

最后是定价锚点。每百万输出 token 100 美元，把"AI 安全服务"的价格拉到可计算的范围：一次中型代码库审计的成本可以被估算，这会推动安全预算从"买工具"转向"买 token"。

对开发者的意义

普通开发者短期内几乎不会接触到这个模型——它只通过 API 和 Codex 向 Daybreak Red 客户开放，新设的关键基础设施通道还需要额外审核。真正的影响是间接的：上游开源项目会收到更多、更准确的漏洞报告，依赖这些项目的应用会因此更早被打上补丁。

对安全工程师来说，工作内容会明显位移。手工翻阅 diff、写 PoC 验证的部分会被压缩，判断"这个发现是不是真问题"“修复方案会不会引入回归"的比重会上升。工具越强，人的价值越集中在决策而不是执行。

商业化前景

这是一门典型的"高价值、低客户数、强合规"生意。客户集中在大型企业安全团队、云厂商、关键基础设施运营方和少数政府相关机构。收入规模不会像通用 API 那样爆发，但客单价和续费率会很高。

真正的商业变量是责任边界。如果模型产出的 exploit 被用于未授权系统，责任如何划分？如果模型漏报了一个真实漏洞，是否构成过失？这些问题的答案不在技术文档里，而在合同和监管里。OpenAI 用分级准入和蜜罐测试搭了一套技术护栏，但法律护栏还没建起来。

实际体验

需要说明的是，GPT-6 Cyber 不对公众开放，以下判断基于官方发布材料、评测数据与第三方安全研究者的公开评论，不构成实测结论。

第一，能力提升是真实的，但要看分母。 ExploitGym 从 32.1% 到 48.5%，意味着仍有超过一半的任务失败。48.5% 在漏洞利用这种容错极低的场景里是可用但不可靠的数字——它更像一个不知疲倦的实习生，产出需要人工筛，但筛的量级远小于从零开始。

第二，蜜罐测试指标值得行业借鉴。 99.93% 与 94.49% 的差距看似只有几个百分点，但在规模化调用下，0.07% 和 5.51% 的差别就是"偶发事故"和"系统性风险"的差别。把越权率作为一等指标公开，是这个行业少见的透明做法。

第三，批评意见同样成立。 Noma Security 的 Chris Hughes 指出，“小比例乘以大规模，仍然意味着有未授权系统被攻击”。这个算术没错。当调用量达到百万级，任何非零的越权率都会落到具体的主机上。Patch the Planet 仪表盘上低于 25% 的修复率也提醒我们：发现漏洞的速度已经超过了修复漏洞的速度，这个剪刀差本身就是风险。

第四，训练数据政策是个隐患。 有 Daybreak Blue 用户对自家数据被用于训练表示不满，OpenAI 提供了退出选项。在安全场景下，客户提交的代码和漏洞细节本身就是高敏感资产，这条政策的实际执行效果需要持续观察。

优势与不足

优势:

ExploitGym 48.5%，相对上一代提升约 51%，端到端利用能力跨过可用门槛
在 Linux 内核与 Firefox 上完成大规模真实验证，产出 1112 个可用利用与 81 个未知高危漏洞
蜜罐守界率 99.93%，配合部署提示词可达 100%，越权风险可量化
分级准入（Red / Blue / 关键基础设施）把能力与授权解耦，控制粒度更细
已具备跨域能力，在工业控制系统模拟环境中发现 2 个零日漏洞
10 亿美元前线防御者资助计划，部分对冲了能力扩散的外部性

不足:

被自家框架评为 Critical，是本轮发布中最大的不确定性
定价为上一代 5 倍（输出 100 美元/百万 token），中小团队难以承受
ExploitGym 仍有超过一半任务失败，可靠性不足以脱离人工复核
越权率虽低但非零，规模化调用下仍存在误伤未授权系统的可能
Daybreak Blue 用户数据用于训练引发争议，退出机制的实际效果待验证
漏洞发现速度已超过生态修复速度，可能加剧"披露即积压"的问题

总结与展望

GPT-6 Cyber 是 2026 年 AI 安全领域最重要的一次产品化落地。它的意义不在于"AI 会挖漏洞"这个已经被讨论烂了的话题，而在于三件事同时发生了：能力跨过了可用门槛、风险被明确定性为关键级、控制手段从提示词升级为账户级授权。

接下来值得盯的有三个节点。一是 Mozilla 对 81 个漏洞的修复进度——这是检验"AI 挖洞是否真能提升整体安全水位"的第一个公开样本。二是关键基础设施通道的实际客户名单与事故记录。三是监管层的反应：当一个商用模型被厂商自己标为 Critical，监管机构很难继续保持观望。

对行业来说，真正的分水岭不是 GPT-6 Cyber 卖了多少钱，而是它逼着所有人回答一个此前可以回避的问题：当发现漏洞的成本趋近于零，我们有没有能力把修复的成本也降下来？这个问题的答案，决定了 AI 安全是净收益还是净负债。

参考来源:

OpenAI launches GPT-6 Cyber with a ‘Critical’ risk rating, finds 81 zero-days in Firefox — The Next Web

GPT-6 Cyber on 有鱼智界 | 森林有鱼