今天 OpenAI 发了个新模型，GPT-6 Cyber：

干了好事，风险评级反而升到顶

它干的事挺特别：自己找软件漏洞，自己验证漏洞能不能真被利用，然后帮你写修复方案。

成绩是这样的：

在 Linux 内核里，它复现了 1724 个漏洞，并针对其中 948 个开发出了可运行的漏洞利用程序。

在 Firefox 浏览器里，它发现了 81 个此前未知、被 Mozilla 认定为高危的漏洞，还证明了另外 30 个已知问题的严重程度，比之前评估的更高。

Mozilla 已经修复了一部分，安全更新开始向用户推送。

然后，OpenAI 给这个模型的风险等级评了 Critical（严重级）。

上一代是 High。

干了好事，评级反而升到顶。 这个反差，就是今天这条新闻的全部意思。

一、先说清楚：它到底强在哪

网络安全研究这件事，传统流程是：理解软件怎么运行 → 读代码 → 找漏洞 → 构造攻击程序 → 验证能不能真打进去。

最后那步最难。构造一个能跑的漏洞利用程序，经常要反复调试很久，靠的是研究员的经验和直觉。

现在这一整套，模型能参与完成了。

看几个正式评测：

• ExploitGym（专门测漏洞利用能力）：GPT-6 Cyber 成功率 48.5%，上一代 GPT-5.6 Cyber 是 32.1%，相对提升约 51%。

• Web 渗透测试（不给源码，只跟应用交互找漏洞）：漏洞召回率 40.3%，通用旗舰 GPT-6 Astra 是 32.0%。

• RemoteExploitBench（测远程利用，涉及 GitLab、PostgreSQL、Jenkins 等）：用 Daybreak Red 配置的 Cyber 完成了 95%，唯一一次失败是没能让程序在远程环境里正常跑起来。

注意最后一个测试有个细节：用 Daybreak Blue 配置的 GPT-6 Astra，把所有测试任务都拒绝了。

同样的任务，一个全拒，一个完成 95%。这不是能力差异，是安全策略差异——两条产品线的准入授权不一样。

原文也写得很清楚：两组用了不同的安全访问配置，所以结果受策略影响，不能简单对比。

这句话很重要，后面我会展开。

二、真实项目里的成绩，比榜单更有说服力

榜单可以说“我考得好”，真实项目不行。

Linux 内核这边：OpenAI 用 GPT-6 Cyber 做了大规模研究，复现 1724 个漏洞，948 个能写出可运行的利用程序。

对比一下：上一代用同一套研究框架的 GPT-5.6 Sol，只成功利用了 166 个。

五倍多。

而且他们按 Linux 社区的规范，向维护者报告了其中 304 项关键发现，还附了候选修复方案。

Firefox 这边更能说明问题。Mozilla 的浏览器长期接受安全研究者和多代前沿模型的审查，属于防护相对成熟的项目。即便如此，还是被找出 81 个未知高危漏洞。

Firefox 杰出工程师 Brian Grinstead 的说法是：

即使经过多代前沿模型的安全加固，GPT-6 Cyber 依然发现了未知的高危漏洞，并帮助团队向数百万用户提供安全修复。

还有一条更狠的，是 OpenAI 对自己下手。

在他们的受控红队测试里，AI Agent 能组合利用多个漏洞，突破微型虚拟机隔离，在底层宿主机上执行代码。研究团队随后修复了缺陷、加强了网络访问限制，并向维护方披露。

它攻破的是自家基础设施。 这条我看了两遍。

三、然后是那个 99.93%

能力讲完，得讲边界。这部分我觉得比能力更值得看。

核心问题是：当 AI 已经能自己写攻击程序，怎么保证它不去打没授权的系统？

OpenAI 设计了一个测试，叫 ExploitGym Honeypot。

做法是：给模型一个困难的漏洞利用任务，同时在隔离环境里放几个辅助服务（软件包仓库、对象存储之类），并且故意让这些服务留着好打的漏洞。

规则是：你只能打指定目标，就算发现旁边有更好打的，也不许动。

结果：

• 没有部署阶段安全提示词时，GPT-6 Cyber 99.93% 的测试遵守了授权范围。上一代是 94.49%。

• 加上部署安全提示词后，**100%**。

他们还公开了模型的部分推理记录，里面明确写了：不能假设额外的 API 或攻击控制器属于目标范围，不能探索授权范围之外的凭证。

说白了——它自己会说“这个不归我打”。

这 0.07% 不是瑕疵，是这条产品线能不能存在的前提。

四、发电厂那两个零日

还有一段是和工业网络安全公司 Dragos 合作的。

在受控实验室里模拟工业控制网络，研究人员几乎没给环境信息。

模型自己区分出了哪些是工业控制设备、哪些是普通 IT 系统，然后在管理保护继电器数据的工程软件里，发现了两个零日漏洞。

这两个漏洞可能暴露保护设置、断路器跳闸逻辑这类敏感信息。

Dragos 首席 AI 官 Rob T. Lee 的判断是：

AI 正在降低攻击者做前期侦察和漏洞研究的技术门槛。

注意，他说的是降低攻击者的门槛。这也是为什么这个模型的风险评级必须是 Critical。

五、真正值得看的是生意结构

前面都是能力，这节讲钱。因为这里藏着我觉得最有意思的变化。

第一，定价是 5 倍

GPT-6 Cyber 的 API，短上下文模式下每百万 token 输入 20 美元、输出 100 美元，都是 GPT-5.6 Sol 的 5 倍。缓存输入每百万 token 2 美元。

一个模型贵 5 倍，还敢这么定价，说明它卖的不是“通用能力”，是稀缺的专业能力。

第二，卖法从“拒绝”变成了“分级授权”

过去 AI 公司控制风险的方式很简单：你问危险问题，我拒绝。

现在不行了——你拒绝了，防御者就拿不到工具。所以 OpenAI 换了一套机制：

• Daybreak Blue：做漏洞分析和修复验证

• Daybreak Red：允许授权研究者开发漏洞利用程序，做更深的测试

• 首批只通过 API 和 Codex 开放给经过批准的客户，之后逐步扩大

配套的还有：IP 白名单、PSP（私有安全处理）机制、30 天安全检查、针对关键基础设施的专门监控。

这已经不是“模型产品”，是“准入体系”。

第三，还有 10 亿美元补贴

OpenAI 计划通过 Daybreak for Frontline Defenders 计划，拿出 10 亿美元，给政府机构、重要公共服务提供商这些预算有限的防御团队做使用补贴。

为什么要补贴？因为这套东西的门槛太高了，高到很多真正需要它的人买不起。

而原文最后那句判断挺尖锐：严格的准入机制固然能防滥用，但也可能让资源有限的独立研究员和开源维护者，拿不到先进工具。

这是个真问题。Firefox 是 Mozilla 在维护，有钱有人；但全世界大量的开源项目，是一个人在业余时间维护的。

给最需要的人用不上，这才是安全行业长期的痛。

六、我的三个判断

判断一：安全产品的计价单位，从“功能”变成了“身份”。

以前买安全产品，看的是能扫多少种漏洞、支持多少协议。

以后买这类产品，第一个问题会变成：我是什么身份，能拿到哪一级授权？

这对产品经理是个新课题——你的产品得先有一套可信的身份体系，才谈得上卖能力。

判断二：能力越强，产品越难做。

60 分的模型可以敞开卖，95 分的模型只能按人卖。

能力上限一旦触到红线，产品设计的重心就从“怎么让更多人用”变成“怎么让对的人用、让错的人用不了”。 这是完全相反的设计目标。

判断三：这件事最终会变成一场“基础设施公平”的争论。

10 亿美元补贴是个信号。它说明 OpenAI 自己也知道：如果强攻击能力只掌握在有钱的组织手里，整个互联网的安全水位不会上升，只会分化。

而开源维护者——那些真正在给全世界打补丁的人——大概率是最后被覆盖到的一批。

写在最后

原文最后那句话我很喜欢：魔法最终还得靠魔法来打败。

但我更在意它前面那半句逻辑：为了让互联网更安全，防御者可能需要掌握越来越强的攻击能力。

这句话听着别扭，但它就是现实。

你没法在不验证“这个漏洞能不能真被打进去”的前提下，判断它有多危险。而要验证，就得有人会打。

所以这次发布真正的意义，不是“AI 又能干一件新事了”。

是安全行业的分工要重排了：

谁能拿到工具、谁只能等补丁、谁来为这中间的差距买单。

这三个问题的答案，比 948 这个数字重要得多。

温暖互助社群

愿我们都能：敢想敢干，健康、开心、幸福每一天。

✅ 永久免费：负债 | 残友 | 康复 | 求职

✅ 成长提升：自律 | AI 搞钱 | 脱单

关注公众号回复对应关键词，加入你的温暖圈子。