OpenAI 发布 GPT-6 Cyber:AI 开始主动寻找软件漏洞

AI 不仅会聊天、写代码，现在还开始帮人寻找软件里的安全漏洞了。

11 月 5 日，OpenAI 正式发布 GPT-6 Cyber，一款专门面向网络安全研究的 AI 模型。

这次发布最值得关注的，不是它能回答多少问题，而是 OpenAI 公布的一组实际研究成果：在 Firefox 浏览器相关安全研究中发现 81 个此前未知的高危漏洞，并在 Linux 内核研究中成功开发出针对 948 个漏洞的有效利用程序。

对于普通人来说，这听起来可能有些遥远。但我们每天使用的浏览器、手机、电脑和网络服务，都建立在大量软件代码之上。而这些代码是否安全，直接关系到我们的个人信息、账号和设备。

过去，软件安全研究很大程度上依赖专业人员分析代码、寻找缺陷，再验证这些缺陷是否可能造成安全问题。

这项工作通常非常复杂。一个软件可能包含数百万甚至更多行代码，漏洞也不一定出现在最容易被注意到的地方。有些问题只有在多个功能相互配合、满足特定条件时才会暴露。

GPT-6 Cyber 的目标，就是协助安全研究人员完成这些工作。根据 OpenAI 官方披露，它不仅能够分析代码中的潜在问题，还能验证漏洞是否真的可以被利用，并辅助提出修复方案。

在 Firefox 相关研究中，模型发现了 81 个此前未知、被 Mozilla 归类为高严重程度的漏洞。OpenAI 表示，相关发现已经向 Mozilla 披露，并提供了候选修复方案，其中不少问题已经获得修复。

除了 Firefox，OpenAI 还公布了 Linux 内核相关研究成果。在这项研究中，GPT-6 Cyber 复现了 1724 个漏洞，并针对其中 948 个开发出了能够成功利用漏洞的程序。

这里需要解释一个概念。

发现软件存在问题，与证明这个问题真的能够被利用，是两回事。比如，某段代码看起来存在安全隐患，但要确认它是否能造成权限提升或其他后果，还需要进一步验证。AI 能够协助完成这一步，可以帮助安全团队更准确地判断问题的严重程度。

不过，这并不代表 Linux 系统突然新增了 948 个漏洞，也不意味着所有 Linux 设备都处于同样的危险之中。这些数字来自特定研究范围和测试条件，不能直接等同于现实世界中的攻击数量。

OpenAI 表示，研究团队已经按照相关社区的安全披露流程，向维护者提交了部分重要发现和候选补丁，其他问题仍在修复过程中。

官方公布的测试数据显示，在一项专门考察模型是否遵守授权范围的评估中，GPT-6 Cyber 在没有额外部署提示的情况下，99.93% 的测试没有越过指定边界；加入相关提示后，该项测试达到 100%。

不过，这些成绩只代表特定评估条件下的表现，并不意味着模型在所有实际环境中都绝对不会出错。因此，OpenAI 也没有将 GPT-6 Cyber 直接开放给所有普通用户。

目前，它主要通过 API 和 Codex 向经过批准的部分网络安全研究客户提供，后续再逐步扩大使用范围。换句话说，今天打开 ChatGPT，并不代表你就可以直接选择 GPT-6 Cyber。

短期来看，这款模型不会直接改变我们使用手机或电脑的方式。它不会因为发布，就自动修复每个人设备上的所有漏洞。

真正的安全改善，还需要研究人员验证发现、软件厂商制作补丁，并通过系统或应用更新交付给用户。

但从长期看，这类 AI 工具确实有值得期待的价值。过去，一些隐藏很深的软件问题可能需要研究人员花费大量时间才能发现。如果 AI 能够帮助安全团队更早识别问题、验证风险并辅助修复，就有机会缩短漏洞长期存在而未被发现的时间。

当然，安全防护并不是单纯比谁发现漏洞更快。发现之后能不能及时修复、修复是否引入新问题、用户是否安装更新，同样重要。

对于普通消费者来说，最实际的做法仍然是保持操作系统和浏览器更新，使用可靠的密码与多因素验证，不随意安装来源不明的软件。

最近几年，AI 行业的竞争主要围绕聊天能力、推理水平、编程和多模态展开。现在，越来越多 AI 模型开始进入更专业的实际工作。

GPT-6 Cyber 就是一个例子。它面向的不是日常聊天，而是需要专业知识、严格授权和结果验证的网络安全研究。这类技术的价值，不能只看它在排行榜上领先多少。

更重要的是，它究竟能帮助人类解决多少真实问题，以及能否在能力不断增强的同时，把风险控制在合理范围内。

对于普通用户而言，GPT-6 Cyber 可能不是一款需要立即尝试的新工具，但它参与保护的软件，未来可能就在我们的手机和电脑里。

比起让 AI 回答得更漂亮，让我们每天使用的数字世界变得更安全，同样是一件值得关注的事。