GPT-6 Cyber ma szukać luk szybciej niż zespoły bezpieczeństwa zdążą je łatać
Spis treści
OpenAI udostępniło model GPT-6 Cyber wybranym organizacjom korzystającym z programu Daybreak Red. Model ma pomagać w autoryzowanych testach penetracyjnych, walidacji exploitów i badaniu podatności. Firma pokazuje przy tym wyniki, które dobrze ilustrują zarówno potencjał, jak i problem całej generacji narzędzi do cyberbezpieczeństwa: sztuczna inteligencja może znajdować błędy szybciej, niż zespoły odpowiedzialne za ich usuwanie są w stanie je obsłużyć.
GPT-6 Cyber znalazł 81 nowych luk w Firefoxie
Według oficjalnego komunikatu OpenAI podczas kampanii badawczej GPT-6 Cyber wskazał 81 wcześniej nieznanych podatności w Firefoksie. Mozilla zaklasyfikowała je jako luki o wysokiej wadze. Model przygotowywał dowody i powtarzalne testy, które następnie mogły zostać przeanalizowane przez badaczy. OpenAI podkreśla, że chodziło nie tylko o samo wskazanie podejrzanego miejsca w kodzie, ale również o zebranie materiału potrzebnego do oceny i naprawy problemu.
To ważne rozróżnienie. Wynik modelu nie jest automatycznie gotową poprawką ani dowodem, że każdy znaleziony trop da się wykorzystać w realnym ataku. W procesie uczestniczą ludzie, a Daybreak jest przeznaczony do pracy na systemach, które organizacja posiada lub ma wyraźne pozwolenie testować.
948 exploitów LPE w kampanii obejmującej Linuksa
Jeszcze większe wrażenie robią dane z opisanej przez OpenAI kampanii dotyczącej popularnej dystrybucji Linuksa. Pipeline, czyli łańcuch automatycznych etapów od skanowania kodu po przygotowanie poprawki, odtworzył dynamicznie 1724 podatności. Wygenerował też dowody koncepcji dla 291 luk umożliwiających wyciek informacji oraz 948 działających exploitów lokalnego podniesienia uprawnień, znanych jako LPE.
OpenAI zaznacza, że wyniki były sprawdzane przez badaczy bezpieczeństwa, a środowisko testowe korzystało ze standardowego systemu, a nie celowo osłabionej instalacji. Cała kampania kosztowała około 1,21 mln dolarów w kredytach API. Ta kwota pokazuje, że mówimy o poważnym narzędziu badawczym, ale nie o tanim automacie, który każda mała firma może dziś uruchomić bez przygotowania.
Daybreak Blue i Red to nie to samo
OpenAI rozdziela dostęp do funkcji cyberbezpieczeństwa na dwa poziomy. Daybreak Blue służy przede wszystkim do defensywnego przeglądu kodu, triage'u podatności, analizy złośliwego oprogramowania i walidacji poprawek. Daybreak Red jest przeznaczony do bardziej zaawansowanych, autoryzowanych działań, takich jak testy penetracyjne, kontrolowane tworzenie exploitów i badania podatności.
GPT-6 Cyber trafia początkowo tylko do wybranej grupy zatwierdzonych klientów Daybreak Red. Wszyscy klienci tego poziomu mogą korzystać z GPT-5.6 Cyber, natomiast dostęp do GPT-6 Cyber wymaga dodatkowej zgody. To ograniczenie ma znaczenie, bo otwarcie najbardziej sprawnych narzędzi bez kontroli dostępu zwiększałoby ryzyko wykorzystania ich przez osoby atakujące.
Czy to wystarczy do ochrony infrastruktury?
Nie. Największą wartością takich modeli jest skrócenie drogi od znalezienia podejrzanego fragmentu kodu do powtarzalnego testu i propozycji poprawki. Nadal trzeba jednak zweryfikować wynik, skoordynować ujawnienie podatności z opiekunem projektu, przetestować zmianę i dostarczyć ją użytkownikom. Każdy z tych etapów może stać się wąskim gardłem.
OpenAI deklaruje, że w ramach Daybreak przeznaczy 1 mld dolarów na dotowany dostęp, szkolenia, wsparcie techniczne i partnerstwa dla obrońców, w tym operatorów infrastruktury krytycznej oraz projektów open source. To krok w dobrą stronę, ale sama liczba odkrytych problemów sugeruje, że bezpieczeństwo będzie wymagało nie tylko mocniejszych modeli. Potrzebne są także zespoły utrzymujące oprogramowanie, sprawne procesy zgłaszania błędów i budżet na wdrażanie poprawek.
GPT-6 Cyber nie rozwiązuje więc problemu cyberbezpieczeństwa. Podnosi raczej tempo gry po obu stronach. Dla obrońców oznacza to szansę na wcześniejsze wykrywanie luk, ale także presję, by przejąć wyniki modeli i zamienić je w realnie wdrożone aktualizacje.
Źródła
Autor Artykułu
Paweł Lisowski
Paweł Lisowski - pasjonat technologii, komputerów i internetu. Od wielu lat śledzi rozwój sprzętu i oprogramowania, testuje nowe rozwiązania i dzieli się wiedzą z czytelnikami. Zafascynowany wpływem technologii na codzienne życie, tworzy praktyczne poradniki i inspiruje do świadomego korzystania z cyfrowego świata.