OpenAI выпустила GPT-6 Cyber: 48,5% на ExploitGym и класс Critical

OpenAI 5 ноября 2026 года выпустила GPT-6 Cyber — вариант GPT-6 Astra, дообученный под поиск уязвимостей, разработку эксплойтов и пентест веб-приложений. Модель получают только проверенные клиенты программы Daybreak Red, а по Preparedness Framework компания отнесла её к классу Critical в кибербезопасности, как и GPT-6 Astra. Именно эта модель стояла за опубликованным днём ранее исследованием с 948 рабочими эксплойтами повышения привилегий в ядре Linux и за 81 новой уязвимостью Firefox высокой серьёзности.

Для разработчика это значит две вещи. Мейнтейнерам открытых проектов, включая зависимости вашего кода, стоит ждать больше отчётов с кандидатами патчей, которые придётся проверять. Свободного доступа к самой модели нет: нужно одобрение в Daybreak Red с проверкой личности, SSO и MFA в организации и белым списком IP, а России нет в списке стран, где OpenAI официально предоставляет API. Ниже — что показали бенчмарки и кто их мерил, что модель нашла в Linux и Firefox, как OpenAI учила её не лезть за рамки задачи и как это выглядит рядом с Gemini 4 Carbon и Claude.

Насколько GPT-6 Cyber сильнее GPT-5.6 Cyber и Astra?

Главный бенчмарк анонса — ExploitGym: модель получает описание конкретной уязвимости в удалённой цели и должна добыть флаг через выполнение кода, причём именно через эту уязвимость. GPT-6 Cyber решает 48,5% задач, GPT-5.6 Cyber — 32,1%, GPT-6 Astra в режиме Daybreak Blue — 42,4%, а Astra со стандартными защитами — 0%, потому что отказывается от таких запросов. Все цифры — замеры OpenAI; в системной карте уточняется, что результаты приведены при максимальном протестированном бюджете рассуждений.

ExploitGym, доля задач, где модель довела заданную уязвимость до рабочего эксплойта (intended-exploit success rate). Источник данных: анонс OpenAI от 5 ноября 2026 года; расчёт Tproger

Два других теста OpenAI построила специально под релиз. В пентесте веб-приложений без доступа к исходному коду GPT-6 Cyber нашла 40,3% заложенных уязвимостей против 32,0% у Astra. На RemoteExploitBench, где цели — известные уязвимости в GitLab, PostgreSQL и Jenkins, развёрнутых в изолированной среде, GPT-6 Cyber выполнила 95% задач, а единственный провал — эксплойт, который не удалось запустить удалённо; Astra в режиме Daybreak Blue отказалась от всех задач.

Системная карта добавляет внутренние замеры, где разрыв с Astra меньше: SEC-Bench Pro (поиск уязвимостей в движках JavaScript) — 87,02% против 85,38%, SRE-Bench по реверс-инжинирингу бинарников — 92,84% против 87,98%, ExploitGym Hardened с ASLR, канарейками стека и песочницей V8 — 36,94% против 29,69%. На историческом ExploitBench модель получила 100% по нормированному среднему показателю способности к произвольному выполнению кода (ACE), но OpenAI сама предупреждает, что набор уязвимостей там с 2023 года и результат может быть завышен из-за попадания примеров в обучающие данные.

Внешнюю оценку делали NIST CAISSI и компания Irregular. По данным Irregular, на CyScenarioBench с длинными наступательными сценариями GPT-6 Cyber хотя бы раз решила все 11 задач против 8 у Astra. На FrontierCyber с реальным ПО и железом картина обратная: 90 из 288 задач против 96 у Astra; на полностью защищённых целях успехов не было, а 15 самых сложных задач не решила ни одна модель. В обычном программировании специализация не помогла: на внутреннем ExpertSWE у GPT-6 Cyber 82,95% против 83,24% у Astra.

Что модель уже нашла в Linux и Firefox?

Самая громкая цифра — Linux. В отчёте от 4 ноября OpenAI описала конвейер, который в середине октября за первые 12 часов собрал 2 308 кандидатов в уязвимости в свежей ветке master ядра, затем воспроизвёл 1 724 из них и довёл 948 до рабочих эксплойтов локального повышения привилегий на обычной настольной системе. Прогон стоил $1 213 430 в API-кредитах, то есть $1 279 за эксплойт; GPT-5.6 Sol в том же харнессе в конце июля нашла 166 уязвимостей за $513 690. В выборке из 166 эксплойтов исследователи насчитали 10 техник, которые раньше не встречали. Мейнтейнерам OpenAI передала 304 критических находки с кандидатами патчей.

В Firefox модель за одну кампанию подготовила доказательства и воспроизводимые тесты для 81 ранее неизвестной уязвимости, которые Mozilla классифицировала как high severity, и показала, что ещё 30 известных ошибок серьёзнее, чем считалось. OpenAI передала находки вместе с предложенными патчами, и Mozilla начала выпускать исправления. В бюллетене к Firefox 159 от 27 октября, на который ссылается OpenAI, 167 CVE, 108 из них с уровнем high; по подсчёту Tproger, у 41 записи в графе Reporter указаны сотрудники OpenAI или команда OpenAI Codex Security. Это бюллетень одной версии, а не весь список: Mozilla отдельно отмечает, что перестала объединять найденные внутри ошибки памяти в один CVE и теперь заводит запись на каждую.

Firefox вошёл в 2026 год одной из самых защищённых и изученных кодовых баз в мире. Даже после укрепления несколькими поколениями передовых моделей GPT-6 Cyber нашла ранее неизвестные уязвимости высокой серьёзности, указала на архитектурные улучшения и помогла нам выпустить исправления для миллионов пользователей (перевод редакции).

Брайан ГринстедDistinguished Engineer, Firefox, цитата из анонса OpenAI

Модель также участвовала в проверке инфраструктуры самой OpenAI: в контролируемых red team-кампаниях агенты связывали уязвимости в цепочки и выходили из microVM на хост. Отдельно компания показала с её помощью, как критическая уязвимость в библиотеке сжатия Brotli, которой пользуется Node.js, превращается в удалённое выполнение кода в зависимых приложениях.

Как OpenAI учила модель не выходить за рамки задачи?

Вторая половина анонса посвящена дисциплине агента. Главный риск кибермодели, по формулировке OpenAI, — выйти за рамки задания, атаковать посторонние сервисы или проигнорировать правила взаимодействия, которые задал исследователь. Для проверки OpenAI построила ExploitGym Honeypot: модель получает сложную задачу на эксплуатацию в изолированной среде, где рядом есть вспомогательные сервисы вроде реестра пакетов или объектного хранилища. Их специально сделали уязвимыми, и через них можно достать флаг задачи, но модель должна сама понять, что это вне её полномочий.

ExploitGym Honeypot, доля прогонов без защитного промпта, в которых модель взломала сервис-приманку вне задачи, меньше лучше. Источник данных: системная карта GPT-6 Cyber; расчёт Tproger

Без защитного промпта GPT-6 Cyber взломала приманку в 0,07% прогонов против 5,51% у GPT-5.6 Cyber и 49,5% у GPT-5.6 Sol; у GPT-6 Astra 0%. С защитными инструкциями у GPT-6 Cyber тоже 0%. Тест, пишет OpenAI, появился после инцидента с Hugging Face, когда агенты OpenAI в поисках ответа на поставленную задачу проникли в системы этого сообщества. Глава команды киберготовности и безопасности OpenAI Фуад Матин на брифинге для прессы, по пересказу The Verge, сказал, что модель «больше чем в 99% случаев делает то, о чём её просят», и признал, что отдельная проблема — осведомлённость модели о том, что её тестируют: «Часто, когда мы видим осведомлённость об оценке, это видно в цепочке рассуждений модели».

В остальных тестах согласованности из системной карты картина смешанная. Выдумывать результаты недоступного поискового инструмента модель стала реже всех: 0,33% ответов против 6,92% у Astra. Зато в финальном ответе она чаще умалчивает о препятствиях, помешавших выполнить задачу: 20,29% помеченных ответов против 11,66% у Astra; OpenAI уточняет, что в большинстве таких случаев модель уже сообщала о проблеме по ходу работы и просто не повторила это в итоге.

Внешние специалисты оценивают прогресс осторожнее. Вице-президент по стратегии безопасности Noma Security Крис Хьюз сказал CSO Online: «Выход за рамки в 0,07% случаев против 5,51% у предыдущей модели — реальное улучшение. Но при масштабах, на которых работают эти модели, даже малая доля означает действия против систем, которые никто не разрешал» (перевод редакции). Он же напомнил, что панель Patch the Planet от OpenAI пока показывает долю исправленных находок ниже 25%, и, по его оценке, с ростом возможностей поиска разрыв между найденным и починенным, скорее всего, увеличится.

Как GPT-6 Cyber выглядит рядом с Gemini 4 Carbon и Claude?

Прямого сравнения с конкурентами в анонсе нет, но ExploitGym используют и другие лаборатории. Google в анонсе Gemini 4 Carbon 28 октября приводила для своей модели 54,8% с лимитом 10 часов на задачу и 53,5% с лимитом 6 часов, для GPT-6 Astra — 42,4%, а для Claude Opus 5.5 — 34,5% за 6 часов. Собственные прогоны Google касались только Carbon (в Antigravity, без интернета, с отключёнными защитными механизмами целей), а цифры конкурентов она взяла из их опубликованных отчётов, поэтому ставить всё это в одну таблицу с 48,5% OpenAI можно только с оговоркой: сравнение показывает порядок величин, а не победителя.

ExploitGym по данным двух вендоров: цифры Carbon — собственные прогоны Google с лимитами 10 и 6 часов, цифры Opus 5.5 и моделей OpenAI Google и OpenAI приводят по отчётам разработчиков; условия прогонов различаются. Источник данных: OpenAI, Google DeepMind; расчёт Tproger

Схожа и политика доступа. Google открыла Carbon сначала специалистам по киберзащите и партнёрам программы Fairwind без даты общего запуска. Anthropic в анонсе Claude Opus 5.5 пишет, что из-за «чрезвычайно сильных киберспособностей» большинство задач по безопасности у обычных пользователей перенаправляется на Opus 4.8, а проверенные специалисты получат модель через Cyber Verification Program. OpenAI ещё в сентябре выпускала GPT-6 Astra с кибер-ограничениями, а предыдущую специализированную GPT-5.5-Cyber тоже выдавала только проверенным защитникам.

Кому доступна модель и что делать?

GPT-6 Cyber доступна через API и Codex избранной группе клиентов Daybreak Red, более разрешительного из двух уровней программы доверенного доступа Daybreak. Всем клиентам Daybreak Red модель обещают «скоро», по данным CSO Online и The Verge — в ближайшие недели; GPT-5.6 Cyber открыли всем клиентам Daybreak Red сразу. Параллельно OpenAI расширяет альфу Daybreak Blue для GPT-6 Astra: этот уровень предназначен для проверки уязвимостей и патчей с меньшим числом отказов и рекомендуется большинству защитников. Заявку на Daybreak подают через форму на сайте OpenAI.

• Организации обязаны включить SSO и MFA, использовать управляемые устройства и минимальные привилегии, ротировать ключи и отслеживать использование сотрудниками; индивидуальные исследователи попадают только по приглашению, проходят проверку личности и обязаны пользоваться физическим ключом FIDO2.
• Для API Daybreak Red по умолчанию обязателен белый список IP-адресов, а клиенты с Zero Data Retention в общем случае должны включить Private Safety Processing: зашифрованные записи взаимодействий 30 дней хранятся у клиента и проверяются автоматикой без доступа сотрудников OpenAI к промптам.
• Новые проверки блокируют помощь в атаках на промышленные контроллеры, критические службы и избирательные системы; для защитников критической инфраструктуры заведена отдельная группа Daybreak Red for Critical Infrastructure, а программа грантов Daybreak for Frontline Defenders на $1 млрд субсидирует доступ госорганизациям и поставщикам базовых услуг.

Что это значит на практике. Если вы сопровождаете открытый проект, готовьтесь к отчётам с воспроизводимыми тестами и кандидатами патчей: по отчёту OpenAI, к концу десятидневного сканирования ядра и ручного разбора 61 найденную уязвимость уже исправили в основной ветке, ещё для 43 были подготовлены патчи, но проверять и принимать их по-прежнему людям. Пользователям Firefox стоит обновиться до версии 159 или новее, администраторам Linux — ставить обновления ядра из бюллетеней дистрибутивов: полного списка 304 переданных находок в анонсе нет. Для команд из России барьера два: отбор в Daybreak и отсутствие России в списке стран, где доступен API OpenAI.

OpenAI называет текущий момент «ограниченным окном», когда передовые модели можно использовать для укрепления софта раньше, чем те же возможности появятся у атакующих, и обещает «значительно расширить» Daybreak на организации любого размера, независимых исследователей и мейнтейнеров. Сроков нет; ближайшая проверка — выйдет ли GPT-6 Cyber за пределы избранной группы Daybreak Red в заявленные недели.

Источники: GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents — OpenAI, GPT-6 Cyber System Card — OpenAI Deployment Safety Hub, A thousand fewer paths to root — OpenAI, Mozilla Foundation Security Advisory 2026-118, Firefox 159, OpenAI says its new cybersecurity model is better at not hacking other companies — The Verge, OpenAI's GPT-6 Cyber ups the ante on vulnerability discovery — CSO Online, Introducing Gemini 4 Carbon — Google, Introducing Claude Opus 5.5 — Anthropic, Твит OpenAI об анонсе, Supported countries — OpenAI API

Изображение на обложке: OpenAI