GPT-6 Cyber, новая модель OpenAI для задач кибербезопасности, обнаружила 81 ранее неизвестную уязвимость высокой степени опасности в Firefox и подготовила рабочие эксплойты для 948 отдельных ошибок ядра Linux. Для русскоязычных команд разработки это не очередная демонстрация возможностей ИИ, а сигнал: поиск уязвимостей становится быстрее, дешевле и доступнее — сначала для защитников, а затем, вероятно, и для атакующих.
OpenAI представила модель 6 ноября. По данным BleepingComputer, в тестировании Firefox система не только нашла 81 серьёзную проблему, но и помогла подготовить исправления; часть патчей Mozilla уже выпустила. В исследовании ядра Linux модель отметила 2308 потенциальных дефектов, смогла воспроизвести 1724 уязвимости и создала сценарии локального повышения привилегий для 948 из них. То есть непривилегированный пользователь в уязвимой конфигурации мог получить права root.
Здесь важна не только внушительная арифметика. Поиск подозрительного участка кода — лишь первая половина работы. Настоящая ценность для атакующего или исследователя появляется, когда гипотезу удаётся воспроизвести, отделить ложное срабатывание от реального бага и доказать влияние на систему. OpenAI утверждает, что GPT-6 Cyber умеет проходить эту цепочку заметно лучше прежних моделей: в бенчмарке ExploitGym доля успешно эксплуатированных уязвимостей достигла 48,5% против 32,1% у GPT-5.6 Cyber.
Компания отнесла новую модель к категории Critical в своей системе оценки киберрисков. Предыдущая модель имела статус High. В публичный доступ инструмент пока не выпускают: доступ ограничен одобренными клиентами программы Daybreak Red, ориентированной на авторизованное тестирование и разработку эксплойтов. Для верифицированных защитников предназначена Daybreak Blue: там можно исследовать уязвимости и проверять исправления с менее жёсткими ограничениями.
Ограниченный доступ не отменяет более неприятный вопрос: сколько времени у индустрии есть до того, как подобная автоматизация окажется у групп, которым согласование с владельцем инфраструктуры не требуется. OpenAI прямо предупреждает о коротком окне, когда передовые модели можно использовать для массового аудита и закрытия долгов до того, как те же способности станут обычным инструментом наступательных операций.
Тренд уже виден не только в лабораторных бенчмарках. В октябре исследователи OpenAI, Calif и Wiz применили ИИ для поиска двух критических проблем PHP, получивших название PHP2Shell; атаки на них начались ещё до выхода исправлений. Другой исследователь сообщил, что агенты выполнили около 17 600 проверок аутентификации и нашли ранее неизвестный обход защиты OpenSSH, известный как *sshole. Автоматизация не превращает каждую находку в готовую атаку, но радикально сокращает объём ручной рутины: перебор сценариев, анализ ответов, воспроизведение условий и подготовку доказательства эксплуатации.
Для разработчиков вывод довольно приземлённый. Уязвимости в открытом коде больше нельзя оценивать только по скорости ручного аудита или по числу глаз на проекте. Особенно это касается компонентов с широким распространением: браузеров, библиотек аутентификации, сетевых сервисов, CI/CD-инфраструктуры и контейнерных образов. Командам понадобятся более короткие циклы обновлений зависимостей, воспроизводимые тесты безопасности и готовность быстро разбирать сообщения от исследователей, а не складывать их в общий бэклог.
Бизнесу стоит смотреть на такие модели не как на замену AppSec-команды, а как на усилитель и атакующей, и защитной стороны. Инструмент может помочь быстрее искать регрессии после изменений в коде, проверять, действительно ли патч закрывает путь к эксплуатации, и расставлять приоритеты в длинном списке CVE. Но он же способен умножить последствия старых проблем: сервисов без владельца, устаревших образов, чрезмерных прав и хостов, которые месяцами не получают обновления.
Следующий рубеж — не число найденных багов, а скорость полного цикла: от коммита с ошибкой до её обнаружения, проверки, патча и развёртывания. Если ИИ научится системно ускорять все эти этапы, преимущество получат не компании с самым громким названием модели, а те, кто умеет без бюрократической паузы принимать и доставлять исправления. Исходные цифры и условия тестов описаны в материале .