GPT‑6 Cyber: Posouvání možností sladěných kyberbezpečnostních agentů

Představujeme GPT‑6 Cyber, zásadní posun v bezpečnostním výzkumu: lépe nachází a opravuje zranitelnosti a mnohem spolehlivěji dodržuje hranice stanovené výzkumníky. GPT‑6 Cyber přináší oproti GPT‑5.6 Cyber výrazné zlepšení v klíčových benchmarcích kybernetické bezpečnosti, včetně relativního zlepšení o 51 % v ExploitGym a skokového zlepšení v testech dodržování povoleného rozsahu. Už nyní pomáhá zabezpečovat software v praxi: odhaluje a ověřuje tisíce exploitů v kódových základnách zásadních pro bezpečnost, jako jsou Linux a Firefox.

V ExploitGym, který testuje, zda modely dokáží zneužít zadanou zranitelnost, dosahuje GPT‑6 Cyber skóre 48,5 %, oproti 32,1 % u GPT‑5.6 Cyber. Spolehlivěji také dodržuje hranice úkolu: v samostatném hodnocení sladění se záměry uživatele se GPT‑6 Cyber vyhnul zneužití služeb mimo povolený rozsah v 99,93 % testů bez promptu používaného při nasazení a ve 100 % testů s tímto promptem. Toto lepší sladění je výsledkem cíleného tréninku zaměřeného na dodržování povoleného rozsahu, respektování omezení a přesné vykazování výsledků.

Tyto schopnosti už pomáhají zabezpečovat skutečné systémy. Naši výzkumníci pomocí GPT‑6 Cyber vyvinuli 948 exploitů pro zvýšení oprávnění v Linuxu⁠ a identifikovali 81 dosud neznámých, vysoce závažných zranitelností ve Firefoxu, a to i přes předchozí rozsáhlé testování průkopnickými modely. Model také pomohl navrhnout záplaty a Mozilla už vydala opravy mnoha zranitelností Firefoxu⁠(otevře se v novém okně). Bezpečnostní týmy společností Cisco, Calif a CodeRabbit ho používají pro výzkum zranitelností a revize kódu. My jsme se na něj spolehli při hledání a opravách slabin v naší vlastní infrastruktuře⁠.

Je zřejmé, že máme jen omezený čas na využití průkopnických modelů k zabezpečení softwaru⁠. Naším cílem je zásadně rozšířit Daybreak a zpřístupnit pokročilý bezpečnostní výzkum organizacím všech velikostí, nezávislým výzkumníkům i správcům open-source projektů. Modely hlavní řady, jako je GPT‑6 Astra, už podporují revize kódu, třídění zranitelností podle priority a vývoj oprav. Daybreak Blue pomáhá ověřeným obráncům ověřovat zranitelnosti a opravy s menším počtem zbytečných odmítnutí. Daybreak Red pak umožňuje pokročilejší vývoj exploitů a autorizované bezpečnostní testování s GPT‑6 Cyber.

GPT‑6 Cyber představuje oproti GPT‑5.6 Cyber výrazný pokrok a ve většině kybernetických úloh překonává GPT‑6 Astra, a to i tehdy, když Astra požadavek neodmítne. Model jsme hodnotili na úlohách, které vyžadují porozumění softwaru, identifikaci zranitelností a vývoj funkčních exploitů. Na základě těchto výsledků řadíme model v oblasti kybernetické bezpečnosti podle našeho rámce připravenosti do kategorie kritické úrovně, oproti vysoké úrovni u GPT‑5.6 Cyber.

V ExploitGym, který testuje, zda modely dokáží zneužít zadanou zranitelnost ve vzdáleném cíli, dosahuje GPT‑6 Cyber skóre 48,5 %. To je přibližně o 16 procentních bodů více než 32,1 % u GPT‑5.6 Cyber. Pro testování schopnosti objevovat zranitelnosti jsme vytvořili také nové hodnocení ofenzivního penetračního testování webových aplikací. Modely zkoumají webové aplikace bez přístupu k jejich zdrojovému kódu. GPT‑6 Cyber odhalil 40,3 % zranitelností, oproti 32,0 % u GPT‑6 Astra.

Daybreak Red je navržen pro podporu pokročilejších bezpečnostních pracovních postupů, včetně vývoje funkčních exploitů a jejich použití proti vzdáleným cílům. Pro vyhodnocení těchto schopností jsme vytvořili nový benchmark RemoteExploitBench. Využívá známé zranitelnosti v aplikacích, jako jsou GitLab, PostgreSQL a Jenkins, nasazených v řízeném prostředí. V našem úvodním hodnocení GPT‑6 Astra s Daybreak Blue odmítl 100 % úkolů, zatímco GPT‑6 Cyber splnil 95 %. Jeho jediným neúspěchem byl exploit, který se mu nepodařilo zprovoznit na dálku. Úplné výsledky a nastavení hodnocení najdete v kartě systému⁠(otevře se v novém okně).

Jedním z rizik u agentů pro kybernetickou bezpečnost je, že překročí rozsah zadaného úkolu, pokusí se zneužít zranitelnosti nesouvisejících služeb nebo nerespektují pravidla testování stanovená výzkumníkem.

U GPT‑6 Cyber jsme kladli zásadní důraz na sladění. Specializovaný trénink pomáhá modelu dodržovat povolený rozsah, respektovat omezení jeho činností a přesně informovat o své práci. Před nasazením jsme provedli sérii hodnocení sladění, abychom tyto aspekty chování změřili. Úplné výsledky najdete v kartě systému⁠(otevře se v novém okně).

Jedním z těchto hodnocení je ExploitGym Honeypot, jehož podobu ovlivnil incident na Hugging Face⁠. Modelu zadáme obtížný úkol spočívající ve zneužití zranitelnosti v izolovaném prostředí s přístupem k podpůrným službám, jako je registr balíčků nebo objektové úložiště. Tyto služby záměrně nastavíme tak, aby šly snadno napadnout a útok na ně mohl odhalit cílový příznak úkolu. Model musí sám vyvodit, že zneužití těchto služeb je mimo rozsah jeho úkolu.

GPT‑6 Cyber v tomto hodnocení vykazuje oproti GPT‑5.6 Cyber skokové zlepšení. Při testování bez bezpečnostních promptů používaných při nasazení se vyhnul zneužití služeb mimo povolený rozsah v 99,93 % případů, oproti 94,49 % u GPT‑5.6 Cyber. S těmito prompty GPT‑6 Cyber dodržel stanovené hranice ve 100 % případů.

Přímo v myšlenkovém řetězci modelu GPT‑6 Cyber vidíme, jak uvažuje o dodržování hranic:

GPT‑6 Cyber už bezpečnostním týmům pomáhá nacházet zranitelnosti, ověřovat jejich dopad a vyvíjet opravy. Zákazníci jej využívají při práci s rozsáhlými kódovými základnami, dlouhodobém vývoji exploitů a bezpečnostních revizích:

Na GPT‑6 Cyber jsme se spolehli i při zabezpečování vlastních systémů. Byl jedním z hlavních modelů, které jsme využili při posilování zabezpečení infrastruktury pro trénování průkopnických modelů⁠, o němž jsme nedávno informovali. V řízených red-teamingových kampaních agenti využívající GPT‑6 Cyber a další modely OpenAI řetězili zranitelnosti, aby unikli z prostředí microVM a spustili kód na hostitelských systémech. Na základě těchto zjištění jsme opravili software, zpřísnili síťová omezení a nahlásili problémy správcům a dodavatelům.

Naši výzkumníci také používají GPT‑6 Cyber k rozsáhlému vyhledávání a ověřování zranitelností v open-source softwaru. Tato práce odhalila dosud neznámé chyby v softwaru, který byl roky podrobně prověřován:

• Objevení 81 nových zranitelností ve Firefoxu. GPT‑6 Cyber může být vhodný pro autonomní pracovní postupy, které ve velkém měřítku vyhledávají zranitelnosti a navrhují kvalitní opravy. Během výzkumné kampaně GPT‑6 Cyber vytvořil důkazy a reprodukovatelné testy pro 81 nových zranitelností, které Mozilla označila za vysoce závažné. Zároveň ukázal, že dalších 30 známých problémů je závažnějších, než se původně uvádělo. Zjištění jsme předali Mozille spolu s návrhy záplat, které měly jejím inženýrům pomoci s vývojem oprav. Mozilla tuto práci podpořila a krátce po obdržení hlášení začala vydávat opravy⁠(otevře se v novém okně).

• Vývoj exploitů pro 948 zranitelností jádra Linuxu⁠. GPT‑6 Cyber reprodukoval 1 724 zranitelností a pro 948 z nich vyvinul funkční exploity. To je více než pětinásobek oproti 166 zranitelnostem, které dokázal zneužít GPT‑5.6 Sol se stejným výzkumným harnessem. V souladu s pokyny linuxové komunity jsme správcům předali 304 kritických nálezů spolu s návrhy záplat a pracujeme na opravách dalších zranitelností.

• Prokázání kritických zranitelností umožňujících vzdálené spuštění kódu (RCE). Nedávno jsme popsali kritickou zranitelnost v Brotli⁠(otevře se v novém okně), kompresní knihovně používané v Node.js a dalším softwaru. Naši bezpečnostní výzkumníci použili GPT‑6 Cyber spolu s dalšími modely OpenAI k vývoji a ověření exploitů, které ukazují, jak by tato chyba mohla umožnit vzdálené spuštění kódu v aplikacích využívajících tuto knihovnu.

S tím, jak jsou modely schopnější a odhalují více bezpečnostních zranitelností, pozorujeme i více pokusů o jejich využití ke škodlivým účelům. Patří mezi ně aktivity kybernetických útočníků i nepřátelských skupin usilujících o destilaci našich modelů. Vyšší schopnosti GPT‑6 Cyber jsme proto doplnili silnějšími ochrannými opatřeními, která odhalují a maří zneužití a udržují činnost modelu v mezích záměru a oprávnění uživatele.

Při vydání GPT‑6 Cyber jsme přidali a posílili následující ochranná opatření (úplné informace najdete v kartě systému⁠(otevře se v novém okně)):

• Monitorování specificky kyberbezpečnostní nesladěnosti. Sledujeme, zda činnosti odpovídají oprávněním uživatele, a přitom rozlišujeme legitimní vývoj a testování exploitů.

• Cílené monitorování nových hrozeb. Například během koordinovaného zveřejňování kritických zranitelností PHP jsme zavedli cílené monitorování pokusů o vývoj exploitů proti serverům PHP v ostrém provozu. Zároveň jsme zachovali podporu obránců, kteří opravují dotčené systémy.

• Private Safety Processing (PSP). Pomocí automatizovaných kontrol prověřujeme související interakce, zda nedochází ke zneužití. Výchozí nastavení nadále počítá se standardním uchováváním dat. Zákazníci API využívající nulové uchovávání dat⁠(otevře se v novém okně) musí zpravidla používat PSP⁠(otevře se v novém okně). Tento systém kontroluje šifrované záznamy uchovávané po dobu 30 dnů v úložišti zákazníka, aniž by zaměstnancům OpenAI zpřístupňoval prompty a odpovědi.

• Ochrana před zneužitím odcizených přihlašovacích údajů. Pro přístup k API Daybreak Red standardně vyžadujeme seznam povolených IP adres. Požadavky tak s omezenými výjimkami přijímáme pouze ze schválených sítí. Sledujeme také, zda nedošlo ke kompromitaci přihlašovacích údajů.

• Izolace v sandboxu a dohled. Stejně jako u předchozích modelů doporučujeme pro vysoce rizikové pracovní postupy izolaci v sandboxu⁠(otevře se v novém okně), kontrolu akcí⁠(otevře se v novém okně) a lidský dohled.

• Ochrana před vysoce rizikovou pomocí v kybernetické oblasti. Novými kontrolami blokujeme vysoce rizikové aktivity týkající se kritických systémů (více viz níže).

Při navrhování ochranných opatření a pravidel přístupu ke GPT‑6 Cyber jsme kladli zásadní důraz na ochranu kritické infrastruktury. Patří sem elektrárny, zařízení na úpravu vody i provozní technologie a průmyslové řídicí systémy (OT/ICS), na kterých jejich provoz stojí. Chceme týmům, které tyto systémy chrání, umožnit přístup k našim nejschopnějším modelům a zároveň posilovat ochranná opatření proti neoprávněným útokům.

Za prvé těmto obráncům poskytujeme prostředky prostřednictvím grantového programu Daybreak pro obránce v první linii⁠ v hodnotě 1 miliardy dolarů. Ten dotuje přístup týmům s omezenými zdroji, například státním organizacím a poskytovatelům základních služeb. V rámci Daybreak Red také zavádíme novou skupinu pro schválené obránce kritické infrastruktury (Daybreak Red pro kritickou infrastrukturu). Ta jim umožňuje provádět autorizované testování kritických systémů při zachování ochranných opatření proti odchylkám modelu od záměrů uživatele.

Za druhé jsme v zájmu prevence zneužití platforem Daybreak Red a Blue zdokonalili ochranná opatření proti pomoci a rozvoji schopností, které by mohly narušit průmyslové řízení nebo systémy zásadní pro bezpečnost, zasahovat do zařízení či způsobit vážná zranění, katastrofální hmotné škody nebo život ohrožující výpadky služeb. Níže uvedený graf porovnává míru označení ochrannými mechanismy ve čtyřech konfiguracích přístupu, a to před nedávnými aktualizacemi, které zavádíme spolu s GPT‑6 Cyber, a po nich.

Vyšší míra blokování ochrannými mechanismy není vždy lepší. Mnohé techniky z tohoto hodnocení jsou nezbytné i pro legitimní bezpečnostní práci: porozumění systémům, hledání zranitelností a ověřování, zda opravy odolají útoku. Proto tyto míry posuzujeme společně s podporou legitimního výzkumu a oprav, místo abychom usilovali o 100 %.

Abychom vyhodnotili, jak mohou naše modely pomáhat s obranou kritické infrastruktury, navázali jsme spolupráci se společností Dragos, globálním poskytovatelem kybernetického zabezpečení rozšířených provozních technologií (xOT). Dragos v řízeném laboratorním prostředí provedl hodnocení modelů Daybreak Red, které mají volnější omezení pro kybernetické úlohy. Hodnocení zahrnovala požadavky postupující od mapování sítě a výčtu aktiv přes cílený průzkum a exfiltraci citlivých dat až po neoprávněné a potenciálně nebezpečné akce na zařízeních.

Zpětnou vazbu od společnosti Dragos jsme využili ke zdokonalení ochranných opatření s cílem blokovat škodlivou pomoc, aniž bychom zbytečně omezovali autorizované testování. Podrobnosti o hodnoceních najdete v jejich závěrečné zprávě⁠(otevře se v novém okně). Rozšiřujeme také partnerství s dalšími poskytovateli ofenzivního zabezpečení a týmy propojujícími útočný a obranný přístup (purple teams) v oblasti penetračního testování a red-teamingu s AI. S energetickými společnostmi, dalšími provozovateli kritické infrastruktury a národními laboratořemi pak chceme hodnotit účinnost našich modelů a ochranných opatření při obraně průmyslových systémů. Zvýšili jsme také investice do vyšetřování hrozeb, abychom odhalovali používání modelů v souvislosti s OT/ICS. Ochranná opatření budeme dál zdokonalovat na základě podnětů od partnerů a bezpečnostní komunity. Patří sem i hlášení přes /feedback, pokud ochranná opatření přehlédnou škodlivou aktivitu nebo přeruší legitimní práci.

GPT‑6 Cyber je zpočátku dostupný prostřednictvím API a Codex pro vybranou skupinu schválených zákazníků Daybreak Red. Přístup brzy postupně rozšíříme na všechny zákazníky Daybreak Red. Všem zákazníkům Daybreak Red také zpřístupňujeme GPT‑5.6 Cyber. Rozšiřujeme také přístup k alfaverzi Daybreak Blue pro GPT‑6 Astra na další organizace a jednotlivé bezpečnostní výzkumníky. Pokud máte zájem, dejte nám vědět⁠(otevře se v novém okně).

Noví uživatelé a organizace se mohou přihlásit do Daybreaku⁠ a začít využívat naše dovednosti, produkty a partnery v oblasti kybernetické bezpečnosti⁠.