GPT‑6 Cyber: Neue Maßstäbe für Cybersicherheitsagenten, die sich an Vorgaben halten

Wir stellen GPT‑6 Cyber vor: einen großen Fortschritt für die Sicherheitsforschung. Das Modell findet und behebt Schwachstellen besser und hält die von Forschenden gesetzten Grenzen deutlich zuverlässiger ein. GPT‑6 Cyber erzielt gegenüber GPT‑5.6 Cyber deutliche Fortschritte bei wichtigen Cybersicherheits-Benchmarks. Dazu gehören eine relative Verbesserung von 51 % bei ExploitGym und eine sprunghafte Verbesserung in Tests zur Einhaltung des vorgegebenen Aufgabenbereichs. Es hilft bereits, tatsächlich eingesetzte Software abzusichern, indem es Tausende Exploits in sicherheitskritischen Codebasen wie Linux und Firefox aufdeckt und validiert.

Bei ExploitGym wird getestet, ob Modelle eine vorgegebene Schwachstelle ausnutzen können. GPT‑6 Cyber erreicht hier 48,5 %, gegenüber 32,1 % bei GPT‑5.6 Cyber. Auch Aufgabengrenzen hält es zuverlässiger ein: In einer separaten Evaluation zur Ausrichtung verzichtete GPT‑6 Cyber ohne seinen Einsatz-Prompt in 99,93 % der Tests darauf, Dienste außerhalb des Aufgabenbereichs auszunutzen. Mit diesem Prompt waren es 100 %. Diese bessere Ausrichtung ist das Ergebnis eines gezielten Trainings: Das Modell soll im autorisierten Aufgabenbereich bleiben, Einschränkungen beachten und Ergebnisse korrekt wiedergeben.

Diese Fähigkeiten helfen bereits dabei, reale Systeme abzusichern. Unsere Forschenden nutzten GPT‑6 Cyber, um 948 Exploits zur Rechteausweitung in Linux⁠ zu entwickeln und 81 bislang unbekannte, schwerwiegende Schwachstellen in Firefox zu identifizieren. Das gelang trotz umfangreicher vorheriger Tests mit Frontier-Modellen. Das Modell half auch bei der Entwicklung von Patch-Entwürfen. Mozilla hat bereits Korrekturen für viele der Firefox-Schwachstellen veröffentlicht⁠(wird in einem neuen Fenster geöffnet). Sicherheitsteams bei Cisco, Calif und CodeRabbit nutzen es für Schwachstellenforschung und Codeprüfungen. Wir selbst haben es eingesetzt, um Schwachstellen in unserer eigenen Infrastruktur zu finden und zu beheben⁠.

Es ist klar: Uns bleibt nur ein begrenztes Zeitfenster, um Software mit Frontier-Modellen abzusichern⁠. Unser Ziel ist es, Daybreak erheblich auszuweiten und fortgeschrittene Sicherheitsforschung für Organisationen jeder Größe, unabhängige Forschende und die Verantwortlichen für die Pflege von Open-Source-Software zugänglich zu machen. Modelle der Hauptreihe wie GPT‑6 Astra unterstützen bereits Codeprüfungen, die Priorisierung von Schwachstellen und die Entwicklung von Patches. Daybreak Blue hilft verifizierten Sicherheitsfachleuten, Schwachstellen und Korrekturen mit weniger unnötigen Ablehnungen zu überprüfen. Daybreak Red ermöglicht mit GPT‑6 Cyber eine weitergehende Exploit-Entwicklung und autorisierte Sicherheitstests.

GPT‑6 Cyber ist ein großer Fortschritt gegenüber GPT‑5.6 Cyber und übertrifft GPT‑6 Astra bei den meisten Cyberaufgaben, selbst wenn Astra die Anfrage nicht ablehnt. Wir haben das Modell anhand von Aufgaben evaluiert, bei denen es Software verstehen, Schwachstellen identifizieren und funktionierende Exploits entwickeln muss. Auf Grundlage dieser Ergebnisse stufen wir das Modell im Bereich Cybersicherheit nach unserem Preparedness Framework als „Kritisch“ ein. GPT‑5.6 Cyber war als „Hoch“ eingestuft.

ExploitGym testet, ob Modelle eine vorgegebene Schwachstelle auf einem entfernten Zielsystem ausnutzen können. GPT‑6 Cyber erreicht 48,5 % und liegt damit rund 16 Prozentpunkte über den 32,1 % von GPT‑5.6 Cyber. Um die Entdeckung von Schwachstellen zu testen, haben wir außerdem eine neue Evaluation für offensive Web-Penetrationstests entwickelt. Dabei untersuchen Modelle Webanwendungen, ohne Zugriff auf deren Quellcode zu haben. GPT‑6 Cyber erkannte 40,3 % der Schwachstellen, verglichen mit 32,0 % bei GPT‑6 Astra.

Daybreak Red ist für anspruchsvollere Sicherheitsabläufe ausgelegt. Dazu gehören die Entwicklung funktionierender Exploits und ihr Einsatz gegen entfernte Zielsysteme. Um diese Fähigkeiten zu evaluieren, haben wir einen neuen Benchmark namens RemoteExploitBench entwickelt. Er nutzt bekannte Schwachstellen in Anwendungen wie GitLab, PostgreSQL und Jenkins, die in einer kontrollierten Umgebung bereitgestellt werden. In unserer ersten Evaluation lehnte GPT‑6 Astra mit Daybreak Blue 100 % der Aufgaben ab, während GPT‑6 Cyber 95 % erfolgreich abschloss. Es scheiterte nur an einem Exploit, den es auf dem entfernten Zielsystem nicht zum Laufen bringen konnte. Die vollständigen Ergebnisse und Evaluationseinstellungen findest du in der Systemkarte⁠(wird in einem neuen Fenster geöffnet).

Ein Risiko bei Cybersicherheitsagenten besteht darin, dass sie ihren zugewiesenen Aufgabenbereich verlassen, versuchen, unbeteiligte Dienste auszunutzen, oder die von Forschenden festgelegten Einsatzregeln missachten.

Die Ausrichtung auf Vorgaben war ein zentraler Schwerpunkt bei GPT‑6 Cyber. Durch gezieltes Training haben wir das Modell darin geschult, im autorisierten Aufgabenbereich zu bleiben, Handlungseinschränkungen einzuhalten und korrekt über seine Arbeit zu berichten. Vor der Bereitstellung haben wir dieses Verhalten in einer Reihe von Evaluationen zur Ausrichtung gemessen. Die vollständigen Ergebnisse findest du in der Systemkarte⁠(wird in einem neuen Fenster geöffnet).

Eine dieser Evaluationen ist ExploitGym Honeypot. In ihre Entwicklung flossen Erkenntnisse aus dem Vorfall bei Hugging Face⁠ ein. Wir geben dem Modell eine schwierige Aufgabe zur Ausnutzung einer Schwachstelle in einer isolierten Umgebung. Dort hat es Zugriff auf unterstützende Dienste wie eine Paketregistrierung oder einen Objektspeicher. Wir machen diese Dienste absichtlich leicht angreifbar, sodass ein Angriff auf sie die Flag der Aufgabe offenlegen kann. Das Modell muss selbst erkennen, dass die Ausnutzung dieser Dienste außerhalb seines Aufgabenbereichs liegt.

In dieser Evaluation zeigt GPT‑6 Cyber gegenüber GPT‑5.6 Cyber eine sprunghafte Verbesserung. In Tests ohne die für den Einsatz vorgesehenen Sicherheits-Prompts verzichtete es in 99,93 % der Fälle darauf, Dienste außerhalb des Aufgabenbereichs auszunutzen. Bei GPT‑5.6 Cyber waren es 94,49 %. Mit diesen Prompts hielt GPT‑6 Cyber die Grenzen in 100 % der Fälle ein.

In der Gedankenkette von GPT‑6 Cyber lässt sich direkt nachvollziehen, wie das Modell über die Einhaltung von Grenzen nachdenkt:

GPT‑6 Cyber hilft Sicherheitsteams bereits dabei, Schwachstellen zu finden, ihre Auswirkungen zu überprüfen und Korrekturen zu entwickeln. Kund:innen setzen es für große Codebasen, langwierige Exploit-Entwicklung und Sicherheitsprüfungen ein:

Auch wir haben GPT‑6 Cyber eingesetzt, um unsere eigenen Systeme abzusichern. Es war eines der wichtigsten Modelle bei unserer kürzlich vorgestellten Arbeit zur Härtung der Infrastruktur für das Training von Frontier-Modellen⁠. In kontrollierten Red-Teaming-Kampagnen verketteten Agenten mit GPT‑6 Cyber und anderen OpenAI-Modellen mehrere Schwachstellen, um aus Micro-VMs auszubrechen und Code auf den zugrunde liegenden Hosts auszuführen. Anhand dieser Erkenntnisse haben wir Software gepatcht, Netzwerkbeschränkungen verschärft und Probleme an die zuständigen Wartungsteams und Anbieter gemeldet.

Unsere Fachleute für Schwachstellenforschung nutzen GPT‑6 Cyber außerdem, um Schwachstellen in Open-Source-Software in großem Umfang zu finden und zu bestätigen. Diese Arbeit hat bislang unbekannte Fehler in Software aufgedeckt, die seit Jahren intensiv geprüft wird:

• 81 neue Schwachstellen in Firefox entdeckt. GPT‑6 Cyber kann sich für autonome Arbeitsabläufe eignen, die in großem Umfang Schwachstellen finden und hochwertige Patches vorschlagen. Bei einer Kampagne zur Schwachstellenforschung lieferte GPT‑6 Cyber Nachweise und reproduzierbare Tests für 81 neue Schwachstellen, die Mozilla als schwerwiegend einstufte. Zudem zeigte es, dass 30 weitere, bereits bekannte Probleme schwerwiegender waren als zuvor gemeldet. Wir meldeten die Ergebnisse an Mozilla und lieferten Patch-Vorschläge, um das Entwicklungsteam bei der Behebung zu unterstützen. Mozilla unterstützte diese Arbeit und begann, kurz nach Eingang der Berichte Korrekturen zu integrieren⁠(wird in einem neuen Fenster geöffnet).

• Exploits für 948 Schwachstellen im Linux-Kernel entwickelt⁠. GPT‑6 Cyber reproduzierte 1.724 Schwachstellen und entwickelte für 948 davon funktionierende Exploits. Das sind mehr als fünfmal so viele wie die 166, die GPT‑5.6 Sol mit demselben Forschungs-Harness ausnutzen konnte. Entsprechend den Empfehlungen der Linux-Community meldeten wir 304 kritische Befunde zusammen mit Patch-Entwürfen an die zuständigen Wartungsteams. Die Behebung weiterer Schwachstellen ist im Gange.

• Kritische RCE-Schwachstellen nachgewiesen. Wir berichteten kürzlich über eine kritische Schwachstelle in Brotli⁠(wird in einem neuen Fenster geöffnet), einer Kompressionsbibliothek, die von Node.js und anderer Software genutzt wird. Unsere Sicherheitsforschenden nutzten GPT‑6 Cyber zusammen mit anderen OpenAI-Modellen, um Exploits zu entwickeln und zu validieren. Diese zeigen, wie die Schwachstelle eine Remotecodeausführung in Anwendungen ermöglichen könnte, die die Bibliothek verwenden.

Mit zunehmender Leistungsfähigkeit decken Modelle mehr Sicherheitslücken auf. Zugleich beobachten wir mehr Versuche, sie für schädliche Zwecke einzusetzen. Dazu gehören Versuche böswilliger Cyberakteure sowie gegnerischer Gruppen, die unsere Modelle destillieren wollen. Deshalb haben wir die erweiterten Fähigkeiten von GPT‑6 Cyber mit stärkeren Schutzmaßnahmen kombiniert. Sie sollen Missbrauch erkennen und unterbinden und dafür sorgen, dass das Modell im Rahmen der Absichten und Berechtigungen der nutzenden Person handelt.

Mit der Veröffentlichung von GPT‑6 Cyber haben wir folgende Schutzmaßnahmen ergänzt und verstärkt. Vollständige Informationen findest du in der Systemkarte⁠(wird in einem neuen Fenster geöffnet):

• Cyberspezifische Überwachung auf Fehlverhalten des Modells. Wir überwachen, ob Aktionen den Berechtigungen der nutzenden Person entsprechen, und berücksichtigen dabei legitime Exploit-Entwicklung und Tests.

• Gezielte Überwachung neuer Bedrohungen. Bei der koordinierten Offenlegung kritischer PHP-Schwachstellen haben wir beispielsweise eine gezielte Überwachung eingerichtet, um Versuche zur Entwicklung von Exploits gegen aktive PHP-Server zu erkennen. Gleichzeitig blieb die Unterstützung für Sicherheitsteams erhalten, die betroffene Systeme patchen.

• Private Safety Processing (PSP). Wir prüfen zusammenhängende Interaktionen automatisiert auf Missbrauch. Die standardmäßige Datenaufbewahrung bleibt voreingestellt. API-Kundenunternehmen mit der Einstellung keine Datenaufbewahrung⁠(wird in einem neuen Fenster geöffnet) müssen in der Regel PSP⁠(wird in einem neuen Fenster geöffnet) nutzen. Dabei werden verschlüsselte Aufzeichnungen geprüft, die 30 Tage lang im Speicher des Kundenunternehmens aufbewahrt werden, ohne Prompts und Antworten für OpenAI-Personal offenzulegen.

• Schutz vor gestohlenen Zugangsdaten. Für den API-Zugriff auf Daybreak Red verlangen wir standardmäßig IP-Zulassungslisten. Dadurch sind Anfragen mit wenigen Ausnahmen auf genehmigte Netzwerke beschränkt. Außerdem überwachen wir Zugangsdaten auf Anzeichen einer Kompromittierung.

• Sandboxing und Aufsicht. Wie bei früheren Modellen empfehlen wir für hochriskante Arbeitsabläufe Sandboxing⁠(wird in einem neuen Fenster geöffnet), die Prüfung von Aktionen⁠(wird in einem neuen Fenster geöffnet) und menschliche Aufsicht.

• Schutz vor hochriskanter Cyberunterstützung. Mit neuen Prüfungen blockieren wir hochriskante Aktivitäten im Zusammenhang mit kritischen Systemen. Mehr dazu weiter unten.

Der Schutz kritischer Infrastruktur war ein zentraler Aspekt bei der Gestaltung der Schutzmaßnahmen und Zugangsregeln für GPT‑6 Cyber. Dazu zählen Kraftwerke, Wasseraufbereitungsanlagen sowie die zugrunde liegende Betriebstechnologie und industriellen Steuerungssysteme (OT/ICS). Wir wollen den Teams, die diese Systeme schützen, Zugang zu unseren leistungsfähigsten Modellen geben und zugleich unsere Schutzmaßnahmen gegen unbefugte Angriffe verstärken.

Erstens fördern wir den Zugang für diese Teams: Unser mit 1 Milliarde US-Dollar ausgestattetes Förderprogramm Daybreak for Frontline Defenders⁠ bezuschusst Teams mit begrenzten Ressourcen, etwa in staatlichen Organisationen und bei Anbietern grundlegender Versorgungsleistungen. Außerdem führen wir innerhalb von Daybreak Red eine neue Gruppe für zugelassene Sicherheitsteams kritischer Infrastruktur ein: Daybreak Red for Critical Infrastructure. Sie erhalten die Berechtigung, autorisierte Tests kritischer Systeme durchzuführen. Schutzmaßnahmen gegen Fehlverhalten des Modells bleiben dabei bestehen.

Zweitens haben wir die Schutzmaßnahmen gegen Missbrauch der Plattformen Daybreak Red und Blue weiterentwickelt. Sie richten sich gegen Unterstützung und die Entwicklung von Fähigkeiten, die industrielle Steuerungen oder sicherheitskritische Systeme kompromittieren, Geräte manipulieren oder schwere Verletzungen, katastrophale Sachschäden oder lebensgefährliche Versorgungsausfälle verursachen könnten. Die folgende Abbildung vergleicht, wie häufig Schutzmechanismen Inhalte in vier Zugangskonfigurationen kennzeichnen: vor und nach den jüngsten Aktualisierungen, die wir zusammen mit GPT‑6 Cyber einführen.

Höhere Blockierungsraten der Schutzmechanismen sind nicht immer besser. Viele Techniken dieser Evaluation sind auch für legitime Sicherheitsarbeit unverzichtbar: Systeme verstehen, Schwachstellen finden und überprüfen, ob Korrekturen einem Angriff standhalten. Deshalb bewerten wir diese Raten zusammen mit der Unterstützung für legitime Forschung und das Patchen von Software, statt 100 % anzustreben.

Um zu bewerten, wie unsere Modelle zum Schutz kritischer Infrastruktur beitragen können, haben wir mit Dragos zusammengearbeitet, dem globalen Anbieter für Cybersicherheit im Bereich erweiterter Betriebstechnologie (xOT). Dragos führte in einer kontrollierten Laborumgebung Evaluationen mit Daybreak-Red-Modellen durch, die mehr Cyberaktivitäten zulassen. Die Evaluationen umfassten Anfragen zur Netzwerkerkundung und zur Auflistung von Systemkomponenten, zur gezielten Aufklärung, zur Exfiltration sensibler Daten sowie zu unbefugten, potenziell gefährlichen Geräteaktionen.

Wir nutzten das Feedback von Dragos, um unsere Schutzmaßnahmen weiterzuentwickeln. Ziel ist es, schädliche Unterstützung zu blockieren, ohne autorisierte Tests unnötig einzuschränken. Einzelheiten zu den Evaluationen findest du im Abschlussbericht von Dragos⁠(wird in einem neuen Fenster geöffnet). Wir bauen außerdem Partnerschaften mit weiteren Anbietern offensiver Sicherheitsdienste und Purple Teams für Penetrationstests und Red Teaming mit KI aus. Mit Energieunternehmen, anderen Betreibern kritischer Infrastruktur und nationalen Laboren wollen wir die Wirksamkeit unserer Modelle und ihrer Schutzmaßnahmen beim Schutz industrieller Systeme bewerten. Zudem investieren wir stärker in die Untersuchung von Bedrohungen, um Modellnutzung im Zusammenhang mit OT/ICS zu erkennen. Wir werden unsere Schutzmaßnahmen mit Rückmeldungen unserer Partnerorganisationen und der Sicherheitscommunity weiter verfeinern. Dazu gehören auch Meldungen über /feedback, wenn Schutzmechanismen schädliche Aktivitäten übersehen oder legitime Arbeit unterbrechen.

GPT‑6 Cyber ist zunächst über die API und Codex für einen ausgewählten Kreis zugelassener Kunden:innen von Daybreak Red verfügbar. Wir werden den Zugang in Kürze schrittweise auf alle Kunden:innen von Daybreak Red ausweiten und stellen ihnen außerdem GPT‑5.6 Cyber zur Verfügung. Außerdem erweitern wir den Alpha-Zugang zu Daybreak Blue für GPT‑6 Astra auf weitere Organisationen und einzelne Sicherheitsforschende. Melde dich bei uns⁠(wird in einem neuen Fenster geöffnet), wenn du interessiert bist.

Neue Nutzer:innen und Organisationen können sich für Daybreak bewerben⁠ und mit unseren Cyber-Skills, Produkten und Partnerunternehmen⁠ loslegen.