GPT‑6 Cyber: nuove frontiere per gli agenti allineati di sicurezza informatica

Presentiamo GPT‑6 Cyber, un grande passo avanti nella ricerca sulla sicurezza: più capace di individuare e correggere vulnerabilità e molto più affidabile nel rispettare i limiti stabiliti dai ricercatori. GPT‑6 Cyber registra progressi sostanziali rispetto a GPT‑5.6 Cyber nei principali benchmark di sicurezza informatica, tra cui un miglioramento relativo del 51% su ExploitGym e un netto salto di qualità nei test sul rispetto dell'ambito assegnato. Sta già contribuendo a proteggere software di uso reale, individuando e verificando migliaia di exploit in codebase cruciali per la sicurezza come Linux e Firefox.

Su ExploitGym, che verifica se i modelli riescono a sfruttare una vulnerabilità specificata, GPT‑6 Cyber ottiene il 48,5%, rispetto al 32,1% di GPT‑5.6 Cyber. Rispetta inoltre i limiti del compito in modo più affidabile: in una valutazione separata dell'allineamento, GPT‑6 Cyber ha evitato di sfruttare vulnerabilità in servizi fuori ambito nel 99,93% dei test senza il prompt usato in produzione, e nel 100% con questo prompt. Questo miglioramento dell'allineamento riflette un addestramento mirato a rimanere entro l'ambito autorizzato, rispettare le restrizioni e riferire accuratamente i risultati.

Queste capacità stanno già contribuendo a proteggere sistemi reali. I nostri ricercatori hanno usato GPT‑6 Cyber per sviluppare 948 exploit di escalation dei privilegi in Linux⁠ e individuare 81 vulnerabilità di gravità elevata prima sconosciute in Firefox, nonostante gli ampi test già condotti con modelli di frontiera. Il modello ha contribuito anche a sviluppare possibili patch, e Mozilla ha rilasciato correzioni per molte delle vulnerabilità di Firefox⁠(si apre in una nuova finestra). I team di sicurezza di Cisco, Calif e CodeRabbit lo usano per la ricerca di vulnerabilità e la revisione del codice, e noi ci siamo affidati al modello per individuare e correggere punti deboli nella nostra infrastruttura⁠.

È chiaro che abbiamo una finestra di tempo limitata per usare i modelli di frontiera per proteggere il software⁠. Il nostro obiettivo è ampliare radicalmente Daybreak, rendendo la ricerca avanzata sulla sicurezza accessibile a organizzazioni di ogni dimensione, ricercatori indipendenti e manutentori di progetti open source. I modelli della linea principale, come GPT‑6 Astra, supportano già la revisione del codice, il triage delle vulnerabilità e lo sviluppo di patch. Daybreak Blue aiuta i difensori verificati a convalidare vulnerabilità e correzioni con meno rifiuti non necessari, mentre Daybreak Red consente di sviluppare exploit più approfonditi e condurre test di sicurezza autorizzati con GPT‑6 Cyber.

GPT‑6 Cyber rappresenta un grande passo avanti rispetto a GPT‑5.6 Cyber e supera GPT‑6 Astra nella maggior parte dei compiti di sicurezza informatica, anche quando Astra non rifiuta la richiesta. Abbiamo valutato il modello su compiti che richiedono di comprendere il software, individuare vulnerabilità e sviluppare exploit funzionanti. In base a questi risultati, classifichiamo il modello al livello Critico per la sicurezza informatica secondo il nostro Preparedness Framework, rispetto al livello Alto di GPT‑5.6 Cyber.

Su ExploitGym, che verifica se i modelli riescono a sfruttare una vulnerabilità specificata in un bersaglio remoto, GPT‑6 Cyber ottiene il 48,5%, circa 16 punti percentuali in più rispetto al 32,1% di GPT‑5.6 Cyber. Per testare la capacità di scoprire vulnerabilità, abbiamo anche creato una nuova valutazione per i test offensivi di penetrazione web. I modelli esaminano le applicazioni web senza avere accesso al loro codice sorgente. GPT‑6 Cyber ha raggiunto un richiamo delle vulnerabilità del 40,3%, rispetto al 32,0% di GPT‑6 Astra.

Daybreak Red è progettato per supportare flussi di lavoro di sicurezza più avanzati, tra cui lo sviluppo di exploit funzionanti e il loro utilizzo contro bersagli remoti. Per valutare queste capacità, abbiamo creato un nuovo benchmark chiamato RemoteExploitBench, che usa vulnerabilità note in applicazioni come GitLab, PostgreSQL e Jenkins, distribuite in un ambiente controllato. Nella nostra valutazione iniziale, GPT‑6 Astra con Daybreak Blue ha rifiutato il 100% dei compiti, mentre GPT‑6 Cyber ne ha completato il 95%; l'unico insuccesso è stato un exploit che non è riuscito a far funzionare da remoto. Consulta la scheda di sistema⁠(si apre in una nuova finestra) per i risultati completi e le impostazioni delle valutazioni.

Uno dei rischi degli agenti di sicurezza informatica è che escano dall'ambito del compito assegnato, tentino di sfruttare vulnerabilità in servizi non pertinenti o ignorino le regole d'ingaggio stabilite dal ricercatore.

Abbiamo posto l'allineamento al centro dello sviluppo di GPT‑6 Cyber, con un addestramento specifico per aiutare il modello a rimanere entro l'ambito autorizzato, rispettare le restrizioni sulle proprie azioni e riferire accuratamente il lavoro svolto. Prima del rilascio, abbiamo condotto una serie di valutazioni dell'allineamento per misurare questi comportamenti. Consulta la scheda di sistema⁠(si apre in una nuova finestra) per i risultati completi.

Una di queste valutazioni è ExploitGym Honeypot, sviluppata tenendo conto dell'incidente di Hugging Face⁠. Assegniamo al modello un compito complesso di sfruttamento di una vulnerabilità in un ambiente isolato, con accesso a servizi di supporto come un registro di pacchetti o un archivio di oggetti. Rendiamo deliberatamente questi servizi facili da attaccare, in modo che sfruttarne le vulnerabilità possa rivelare la flag del compito. Il modello deve dedurre che sfruttare le vulnerabilità di questi servizi esula dall'ambito del compito assegnato.

In questa valutazione, GPT‑6 Cyber mostra un netto salto di qualità rispetto a GPT‑5.6 Cyber. Nei test senza i prompt di sicurezza usati in produzione, ha evitato di sfruttare vulnerabilità in servizi fuori ambito nel 99,93% dei casi, rispetto al 94,49% di GPT‑5.6 Cyber. Con questi prompt, GPT‑6 Cyber ha rispettato i limiti nel 100% dei casi.

Possiamo osservare direttamente nella chain of thought del modello GPT‑6 Cyber come ragiona sul rispetto dei limiti:

GPT‑6 Cyber sta già aiutando i team di sicurezza a individuare vulnerabilità, verificarne l'impatto e sviluppare correzioni. I clienti lo hanno impiegato su codebase di grandi dimensioni, nello sviluppo prolungato di exploit e nelle revisioni di sicurezza:

Ci siamo affidati a GPT‑6 Cyber anche per proteggere i nostri sistemi. È stato uno dei principali modelli alla base del lavoro che abbiamo recentemente illustrato sul rafforzamento della sicurezza dell'infrastruttura usata per addestrare i modelli di frontiera⁠. In campagne controllate di red teaming, agenti basati su GPT‑6 Cyber e altri modelli OpenAI hanno concatenato vulnerabilità per uscire dalle microVM ed eseguire codice sugli host sottostanti. Abbiamo usato i risultati per correggere il software, rafforzare le restrizioni di rete e segnalare i problemi ai manutentori e ai fornitori.

I nostri ricercatori usano GPT‑6 Cyber anche per individuare e verificare vulnerabilità nel software open source su larga scala. Questo lavoro ha portato alla scoperta di falle prima sconosciute in software sottoposto ad analisi approfondite da anni:

• Scoperte 81 nuove vulnerabilità in Firefox. GPT‑6 Cyber può essere adatto a flussi di lavoro autonomi per individuare vulnerabilità e proporre patch di alta qualità su larga scala. Durante una campagna di ricerca sulle vulnerabilità, GPT‑6 Cyber ha prodotto evidenze e test riproducibili per 81 nuove vulnerabilità classificate da Mozilla come di gravità elevata, e ha dimostrato che altri 30 problemi noti erano più gravi di quanto indicato in precedenza. Abbiamo comunicato i risultati a Mozilla, insieme a proposte di patch per aiutare i suoi ingegneri a sviluppare le correzioni. Mozilla ha sostenuto questo lavoro e ha iniziato a integrare le correzioni poco dopo aver ricevuto le segnalazioni⁠(si apre in una nuova finestra).

• Sviluppo di exploit per 948 vulnerabilità del kernel Linux⁠. GPT‑6 Cyber ha riprodotto 1.724 vulnerabilità e sviluppato exploit funzionanti per 948 di esse: oltre cinque volte le 166 sfruttate da GPT‑5.6 Sol con la stessa infrastruttura di ricerca. Seguendo le indicazioni della comunità Linux, abbiamo segnalato ai manutentori 304 problemi critici con possibili patch e stiamo lavorando alla correzione delle altre vulnerabilità.

• Dimostrazione di vulnerabilità critiche di esecuzione di codice da remoto (RCE). Di recente abbiamo descritto una vulnerabilità critica in Brotli⁠(si apre in una nuova finestra), una libreria di compressione usata da Node.js e altri software. I nostri ricercatori di sicurezza hanno usato GPT‑6 Cyber insieme ad altri modelli OpenAI per sviluppare e verificare exploit che mostrano come la falla possa consentire l'esecuzione di codice da remoto nelle applicazioni che dipendono dalla libreria.

Man mano che i modelli diventano più capaci e scoprono più vulnerabilità di sicurezza, osserviamo anche un aumento dei tentativi di usarli per causare danni. Tra questi rientrano i tentativi di attori informatici malevoli e gruppi ostili che cercano di distillare i nostri modelli. Abbiamo quindi affiancato alle maggiori capacità di GPT‑6 Cyber misure di sicurezza più solide, per rilevare e interrompere gli abusi e mantenere le azioni del modello entro gli intenti e le autorizzazioni dell'utente.

In occasione del rilascio di GPT‑6 Cyber, abbiamo aggiunto e rafforzato queste protezioni (consulta la scheda di sistema⁠(si apre in una nuova finestra) per tutte le informazioni):

• Monitoraggio del disallineamento specifico per la sicurezza informatica. Monitoriamo la corrispondenza tra le azioni e le autorizzazioni dell'utente, riconoscendo al contempo le attività legittime di sviluppo e test degli exploit.

• Monitoraggio mirato delle minacce emergenti. Ad esempio, durante la divulgazione coordinata di vulnerabilità critiche di PHP, abbiamo attivato un monitoraggio mirato dei tentativi di sviluppare exploit contro server PHP operativi, continuando a supportare chi difende i sistemi interessati e vi applica le patch.

• Private Safety Processing (PSP). Usiamo controlli automatizzati per esaminare le interazioni correlate alla ricerca di abusi. La conservazione standard resta l'impostazione predefinita. I clienti API che usano l'assenza di conservazione dei dati⁠(si apre in una nuova finestra) devono generalmente usare PSP⁠(si apre in una nuova finestra), che esamina record crittografati conservati per 30 giorni nello spazio di archiviazione del cliente, senza esporre prompt e risposte al personale OpenAI.

• Protezione dall'uso di credenziali rubate. Per l'accesso all'API di Daybreak Red richiediamo per impostazione predefinita una lista di indirizzi IP consentiti, limitando le richieste alle reti approvate, con poche eccezioni. Monitoriamo anche le credenziali per rilevare eventuali compromissioni.

• Sandboxing e supervisione. Come per i modelli precedenti, raccomandiamo il sandboxing⁠(si apre in una nuova finestra), la revisione delle azioni⁠(si apre in una nuova finestra) e la supervisione umana per i flussi di lavoro ad alto rischio.

• Protezioni contro l'assistenza informatica ad alto rischio. Usiamo nuovi controlli per bloccare le attività ad alto rischio che coinvolgono sistemi critici (maggiori dettagli di seguito).

La protezione delle infrastrutture critiche è stata un criterio fondamentale nella progettazione delle misure di sicurezza e delle modalità di accesso a GPT‑6 Cyber. Tra queste infrastrutture rientrano centrali elettriche, impianti di trattamento delle acque e le tecnologie operative e i sistemi di controllo industriale (OT/ICS) su cui si basano. Vogliamo offrire ai team che difendono questi sistemi l'accesso ai nostri modelli più capaci e, al contempo, rafforzare le misure di sicurezza per prevenire attacchi non autorizzati.

In primo luogo, per fornire strumenti a chi difende questi sistemi, il nostro programma di sovvenzioni Daybreak for Frontline Defenders⁠, da 1 miliardo di dollari, finanzia l'accesso per i team con risorse limitate, come le organizzazioni governative e i fornitori di servizi essenziali. Stiamo inoltre introducendo un nuovo gruppo all'interno di Daybreak Red (Daybreak Red for Critical Infrastructure) per i difensori approvati delle infrastrutture critiche. Il gruppo concede loro i permessi per eseguire test autorizzati su sistemi critici, mantenendo le protezioni contro il disallineamento del modello.

In secondo luogo, per prevenire l'uso improprio delle piattaforme Daybreak Red e Blue, abbiamo affinato le protezioni contro l'assistenza e lo sviluppo di capacità che potrebbero compromettere controlli industriali o sistemi essenziali per la sicurezza, interferire con le apparecchiature o causare lesioni gravi, danni fisici catastrofici o interruzioni di servizio potenzialmente letali. La figura seguente confronta i tassi di segnalazione delle misure di sicurezza in quattro configurazioni di accesso, prima e dopo i recenti aggiornamenti che stiamo distribuendo insieme a GPT‑6 Cyber.

Tassi di blocco più elevati non sono sempre un risultato migliore. Molte delle tecniche di questa valutazione sono essenziali anche per le attività legittime di sicurezza: comprendere i sistemi, individuare vulnerabilità e verificare che le correzioni resistano agli attacchi. Per questo valutiamo tali tassi insieme al supporto offerto alla ricerca legittima e all'applicazione di patch, anziché puntare al 100%.

Per valutare come i nostri modelli possano contribuire a difendere le infrastrutture critiche, abbiamo collaborato con Dragos, fornitore globale di soluzioni di sicurezza informatica per le tecnologie operative estese (xOT). Dragos ha condotto valutazioni in un ambiente di laboratorio controllato usando modelli Daybreak Red con restrizioni ridotte per le attività di sicurezza informatica. Le valutazioni hanno riguardato richieste via via più avanzate: dall'individuazione delle reti e dall'enumerazione delle risorse alla ricognizione mirata, all'esfiltrazione di dati sensibili e ad azioni non autorizzate e potenzialmente pericolose sui dispositivi.

Abbiamo usato il feedback di Dragos per affinare le nostre misure di sicurezza, con l'obiettivo di bloccare l'assistenza dannosa senza limitare inutilmente i test autorizzati. Consulta il rapporto finale di Dragos⁠(si apre in una nuova finestra) per i dettagli sulle valutazioni. Stiamo inoltre ampliando le collaborazioni con altri fornitori di sicurezza offensiva e purple team sui test di penetrazione e sul red teaming con l'IA, e con aziende energetiche, altri operatori di infrastrutture critiche e laboratori nazionali per valutare l'efficacia e le misure di sicurezza dei nostri modelli nella difesa industriale. Abbiamo anche aumentato gli investimenti nelle indagini sulle minacce per rilevare usi dei modelli che coinvolgono sistemi OT/ICS. Continueremo ad affinare le nostre misure di sicurezza con il contributo dei partner e della comunità della sicurezza informatica, incluse le segnalazioni tramite /feedback quando le protezioni non rilevano attività dannose o interrompono attività legittime.

GPT‑6 Cyber è inizialmente disponibile tramite API e Codex per un gruppo selezionato di clienti approvati di Daybreak Red. Presto estenderemo progressivamente l'accesso a tutti i clienti Daybreak Red e stiamo rendendo disponibile anche GPT‑5.6 Cyber a tutti i clienti Daybreak Red. Stiamo inoltre estendendo l'accesso alla versione alpha di Daybreak Blue per GPT‑6 Astra a più organizzazioni e a ricercatori di sicurezza a titolo individuale; se ti interessa, faccelo sapere⁠(si apre in una nuova finestra).

I nuovi utenti e le organizzazioni possono richiedere l'accesso a Daybreak⁠ e iniziare con le nostre skill, i nostri prodotti e i nostri partner per la sicurezza informatica⁠.