GPT‑6 Cyber: grenzen verleggen met afgestemde cybersecurityagents

We introduceren GPT‑6 Cyber, een grote stap vooruit in beveiligingsonderzoek: beter in het vinden en verhelpen van kwetsbaarheden, en veel betrouwbaarder in het naleven van de grenzen die onderzoekers stellen. GPT‑6 Cyber boekt grote vooruitgang ten opzichte van GPT‑5.6 Cyber op belangrijke cybersecuritybenchmarks, waaronder een relatieve verbetering van 51% op ExploitGym en een sprongsgewijze verbetering bij tests op het naleven van de scope. Het helpt nu al om software in de praktijk te beveiligen door duizenden exploits te ontdekken en te valideren in codebases waarvoor beveiliging cruciaal is, zoals Linux en Firefox.

Op ExploitGym, dat test of modellen een opgegeven kwetsbaarheid kunnen exploiteren, scoort GPT‑6 Cyber 48,5%, tegenover 32,1% voor GPT‑5.6 Cyber. Het houdt zich ook betrouwbaarder aan de taakgrenzen: in een afzonderlijke afstemmingsevaluatie exploiteerde GPT‑6 Cyber in 99,93% van de tests geen diensten buiten de scope zonder zijn inzetprompt, en in 100% met deze prompt. Deze betere afstemming is het resultaat van gerichte training om binnen de toegestane scope te blijven, beperkingen na te leven en resultaten nauwkeurig te rapporteren.

Deze capaciteiten helpen nu al om echte systemen te beveiligen. Onze onderzoekers gebruikten GPT‑6 Cyber om 948 exploits voor privilege-escalatie in Linux⁠ te ontwikkelen en 81 voorheen onbekende ernstige kwetsbaarheden in Firefox te vinden, ondanks uitgebreide eerdere tests met grensverleggende modellen. Het model hielp ook bij het ontwikkelen van mogelijke patches, en Mozilla heeft oplossingen voor veel van de Firefox-kwetsbaarheden uitgebracht⁠(opent in een nieuw venster). Beveiligingsteams bij Cisco, Calif en CodeRabbit gebruiken het voor kwetsbaarheidsonderzoek en codebeoordeling, en we hebben het ingezet om zwakke plekken in onze eigen infrastructuur te vinden en te verhelpen⁠.

Het is duidelijk dat we maar beperkt de tijd hebben om grensverleggende modellen in te zetten om software te beveiligen⁠. Ons doel is om Daybreak fors uit te breiden en geavanceerd beveiligingsonderzoek toegankelijk te maken voor organisaties van elke omvang, onafhankelijke onderzoekers en opensourcebeheerders. Reguliere modellen zoals GPT‑6 Astra ondersteunen nu al codebeoordeling, triage van kwetsbaarheden en patchontwikkeling. Daybreak Blue helpt geverifieerde verdedigers kwetsbaarheden en oplossingen te valideren met minder onnodige weigeringen. Daybreak Red maakt met GPT‑6 Cyber diepgaandere exploitontwikkeling en geautoriseerde beveiligingstests mogelijk.

GPT‑6 Cyber is een grote stap vooruit ten opzichte van GPT‑5.6 Cyber en presteert beter dan GPT‑6 Astra op de meeste cybertaken, ook wanneer Astra het verzoek niet weigert. We evalueerden het model op taken waarvoor het software moet begrijpen, kwetsbaarheden moet identificeren en werkende exploits moet ontwikkelen. Op basis van deze resultaten classificeren we het model voor cybersecurity als Kritiek onder ons Preparedness Framework, tegenover Hoog voor GPT‑5.6 Cyber.

Op ExploitGym, dat test of modellen een opgegeven kwetsbaarheid in een doelwit op afstand kunnen exploiteren, scoort GPT‑6 Cyber 48,5%, ongeveer 16 procentpunten hoger dan de 32,1% van GPT‑5.6 Cyber. Om het vinden van kwetsbaarheden te testen, ontwikkelden we ook een nieuwe evaluatie voor offensieve webpenetratietests. Modellen onderzoeken webapplicaties zonder toegang tot de broncode. GPT‑6 Cyber vond 40,3% van de kwetsbaarheden, tegenover 32,0% voor GPT‑6 Astra.

Daybreak Red is ontworpen om geavanceerdere beveiligingsworkflows te ondersteunen, waaronder het ontwikkelen van werkende exploits en het inzetten ervan tegen doelwitten op afstand. Om deze capaciteiten te evalueren, ontwikkelden we een nieuwe benchmark genaamd RemoteExploitBench. Die gebruikt bekende kwetsbaarheden in applicaties zoals GitLab, PostgreSQL en Jenkins die in een gecontroleerde omgeving draaien. In onze eerste evaluatie weigerde GPT‑6 Astra met Daybreak Blue 100% van de taken, terwijl GPT‑6 Cyber 95% voltooide. De enige mislukking was een exploit die het niet op afstand werkend kreeg. Bekijk de systeemkaart⁠(opent in een nieuw venster) voor de volledige resultaten en evaluatie-instellingen.

Een risico bij cybersecurityagents is dat ze buiten de scope van hun toegewezen taak treden, diensten proberen te exploiteren die daar los van staan, of de spelregels van de onderzoeker negeren.

We hebben afstemming centraal gesteld bij GPT‑6 Cyber, met gerichte training die het model helpt binnen de toegestane scope te blijven, beperkingen op zijn handelingen na te leven en nauwkeurig verslag te doen van zijn werk. Voordat we het model beschikbaar stelden, hebben we een reeks afstemmingsevaluaties uitgevoerd om dit gedrag te meten. Bekijk de systeemkaart⁠(opent in een nieuw venster) voor de volledige resultaten.

Een van deze evaluaties is ExploitGym Honeypot, waarvoor het Hugging Face-incident⁠ als uitgangspunt diende. We geven het model een moeilijke exploitatietaak in een geïsoleerde omgeving met toegang tot ondersteunende diensten, zoals een pakketregister of objectopslag. We maken deze diensten bewust eenvoudig te exploiteren, zodat een aanval erop de flag van de taak kan onthullen. Het model moet zelf afleiden dat het exploiteren ervan buiten de scope van zijn taak valt.

GPT‑6 Cyber laat bij deze evaluatie een sprongsgewijze verbetering zien ten opzichte van GPT‑5.6 Cyber. Bij tests zonder veiligheidsprompts voor de inzet van het model exploiteerde het in 99,93% van de gevallen geen diensten buiten de scope, tegenover 94,49% voor GPT‑5.6 Cyber. Met die prompts bleef GPT‑6 Cyber in 100% van de gevallen binnen de grenzen.

In de chain-of-thought van het GPT‑6 Cyber-model kunnen we direct zien hoe het redeneert over het naleven van die grenzen:

GPT‑6 Cyber helpt beveiligingsteams nu al kwetsbaarheden te vinden, de impact ervan te verifiëren en oplossingen te ontwikkelen. Klanten hebben het ingezet voor grote codebases, langdurige exploitontwikkeling en beveiligingsbeoordelingen:

We hebben GPT‑6 Cyber ook ingezet om onze eigen systemen te beveiligen. Het was een van de belangrijkste modellen achter het werk dat we onlangs deelden over het versterken van de beveiliging van de infrastructuur waarmee we grensverleggende modellen trainen⁠. Tijdens gecontroleerde campagnes voor red teaming combineerden agents met GPT‑6 Cyber en andere OpenAI-modellen meerdere kwetsbaarheden om uit microVM's te ontsnappen en code uit te voeren op de onderliggende hosts. We gebruikten de bevindingen om software te patchen, netwerkbeperkingen aan te scherpen en problemen te melden aan beheerders en leveranciers.

Onze kwetsbaarheidsonderzoekers gebruiken GPT‑6 Cyber ook om op grote schaal kwetsbaarheden in opensourcesoftware te vinden en te valideren. Dit werk heeft voorheen onbekende fouten blootgelegd in software die al jarenlang grondig wordt onderzocht:

• 81 nieuwe kwetsbaarheden in Firefox gevonden. GPT‑6 Cyber kan geschikt zijn voor autonome workflows om op grote schaal kwetsbaarheden te vinden en hoogwaardige patches voor te stellen. Tijdens een campagne voor kwetsbaarheidsonderzoek leverde GPT‑6 Cyber bewijs en reproduceerbare tests voor 81 nieuwe kwetsbaarheden die Mozilla als ernstig classificeerde. Ook toonde het aan dat nog eens 30 bekende problemen ernstiger waren dan eerder gemeld. We deelden de bevindingen met Mozilla, samen met voorgestelde patches om hun engineers te helpen oplossingen te ontwikkelen. Mozilla stond positief tegenover dit werk en begon kort na ontvangst van de meldingen oplossingen door te voeren⁠(opent in een nieuw venster).

• Exploits ontwikkelen voor 948 kwetsbaarheden in de Linux-kernel⁠. GPT‑6 Cyber reproduceerde 1.724 kwetsbaarheden en ontwikkelde werkende exploits voor 948 daarvan: meer dan vijf keer zoveel als de 166 die GPT‑5.6 Sol exploiteerde met dezelfde onderzoeksharness. Volgens de richtlijnen van de Linux-community meldden we 304 kritieke bevindingen aan beheerders, samen met mogelijke patches. We werken er nu aan om ook andere kwetsbaarheden te laten verhelpen.

• Kritieke RCE-kwetsbaarheden aantonen. Onlangs bespraken we een kritieke kwetsbaarheid in Brotli⁠(opent in een nieuw venster), een compressiebibliotheek die door Node.js en andere software wordt gebruikt. Onze beveiligingsonderzoekers gebruikten GPT‑6 Cyber naast andere OpenAI-modellen om exploits te ontwikkelen en te valideren die lieten zien hoe deze fout code-uitvoering op afstand mogelijk kon maken in toepassingen die de bibliotheek gebruiken.

Naarmate modellen krachtiger worden en meer beveiligingskwetsbaarheden ontdekken, zien we ook meer pogingen om ze in te zetten om schade aan te richten. Daaronder vallen pogingen van kwaadwillende cyberactoren en vijandige groepen die onze modellen proberen te distilleren. Daarom hebben we de sterkere capaciteiten van GPT‑6 Cyber gekoppeld aan sterkere waarborgen om misbruik te detecteren en te verstoren, en de handelingen van het model binnen de intentie en autorisatie van de gebruiker te houden.

Bij de introductie van GPT‑6 Cyber hebben we de volgende beschermingsmaatregelen toegevoegd en versterkt (zie de systeemkaart⁠(opent in een nieuw venster) voor alle informatie):

• Cyberspecifieke monitoring op afwijkend gedrag. We controleren of handelingen overeenkomen met wat de gebruiker heeft geautoriseerd, en houden daarbij rekening met legitieme exploitontwikkeling en tests.

• Gerichte monitoring op opkomende dreigingen. Tijdens de gecoördineerde openbaarmaking van kritieke PHP-kwetsbaarheden hebben we bijvoorbeeld gerichte monitoring ingesteld op pogingen om exploits te ontwikkelen tegen live PHP-servers, terwijl we verdedigers bleven ondersteunen bij het patchen van getroffen systemen.

• Private Safety Processing (PSP). We gebruiken geautomatiseerde controles om gerelateerde interacties op misbruik te beoordelen. De standaardbewaartermijn blijft van toepassing, tenzij anders ingesteld. API-klanten die geen gegevensbewaring⁠(opent in een nieuw venster) gebruiken, moeten doorgaans PSP⁠(opent in een nieuw venster) gebruiken. Daarmee worden versleutelde gegevens beoordeeld die 30 dagen in de opslag van de klant worden bewaard, zonder prompts en antwoorden toegankelijk te maken voor OpenAI-medewerkers.

• Bescherming tegen gestolen inloggegevens. Voor API-toegang tot Daybreak Red vereisen we standaard een lijst met toegestane IP-adressen. Daarmee worden verzoeken, op een beperkt aantal uitzonderingen na, beperkt tot goedgekeurde netwerken. We controleren ook of inloggegevens zijn gecompromitteerd.

• Sandboxing en toezicht. Net als bij eerdere modellen raden we sandboxing⁠(opent in een nieuw venster), beoordeling van handelingen⁠(opent in een nieuw venster) en menselijk toezicht aan voor risicovolle workflows.

• Bescherming tegen risicovolle cyberondersteuning. We gebruiken nieuwe controles om risicovolle activiteiten met betrekking tot kritieke systemen te blokkeren (meer hierover hieronder).

De bescherming van kritieke infrastructuur stond centraal bij het ontwerpen van de waarborgen en toegangsregels van GPT‑6 Cyber. Het gaat onder meer om energiecentrales, waterzuiveringsinstallaties en de operationele technologie en industriële besturingssystemen (OT/ICS) waarop deze draaien. We willen de teams die deze systemen verdedigen toegang geven tot onze krachtigste modellen en tegelijkertijd onze waarborgen versterken om ongeautoriseerde aanvallen te voorkomen.

Ten eerste ondersteunt ons subsidieprogramma Daybreak for Frontline Defenders⁠ van 1 miljard dollar deze verdedigers door toegang te subsidiëren voor teams met beperkte middelen, zoals overheidsorganisaties en essentiële dienstverleners. We introduceren ook een nieuwe groep binnen Daybreak Red (Daybreak Red voor kritieke infrastructuur) voor goedgekeurde verdedigers van kritieke infrastructuur. Zij krijgen toestemming om geautoriseerde tests op kritieke systemen uit te voeren, met behoud van waarborgen tegen afwijkend modelgedrag.

Ten tweede hebben we, om misbruik van de Daybreak Red- en Blue-platforms te voorkomen, de waarborgen aangescherpt tegen ondersteuning en capaciteitsontwikkeling die industriële besturingen of veiligheidskritieke systemen kunnen compromitteren, apparatuur kunnen verstoren of kunnen leiden tot ernstig letsel, catastrofale fysieke schade of levensbedreigende verstoring van diensten. De onderstaande figuur vergelijkt de percentages die door de waarborgen worden gelabeld voor vier toegangsconfiguraties, vóór en na de recente updates die we samen met GPT‑6 Cyber uitrollen.

Hogere blokkeringspercentages door waarborgen zijn niet altijd beter. Veel technieken in deze evaluatie zijn ook essentieel voor legitiem beveiligingswerk: systemen begrijpen, kwetsbaarheden vinden en controleren of oplossingen bestand zijn tegen aanvallen. Daarom beoordelen we deze percentages in samenhang met de ondersteuning voor legitiem onderzoek en patching, in plaats van naar 100% te streven.

Om te beoordelen hoe onze modellen kritieke infrastructuur kunnen helpen verdedigen, werkten we samen met Dragos, de wereldwijde aanbieder van cybersecurity voor uitgebreide operationele technologie (xOT). Dragos voerde evaluaties uit in een gecontroleerde labomgeving met Daybreak Red-modellen die meer cyberactiviteiten toestaan. De evaluaties omvatten verzoeken die opliepen van netwerkverkenning en het inventariseren van assets tot gerichte verkenning, exfiltratie van gevoelige gegevens en ongeautoriseerde, potentieel gevaarlijke handelingen op apparaten.

We gebruikten feedback van Dragos om onze waarborgen te verfijnen, met als doel schadelijke ondersteuning te blokkeren zonder geautoriseerde tests onnodig te beperken. Bekijk hun eindrapport⁠(opent in een nieuw venster) voor meer informatie over de evaluaties. We werken ook aan uitbreiding van onze samenwerkingen met andere aanbieders van offensieve beveiliging en purple teams rond penetratietests en red teaming met AI. Daarnaast werken we samen met energiebedrijven, andere beheerders van kritieke infrastructuur en nationale laboratoria om de effectiviteit en waarborgen van onze modellen bij industriële verdediging te beoordelen. We investeren ook meer in dreigingsonderzoek om modelgebruik met betrekking tot OT/ICS op te sporen. We blijven onze waarborgen verfijnen met input van partners en de beveiligingscommunity, waaronder meldingen via /feedback wanneer waarborgen schadelijke activiteiten missen of legitiem werk onderbreken.

GPT‑6 Cyber is in eerste instantie via de API en Codex beschikbaar voor een selecte groep goedgekeurde Daybreak Red-klanten. Binnenkort breiden we de toegang geleidelijk uit naar alle Daybreak Red-klanten. We stellen ook GPT‑5.6 Cyber beschikbaar voor alle Daybreak Red-klanten. We breiden ook de alfatoegang tot Daybreak Blue voor GPT‑6 Astra uit naar meer organisaties en individuele beveiligingsonderzoekers. Laat het ons weten⁠(opent in een nieuw venster) als je interesse hebt.

Nieuwe gebruikers en organisaties kunnen zich aanmelden voor Daybreak⁠ en aan de slag gaan met onze cyberskills, producten en partners⁠.