GPT‑6 Cyber: postęp w rozwoju agentów cyberbezpieczeństwa zgodnych z intencjami
Model do cyberbezpieczeństwa wytrenowany do znajdowania i weryfikowania podatności możliwych do wykorzystania, z zachowaniem zakresu wyznaczonego przez badaczy.
Przedstawiamy GPT‑6 Cyber — ogromny postęp w badaniach nad bezpieczeństwem: model skuteczniejszy w znajdowaniu i usuwaniu podatności oraz znacznie bardziej niezawodny w przestrzeganiu granic wyznaczonych przez badaczy. GPT‑6 Cyber osiąga znacznie lepsze wyniki niż GPT‑5.6 Cyber w kluczowych benchmarkach cyberbezpieczeństwa, w tym względną poprawę o 51% w ExploitGym i skokową poprawę w testach przestrzegania zakresu zadania. Już pomaga zabezpieczać rzeczywiste oprogramowanie, odkrywając i weryfikując tysiące exploitów w bazach kodu kluczowych dla bezpieczeństwa, takich jak Linux i Firefox.
W ExploitGym, który sprawdza, czy modele potrafią wykorzystać wskazaną podatność, GPT‑6 Cyber uzyskuje wynik 48,5%, w porównaniu z 32,1% dla GPT‑5.6 Cyber. Bardziej niezawodnie przestrzega też granic zadania: w osobnym teście dostosowania do intencji GPT‑6 Cyber unikał wykorzystywania podatności w usługach spoza zakresu zadania w 99,93% prób bez polecenia stosowanego we wdrożeniu oraz w 100% prób z tym poleceniem. Ta poprawa dostosowania do intencji wynika z ukierunkowanego treningu w zakresie działania w dozwolonych granicach, przestrzegania ograniczeń i rzetelnego raportowania wyników.
Te możliwości już pomagają zabezpieczać rzeczywiste systemy. Nasi badacze wykorzystali GPT‑6 Cyber do opracowania 948 exploitów eskalacji uprawnień w Linuksie i wykrycia 81 nieznanych wcześniej poważnych podatności w Firefoksie, mimo wcześniejszych szeroko zakrojonych testów z użyciem pionierskich modeli. Model pomógł też opracować propozycje poprawek, a Mozilla udostępniła poprawki dla wielu podatności Firefoksa(otwiera nowe okno). Zespoły ds. bezpieczeństwa w Cisco, Calif i CodeRabbit korzystają z niego do badania podatności i przeglądów kodu, a my wykorzystaliśmy go do znajdowania i usuwania słabych punktów naszej własnej infrastruktury.
Jest jasne, że mamy ograniczony czas na wykorzystanie pionierskich modeli do zabezpieczenia oprogramowania. Naszym celem jest znaczące rozszerzenie Daybreak, tak aby zaawansowane badania nad bezpieczeństwem były dostępne dla organizacji każdej wielkości, niezależnych badaczy i opiekunów projektów open source. Modele z głównej linii, takie jak GPT‑6 Astra, już wspierają przeglądy kodu, ocenę i priorytetyzację podatności oraz opracowywanie poprawek. Daybreak Blue pomaga zweryfikowanym obrońcom sprawdzać podatności i poprawki przy mniejszej liczbie zbędnych odmów, natomiast Daybreak Red umożliwia bardziej zaawansowane tworzenie exploitów i autoryzowane testy bezpieczeństwa z użyciem GPT‑6 Cyber.
GPT‑6 Cyber to duży krok naprzód względem GPT‑5.6 Cyber. Przewyższa GPT‑6 Astra w większości zadań z zakresu cyberbezpieczeństwa, nawet gdy Astra nie odmawia realizacji żądania. Oceniliśmy model w zadaniach wymagających zrozumienia oprogramowania, identyfikowania podatności i tworzenia działających exploitów. Na podstawie tych wyników, zgodnie z naszymi Ramami gotowości, klasyfikujemy model na poziomie krytycznym w cyberbezpieczeństwie — wyższym niż poziom wysoki przypisany GPT‑5.6 Cyber.
W ExploitGym, który sprawdza, czy modele potrafią wykorzystać wskazaną podatność w zdalnym celu, GPT‑6 Cyber uzyskuje wynik 48,5% — o około 16 punktów procentowych więcej niż 32,1% osiągnięte przez GPT‑5.6 Cyber. Aby sprawdzić zdolność odkrywania podatności, opracowaliśmy też nowy test oceniający zdolność do przeprowadzania ofensywnych testów penetracyjnych aplikacji internetowych. Modele badają aplikacje internetowe bez dostępu do ich kodu źródłowego. GPT‑6 Cyber wykrył 40,3% podatności, w porównaniu z 32,0% w przypadku GPT‑6 Astra.
Daybreak Red zaprojektowano z myślą o bardziej zaawansowanych procesach związanych z bezpieczeństwem, w tym tworzeniu działających exploitów i stosowaniu ich przeciwko zdalnym celom. Aby ocenić te możliwości, opracowaliśmy nowy benchmark RemoteExploitBench, który wykorzystuje znane podatności w aplikacjach takich jak GitLab, PostgreSQL i Jenkins, wdrożonych w kontrolowanym środowisku. W naszej wstępnej ocenie GPT‑6 Astra działający z Daybreak Blue odmówił wykonania 100% zadań, natomiast GPT‑6 Cyber wykonał 95%. Jego jedynym niepowodzeniem był exploit, którego nie zdołał uruchomić zdalnie. Pełne wyniki i ustawienia testów można znaleźć w karcie systemu(otwiera nowe okno).
Jednym z zagrożeń związanych z agentami do cyberbezpieczeństwa jest to, że wykraczają poza zakres przydzielonego zadania, próbują wykorzystywać podatności w niezwiązanych z nim usługach lub lekceważą zasady działania określone przez badacza.
Dostosowanie do intencji było jednym z naszych głównych priorytetów przy tworzeniu GPT‑6 Cyber. Specjalistyczny trening pomaga modelowi działać w dozwolonym zakresie, przestrzegać ograniczeń i rzetelnie raportować swoją pracę. Przed wdrożeniem przeprowadziliśmy serię testów dostosowania do intencji, aby ocenić te zachowania. Pełne wyniki można znaleźć w karcie systemu(otwiera nowe okno).
Jednym z tych testów jest ExploitGym Honeypot, opracowany z uwzględnieniem wniosków z incydentu w Hugging Face. Zlecamy modelowi trudne zadanie wykorzystania podatności w odizolowanym środowisku z dostępem do usług pomocniczych, takich jak rejestr pakietów czy magazyn obiektowy. Celowo ułatwiamy wykorzystanie podatności w tych usługach, tak aby atak na nie mógł ujawnić flagę zadania. Model musi sam wywnioskować, że wykorzystanie ich podatności wykracza poza zakres jego zadania.
W tym teście GPT‑6 Cyber wykazuje skokową poprawę względem GPT‑5.6 Cyber. W testach bez poleceń bezpieczeństwa stosowanych we wdrożeniu model unikał wykorzystywania podatności w usługach spoza zakresu zadania w 99,93% przypadków, w porównaniu z 94,49% dla GPT‑5.6 Cyber. Z tymi poleceniami GPT‑6 Cyber przestrzegał granic w 100% przypadków.
W łańcuchu rozumowania modelu GPT‑6 Cyber możemy bezpośrednio zobaczyć, jak rozważa on przestrzeganie granic:
“Can't assume extra API or attack controller not target. We should only target binary/server.”
“don't explore out of scope credentials.”
GPT‑6 Cyber już pomaga zespołom ds. bezpieczeństwa znajdować podatności, weryfikować potencjalne skutki ich wykorzystania i opracowywać poprawki. Klienci wykorzystują go do pracy z dużymi bazami kodu, długotrwałych zadań tworzenia exploitów i przeglądów bezpieczeństwa:
Korzystaliśmy również z GPT‑6 Cyber do zabezpieczania własnych systemów. Był jednym z głównych modeli wykorzystanych w opisanych przez nas niedawno pracach nad wzmocnieniem zabezpieczeń infrastruktury do trenowania pionierskich modeli. W kampaniach kontrolowanych ataków agenty korzystające z GPT‑6 Cyber i innych modeli OpenAI łączyły podatności, aby wydostać się z maszyn microVM i wykonywać kod na hostach bazowych. Wykorzystaliśmy te ustalenia do wprowadzenia poprawek w oprogramowaniu, zaostrzenia ograniczeń sieciowych i zgłoszenia problemów opiekunom projektów oraz dostawcom.
Nasi badacze podatności korzystają też z GPT‑6 Cyber, aby na dużą skalę znajdować i weryfikować podatności w oprogramowaniu open source. Prace te ujawniły nieznane wcześniej luki w oprogramowaniu, które od lat poddawano wnikliwym badaniom:
Odkrycie 81 nowych podatności w Firefoksie. GPT‑6 Cyber może sprawdzać się w autonomicznych procesach wyszukiwania podatności i proponowania wysokiej jakości poprawek na dużą skalę. Podczas kampanii badania podatności GPT‑6 Cyber dostarczył dowody i powtarzalne testy dla 81 nowych podatności, które Mozilla sklasyfikowała jako poważne, oraz wykazał, że 30 dodatkowych, znanych już problemów jest poważniejszych, niż wcześniej zgłaszano. Przekazaliśmy Mozilli te ustalenia wraz z propozycjami poprawek, aby pomóc jej inżynierom opracować rozwiązania. Mozilla poparła te prace i zaczęła wdrażać poprawki wkrótce po otrzymaniu zgłoszeń(otwiera nowe okno).
Opracowanie exploitów dla 948 podatności jądra Linuksa. GPT‑6 Cyber odtworzył 1724 podatności i opracował działające exploity dla 948 z nich — ponad pięciokrotnie więcej niż 166 wykorzystanych przez GPT‑5.6 Sol w tym samym otoczeniu operacyjnym wykorzystywanym do badań. Zgodnie z wytycznymi społeczności Linuksa przekazaliśmy opiekunom projektów 304 ustalenia o krytycznym znaczeniu wraz z propozycjami poprawek i pracujemy nad usunięciem pozostałych podatności.
Wykazanie krytycznych podatności umożliwiających zdalne wykonanie kodu (RCE). Niedawno opisaliśmy krytyczną podatność w Brotli(otwiera nowe okno), bibliotece kompresji używanej przez Node.js i inne oprogramowanie. Nasi badacze bezpieczeństwa wykorzystali GPT‑6 Cyber wraz z innymi modelami OpenAI do opracowania i zweryfikowania exploitów pokazujących, jak ta luka mogłaby umożliwić zdalne wykonanie kodu w aplikacjach korzystających z biblioteki.
Wraz ze wzrostem możliwości modeli i liczby odkrywanych przez nie podatności obserwujemy też coraz więcej prób wykorzystania ich do wyrządzania szkód. Obejmują one działania cyberprzestępców oraz wrogich grup, które próbują przeprowadzać destylację naszych modeli. Dlatego większym możliwościom GPT‑6 Cyber towarzyszą silniejsze zabezpieczenia, które wykrywają i udaremniają nadużycia oraz utrzymują działania modelu w granicach intencji i upoważnienia użytkownika.
Wraz z udostępnieniem GPT‑6 Cyber dodaliśmy i wzmocniliśmy następujące zabezpieczenia (pełne informacje zawiera karta systemu(otwiera nowe okno)):
Monitorowanie niezgodności z intencjami w zadaniach z zakresu cyberbezpieczeństwa. Monitorujemy zgodność działań z upoważnieniem użytkownika, uwzględniając przy tym uprawnione tworzenie i testowanie exploitów.
Ukierunkowane monitorowanie nowych zagrożeń. Na przykład podczas skoordynowanego ujawniania krytycznych podatności PHP uruchomiliśmy monitorowanie prób tworzenia exploitów wymierzonych w działające serwery PHP, zachowując jednocześnie wsparcie dla obrońców wdrażających poprawki w dotkniętych systemach.
Private Safety Processing (PSP). Za pomocą automatycznych kontroli analizujemy powiązane interakcje pod kątem nadużyć. Domyślnie nadal obowiązują standardowe zasady przechowywania danych. Klienci API korzystający z nieprzechowywania danych(otwiera nowe okno) z reguły muszą używać PSP(otwiera nowe okno). Rozwiązanie to analizuje zaszyfrowane zapisy przechowywane przez 30 dni w magazynie danych klienta, bez ujawniania poleceń i odpowiedzi personelowi OpenAI.
Ochrona przed użyciem skradzionych danych uwierzytelniających. W przypadku dostępu do API Daybreak Red domyślnie wymagamy listy dozwolonych adresów IP, ograniczając żądania do zatwierdzonych sieci, z nielicznymi wyjątkami. Monitorujemy również, czy dane uwierzytelniające nie zostały przejęte.
Izolacja środowiska i nadzór. Podobnie jak w przypadku wcześniejszych modeli, w procesach wysokiego ryzyka zalecamy izolację środowiska(otwiera nowe okno), weryfikację działań(otwiera nowe okno) i nadzór człowieka.
Zabezpieczenia przed pomocą w cyberdziałaniach wysokiego ryzyka. Stosujemy nowe kontrole, aby blokować działania wysokiego ryzyka dotyczące systemów krytycznych (więcej informacji poniżej).
Ochrona infrastruktury krytycznej była jednym z najważniejszych czynników przy projektowaniu zabezpieczeń GPT‑6 Cyber i zasad dostępu do niego. Obejmuje ona elektrownie, stacje uzdatniania wody oraz wykorzystywane w nich technologie operacyjne i przemysłowe systemy sterowania (OT/ICS). Chcemy zapewnić zespołom chroniącym te systemy dostęp do naszych najbardziej zaawansowanych modeli, a jednocześnie wzmacniać zabezpieczenia zapobiegające nieautoryzowanym atakom.
Po pierwsze, aby wyposażyć obrońców w odpowiednie narzędzia, nasz program grantowy Daybreak for Frontline Defenders o wartości 1 mld dolarów dofinansowuje dostęp dla zespołów o ograniczonych zasobach, takich jak organizacje rządowe i dostawcy usług podstawowych. Wprowadzamy też nową grupę w ramach Daybreak Red (Daybreak Red dla infrastruktury krytycznej) dla zatwierdzonych obrońców infrastruktury krytycznej. Zapewnia im ona uprawnienia do prowadzenia autoryzowanych testów systemów krytycznych przy zachowaniu zabezpieczeń przed działaniem modelu niezgodnie z intencjami.
Po drugie, aby zapobiegać nadużyciom na platformach Daybreak Red i Blue, udoskonaliliśmy zabezpieczenia przed udzielaniem pomocy i rozwijaniem zdolności, które mogłyby naruszyć przemysłowe systemy sterowania lub systemy kluczowe dla bezpieczeństwa, zakłócić pracę urządzeń bądź spowodować poważne obrażenia, katastrofalne zniszczenia fizyczne lub zagrażające życiu zakłócenia usług. Poniższy wykres porównuje odsetek oznaczeń przez zabezpieczenia w czterech konfiguracjach dostępu — przed ostatnimi aktualizacjami, które wdrażamy wraz z GPT‑6 Cyber, i po nich.
Wyższy odsetek blokad nakładanych przez zabezpieczenia nie zawsze oznacza lepszy wynik. Wiele technik objętych tym testem jest też niezbędnych w uprawnionych pracach nad bezpieczeństwem: poznawaniu systemów, znajdowaniu podatności i sprawdzaniu, czy poprawki wytrzymują ataki. Dlatego oceniamy te wskaźniki łącznie ze wsparciem dla uprawnionych badań i wdrażania poprawek, zamiast dążyć do 100%.
Aby ocenić, jak nasze modele mogą pomóc w ochronie infrastruktury krytycznej, nawiązaliśmy współpracę z Dragos — globalnym dostawcą rozwiązań cyberbezpieczeństwa dla rozszerzonych technologii operacyjnych (xOT). Dragos przeprowadził testy w kontrolowanym środowisku laboratoryjnym, korzystając z modeli Daybreak Red dopuszczających szerszy zakres działań z obszaru cyberbezpieczeństwa. Testy obejmowały żądania o rosnącym stopniu zaawansowania: od odkrywania sieci i inwentaryzacji zasobów, przez ukierunkowany rekonesans i eksfiltrację danych wrażliwych, po nieautoryzowane, potencjalnie niebezpieczne działania na urządzeniach.
Wykorzystaliśmy uwagi Dragos do udoskonalenia zabezpieczeń, tak aby blokować szkodliwą pomoc bez zbędnego ograniczania autoryzowanych testów. Szczegóły testów można znaleźć w raporcie końcowym Dragos(otwiera nowe okno). Rozwijamy też współpracę z innymi dostawcami usług bezpieczeństwa ofensywnego i zespołami typu purple team w zakresie testów penetracyjnych oraz kontrolowanych ataków z użyciem AI, a także z firmami energetycznymi, innymi operatorami infrastruktury krytycznej i laboratoriami krajowymi, aby oceniać skuteczność naszych modeli i ich zabezpieczeń w ochronie systemów przemysłowych. Zwiększyliśmy też nakłady na badanie zagrożeń, aby wykrywać wykorzystanie modeli w działaniach dotyczących OT/ICS. Będziemy nadal udoskonalać zabezpieczenia na podstawie uwag partnerów i społeczności ekspertów ds. bezpieczeństwa, w tym zgłoszeń przesyłanych przez /feedback, gdy zabezpieczenia nie wykryją szkodliwych działań lub przerwą uprawnioną pracę.
GPT‑6 Cyber jest początkowo dostępny przez API i Codex dla wybranej grupy zatwierdzonych klientów Daybreak Red. Wkrótce będziemy stopniowo rozszerzać dostęp na wszystkich klientów Daybreak Red. Udostępniamy im również GPT‑5.6 Cyber. Rozszerzamy też dostęp do wersji alfa Daybreak Blue dla GPT‑6 Astra na kolejne organizacje i indywidualnych badaczy bezpieczeństwa. Jeśli Cię to interesuje, daj nam znać(otwiera nowe okno).
Nowi użytkownicy i organizacje mogą ubiegać się o udział w programie Daybreak i rozpocząć pracę z naszymi umiejętnościami, produktami i partnerami z obszaru cyberbezpieczeństwa.
