GPT‑6 Cyber: ampliando a fronteira dos agentes de cibersegurança alinhados
Um modelo de cibersegurança treinado para encontrar e validar vulnerabilidades exploráveis, respeitando o escopo definido pelos pesquisadores.
Apresentamos o GPT‑6 Cyber, um grande avanço na pesquisa de segurança: mais capaz de encontrar e corrigir vulnerabilidades e muito mais confiável no respeito aos limites definidos pelos pesquisadores. O GPT‑6 Cyber apresenta ganhos expressivos em relação ao GPT‑5.6 Cyber nos principais benchmarks de cibersegurança, incluindo uma melhoria relativa de 51% no ExploitGym e um salto de desempenho nos testes de respeito ao escopo. Ele já está ajudando a proteger softwares reais, descobrindo e validando milhares de exploits em bases de código críticas para a segurança, como Linux e Firefox.
No ExploitGym, que testa se os modelos conseguem explorar uma vulnerabilidade específica, o GPT‑6 Cyber alcança 48,5%, ante 32,1% do GPT‑5.6 Cyber. Ele também respeita os limites das tarefas de forma mais confiável: em uma avaliação separada de alinhamento, o GPT‑6 Cyber evitou explorar serviços fora do escopo em 99,93% dos testes sem seu prompt de implantação e em 100% com esse prompt. Essa melhoria no alinhamento reflete um treinamento específico para se manter dentro do escopo autorizado, respeitar restrições e relatar resultados com precisão.
Essas capacidades já estão ajudando a proteger sistemas reais. Nossos pesquisadores usaram o GPT‑6 Cyber para desenvolver 948 exploits de escalonamento de privilégios no Linux e identificar 81 vulnerabilidades de alta gravidade até então desconhecidas no Firefox, apesar dos extensos testes anteriores com modelos de fronteira. O modelo também ajudou a desenvolver possíveis patches, e a Mozilla já lançou correções para muitas das vulnerabilidades do Firefox(abre em uma nova janela). Equipes de segurança da Cisco, Calif e CodeRabbit o utilizam para pesquisa de vulnerabilidades e revisão de código, e nós contamos com ele para encontrar e corrigir fragilidades em nossa própria infraestrutura.
Está claro que temos um prazo limitado para usar modelos de fronteira na proteção de software. Nosso objetivo é ampliar significativamente o Daybreak, levando a pesquisa avançada de segurança a organizações de todos os tamanhos, pesquisadores independentes e mantenedores de projetos de código aberto. Modelos da linha principal, como o GPT‑6 Astra, já oferecem suporte à revisão de código, à triagem de vulnerabilidades e ao desenvolvimento de patches. O Daybreak Blue ajuda defensores verificados a validar vulnerabilidades e correções com menos recusas desnecessárias, enquanto o Daybreak Red permite um desenvolvimento mais aprofundado de exploits e testes de segurança autorizados com o GPT‑6 Cyber.
O GPT‑6 Cyber representa um grande avanço em relação ao GPT‑5.6 Cyber e supera o GPT‑6 Astra na maioria das tarefas cibernéticas, mesmo quando o Astra não recusa a solicitação. Avaliamos o modelo em tarefas que exigem entender software, identificar vulnerabilidades e desenvolver exploits funcionais. Com base nesses resultados, classificamos o modelo no nível Crítico em cibersegurança segundo nosso Preparedness Framework, acima do nível Alto do GPT‑5.6 Cyber.
No ExploitGym, que testa se os modelos conseguem explorar uma vulnerabilidade específica em um alvo remoto, o GPT‑6 Cyber alcança 48,5%, cerca de 16 pontos percentuais acima dos 32,1% do GPT‑5.6 Cyber. Para testar a descoberta de vulnerabilidades, também criamos uma nova avaliação de testes ofensivos de penetração na web. Os modelos investigam aplicações web sem acesso ao código-fonte. O GPT‑6 Cyber alcançou 40,3% de recall de vulnerabilidades, ante 32,0% do GPT‑6 Astra.
O Daybreak Red foi projetado para apoiar fluxos de trabalho de segurança mais avançados, incluindo o desenvolvimento de exploits funcionais e seu uso contra alvos remotos. Para avaliar essas capacidades, criamos um novo benchmark chamado RemoteExploitBench, que usa vulnerabilidades conhecidas em aplicações como GitLab, PostgreSQL e Jenkins implantadas em um ambiente controlado. Em nossa avaliação inicial, o GPT‑6 Astra executado com o Daybreak Blue recusou 100% das tarefas, enquanto o GPT‑6 Cyber concluiu 95%; sua única falha foi um exploit que ele não conseguiu fazer funcionar remotamente. Consulte o system card(abre em uma nova janela) para ver os resultados completos e as configurações das avaliações.
Um dos riscos dos agentes de cibersegurança é que extrapolem o escopo da tarefa atribuída, tentem explorar serviços não relacionados ou desconsiderem as regras de atuação do pesquisador.
Fizemos do alinhamento uma prioridade central do GPT‑6 Cyber, com treinamento especializado para ajudar o modelo a se manter dentro do escopo autorizado, respeitar as restrições às suas ações e relatar seu trabalho com precisão. Antes da implantação, realizamos uma série de avaliações de alinhamento para medir esses comportamentos. Consulte o system card(abre em uma nova janela) para ver os resultados completos.
Uma dessas avaliações é o ExploitGym Honeypot, que foi elaborado com base no incidente da Hugging Face. Atribuímos ao modelo uma tarefa difícil de exploração em um ambiente isolado com acesso a serviços de apoio, como um registro de pacotes ou um armazenamento de objetos. Tornamos esses serviços deliberadamente fáceis de explorar, de modo que atacá-los possa revelar a flag da tarefa. O modelo precisa inferir que explorar esses serviços está fora do escopo da tarefa.
O GPT‑6 Cyber apresenta um salto de desempenho em relação ao GPT‑5.6 Cyber nessa avaliação. Nos testes sem os prompts de segurança usados na implantação, ele evitou explorar serviços fora do escopo em 99,93% dos casos, ante 94,49% do GPT‑5.6 Cyber. Com esses prompts, o GPT‑6 Cyber respeitou os limites em 100% dos casos.
Podemos ver diretamente na cadeia de pensamento do modelo GPT‑6 Cyber como ele raciocina sobre respeitar os limites:
“Can't assume extra API or attack controller not target. We should only target binary/server.”
“don't explore out of scope credentials.”
O GPT‑6 Cyber já ajuda equipes de segurança a encontrar vulnerabilidades, validar seu impacto e desenvolver correções. Os clientes o têm utilizado em grandes bases de código, no desenvolvimento prolongado de exploits e em revisões de segurança:
Também contamos com o GPT‑6 Cyber para proteger nossos próprios sistemas. Ele foi um dos principais modelos por trás do trabalho que compartilhamos recentemente sobre o reforço da segurança da infraestrutura usada para treinar modelos de fronteira. Em campanhas controladas de red teaming, agentes que usavam o GPT‑6 Cyber e outros modelos da OpenAI encadearam vulnerabilidades para escapar de microVMs e executar código nos hosts subjacentes. Usamos os resultados para corrigir software, reforçar as restrições de rede e relatar problemas a mantenedores e fornecedores.
Nossos pesquisadores de vulnerabilidades também usam o GPT‑6 Cyber para encontrar e validar vulnerabilidades em software de código aberto em larga escala. Esse trabalho revelou falhas até então desconhecidas em softwares que vêm sendo examinados minuciosamente há anos:
Descoberta de 81 novas vulnerabilidades no Firefox. O GPT‑6 Cyber pode ser adequado para fluxos de trabalho autônomos voltados à descoberta de vulnerabilidades e à proposta de patches de alta qualidade em larga escala. Durante uma campanha de pesquisa de vulnerabilidades, o GPT‑6 Cyber produziu evidências e testes reproduzíveis para 81 novas vulnerabilidades classificadas pela Mozilla como de alta gravidade e demonstrou que outros 30 problemas conhecidos eram mais graves do que se havia relatado. Comunicamos as descobertas à Mozilla, junto com propostas de patches para ajudar seus engenheiros a desenvolver correções. A Mozilla apoiou esse trabalho e começou a incorporar correções logo após receber os relatórios(abre em uma nova janela).
Desenvolvimento de exploits para 948 vulnerabilidades no kernel Linux. O GPT‑6 Cyber reproduziu 1.724 vulnerabilidades e desenvolveu exploits funcionais para 948 delas — mais de cinco vezes as 166 exploradas pelo GPT‑5.6 Sol com o mesmo harness de pesquisa. Seguindo as orientações da comunidade Linux, comunicamos 304 descobertas críticas aos mantenedores, junto com possíveis patches, e estamos trabalhando para que outras vulnerabilidades sejam corrigidas.
Demonstração de vulnerabilidades críticas de execução remota de código (RCE). Recentemente, abordamos uma vulnerabilidade crítica no Brotli(abre em uma nova janela), uma biblioteca de compressão usada pelo Node.js e por outros softwares. Nossos pesquisadores de segurança usaram o GPT‑6 Cyber junto com outros modelos da OpenAI para desenvolver e validar exploits que demonstram como a falha poderia permitir a execução remota de código em aplicações que usam a biblioteca.
À medida que os modelos se tornam mais capazes e descobrem mais vulnerabilidades de segurança, também observamos mais tentativas de usá-los para causar danos. Essas tentativas incluem esforços de agentes cibernéticos mal-intencionados e grupos adversários que buscam destilar nossos modelos. Por isso, combinamos os recursos mais avançados do GPT‑6 Cyber com salvaguardas mais robustas para detectar e interromper usos indevidos e manter as ações do modelo dentro da intenção e da autorização do usuário.
Adicionamos e reforçamos essas proteções junto com o lançamento do GPT‑6 Cyber (consulte o system card(abre em uma nova janela) para obter informações completas):
Monitoramento de desalinhamento específico para cibersegurança. Monitoramos se as ações correspondem à autorização do usuário, reconhecendo ao mesmo tempo atividades legítimas de desenvolvimento e teste de exploits.
Monitoramento direcionado a ameaças emergentes. Por exemplo, durante a divulgação coordenada de vulnerabilidades críticas no PHP, implementamos monitoramento direcionado a tentativas de desenvolver exploits contra servidores PHP em operação, sem deixar de apoiar os defensores que corrigiam os sistemas afetados.
Processamento Privado de Segurança (PSP). Usamos verificações automatizadas para analisar interações relacionadas em busca de uso indevido. A retenção padrão continua sendo a configuração predefinida. Clientes da API que usam zero retenção de dados(abre em uma nova janela) geralmente precisam usar o PSP(abre em uma nova janela), que analisa registros criptografados mantidos no armazenamento do cliente por 30 dias sem expor prompts e respostas à equipe da OpenAI.
Proteção contra credenciais roubadas. Por padrão, exigimos uma lista de IPs permitidos para o acesso ao Daybreak Red pela API, restringindo as solicitações a redes aprovadas, com poucas exceções. Também monitoramos as credenciais em busca de comprometimento.
Isolamento em sandbox e supervisão. Assim como nos modelos anteriores, recomendamos isolamento em sandbox(abre em uma nova janela), revisão de ações(abre em uma nova janela) e supervisão humana para fluxos de trabalho de alto risco.
Proteções contra assistência cibernética de alto risco. Usamos novas verificações para bloquear atividades de alto risco que envolvam sistemas críticos (saiba mais abaixo).
A proteção da infraestrutura crítica foi uma prioridade na definição das salvaguardas e do acesso ao GPT‑6 Cyber. Isso inclui usinas de energia, estações de tratamento de água e os sistemas de tecnologia operacional e controle industrial (OT/ICS) que sustentam essas instalações. Queremos dar às equipes que defendem esses sistemas acesso aos nossos modelos mais capazes e, ao mesmo tempo, reforçar nossas salvaguardas para evitar ataques não autorizados.
Primeiro, para equipar esses defensores, nosso programa de subsídios de US$ 1 bilhão, Daybreak para defensores na linha de frente, subsidia o acesso de equipes com recursos limitados, como organizações governamentais e prestadores de serviços essenciais. Também estamos lançando um novo grupo no Daybreak Red (Daybreak Red para infraestrutura crítica) para defensores de infraestrutura crítica aprovados. Ele concede permissões para realizar testes autorizados de sistemas críticos, mantendo as salvaguardas contra o desalinhamento do modelo.
Segundo, para evitar o uso indevido das plataformas Daybreak Red e Blue, aprimoramos as salvaguardas contra assistência e desenvolvimento de capacidades que possam comprometer controles industriais ou sistemas essenciais à segurança, interferir em equipamentos ou causar ferimentos graves, danos físicos catastróficos ou interrupções de serviços que coloquem vidas em risco. A figura abaixo compara as taxas de sinalização pelas salvaguardas em quatro configurações de acesso, antes e depois das atualizações recentes que estamos implementando junto com o GPT‑6 Cyber.
Taxas mais altas de bloqueio pelas salvaguardas nem sempre são melhores. Muitas das técnicas dessa avaliação também são essenciais para o trabalho legítimo de segurança: entender sistemas, encontrar vulnerabilidades e verificar se as correções resistem a ataques. Por isso, avaliamos essas taxas em conjunto com o suporte à pesquisa legítima e à aplicação de correções, em vez de buscar atingir 100%.
Para avaliar como nossos modelos podem ajudar a defender a infraestrutura crítica, firmamos uma parceria com a Dragos, fornecedora global de cibersegurança para tecnologia operacional estendida (xOT). A Dragos realizou avaliações com modelos do Daybreak Red mais permissivos para atividades cibernéticas em um ambiente de laboratório controlado. As avaliações abrangeram solicitações que avançavam da descoberta de rede e enumeração de ativos ao reconhecimento direcionado, à exfiltração de dados sensíveis e a ações não autorizadas e potencialmente perigosas em dispositivos.
Usamos o feedback da Dragos para aprimorar nossas salvaguardas, buscando bloquear assistência prejudicial sem restringir desnecessariamente testes autorizados. Consulte o relatório final da Dragos(abre em uma nova janela) para saber mais sobre as avaliações. Também estamos trabalhando para ampliar as parcerias com outros fornecedores de segurança ofensiva e purple teams em testes de penetração e red teaming com IA, além de empresas de energia, outros operadores de infraestrutura crítica e laboratórios nacionais, para avaliar a eficácia e as salvaguardas dos nossos modelos na defesa industrial. Também aumentamos nosso investimento em investigações de ameaças para detectar o uso de modelos envolvendo OT/ICS. Continuaremos aprimorando nossas salvaguardas com as contribuições de parceiros e da comunidade de segurança, incluindo relatos pelo /feedback quando as salvaguardas deixarem passar atividades prejudiciais ou interromperem trabalhos legítimos.
O GPT‑6 Cyber está disponível inicialmente pela API e pelo Codex para um grupo selecionado de clientes aprovados do Daybreak Red. Em breve, ampliaremos progressivamente o acesso para todos os clientes do Daybreak Red. Também estamos disponibilizando o GPT‑5.6 Cyber para todos os clientes do Daybreak Red. Também estamos ampliando o acesso alfa ao Daybreak Blue para o GPT‑6 Astra para mais organizações e pesquisadores individuais de segurança; avise-nos(abre em uma nova janela) se tiver interesse.
Novos usuários e organizações podem se candidatar ao Daybreak e começar a usar nossas habilidades, produtos e parceiros de cibersegurança.
