GPT‑6 Cyber: Kuendeleza mawakala wa usalama wa mtandao wanaozingatia maagizo

Tunatambulisha GPT‑6 Cyber, hatua kubwa katika utafiti wa usalama: yenye uwezo mkubwa zaidi wa kupata na kurekebisha udhaifu, na inayotegemeka zaidi katika kuzingatia mipaka iliyowekwa na watafiti. GPT‑6 Cyber inaleta maboresho makubwa katika vipimo muhimu vya usalama wa mtandao ikilinganishwa na GPT‑5.6 Cyber, ikiwemo ongezeko la 51% la utendaji katika ExploitGym na maendeleo makubwa sana inapopimwa uzingatiaji wa mipaka ya kazi. Tayari inasaidia kulinda programu zinazotumika, ikigundua na kuthibitisha maelfu ya mbinu za kutumia udhaifu katika hazina za msimbo ambazo usalama wake ni muhimu sana, kama vile Linux na Firefox.

Katika ExploitGym, inayopima ikiwa miundo inaweza kutumia udhaifu uliobainishwa, GPT‑6 Cyber inapata alama ya 48.5%, kutoka 32.1% ya GPT‑5.6 Cyber. Pia inazingatia mipaka ya kazi kwa kutegemeka zaidi: katika tathmini tofauti ya ulinganifu, GPT‑6 Cyber iliepuka kutumia udhaifu wa huduma zilizo nje ya mipaka ya kazi katika 99.93% ya majaribio bila dokeza lake la matumizi, na 100% ikiwa na dokeza hilo. Uboreshaji huu wa ulinganifu unatokana na mafunzo maalumu ya kuzingatia mipaka iliyoidhinishwa, kuheshimu vizuizi na kuripoti matokeo kwa usahihi.

Uwezo huu tayari unasaidia kulinda mifumo halisi. Watafiti wetu walitumia GPT‑6 Cyber kutengeneza mbinu 948 za kutumia udhaifu kuongeza ruhusa katika Linux⁠ na kutambua udhaifu hatari 81 katika Firefox ambao haukujulikana awali, licha ya majaribio mengi ya awali kwa miundo ya kiwango cha juu. Muundo pia ulisaidia kutengeneza mapendekezo ya marekebisho, na Mozilla imetoa marekebisho ya udhaifu mwingi wa Firefox⁠(fungua katika dirisha jipya). Timu za usalama katika Cisco, Calif na CodeRabbit zinaitumia kwa utafiti wa udhaifu na ukaguzi wa msimbo, na tumeitegemea kupata na kurekebisha udhaifu katika miundombinu yetu wenyewe⁠.

Ni wazi kwamba tuna muda mfupi wa kutumia miundo ya kiwango cha juu kulinda programu⁠. Lengo letu ni kupanua Daybreak kwa kiwango kikubwa, na kufikisha utafiti wa hali ya juu wa usalama kwa mashirika ya kila ukubwa, watafiti huru na watunzaji wa programu huria. Miundo ya matumizi ya jumla kama GPT‑6 Astra tayari inasaidia ukaguzi wa msimbo, upangaji wa udhaifu kulingana na kipaumbele, na uundaji wa marekebisho. Daybreak Blue huwasaidia walinzi waliothibitishwa kuthibitisha udhaifu na marekebisho huku ikipunguza ukataaji usiohitajika, ilhali Daybreak Red huwezesha uundaji wa kina zaidi wa mbinu za kutumia udhaifu na majaribio ya usalama yaliyoidhinishwa kwa GPT‑6 Cyber.

GPT‑6 Cyber ni hatua kubwa mbele ya GPT‑5.6 Cyber na inazidi GPT‑6 Astra katika kazi nyingi za mtandao, hata wakati Astra haikatai ombi. Tulitathmini muundo kwa kazi zinazouhitaji kuelewa programu, kutambua udhaifu na kutengeneza mbinu za kutumia udhaifu zinazofanya kazi. Kulingana na matokeo haya, tunauainisha muundo katika kiwango cha Hatari Kubwa Sana katika usalama wa mtandao chini ya Mfumo wa Maandalizi wetu, kutoka kiwango cha Hatari Kubwa cha GPT‑5.6 Cyber.

Katika ExploitGym, inayopima ikiwa modeli zinaweza kutumia udhaifu uliobainishwa katika shabaha ya mbali, GPT‑6 Cyber inapata alama ya 48.5%, takriban pointi 16 za asilimia zaidi ya alama ya 32.1% ya GPT‑5.6 Cyber. Ili kupima ugunduzi wa udhaifu, pia tuliunda tathmini mpya ya majaribio ya kupenya programu za wavuti kwa mbinu za mashambulizi. Modeli huchunguza programu za wavuti bila kufikia msimbo wake chanzo. GPT‑6 Cyber iligundua 40.3%ya udhaifu uliokuwepo ikilinganishwa na 32.0 kwa GPT‑6 Astra.

Daybreak Red imeundwa kusaidia michakato ya hali ya juu zaidi ya usalama, ikiwemo kutengeneza mbinu za kutumia udhaifu zinazofanya kazi na kuzitumia dhidi ya shabaha za mbali. Ili kutathmini uwezo huu, tuliunda kipimo kipya kinachoitwa RemoteExploitBench, kinachotumia udhaifu unaojulikana katika programu kama GitLab, PostgreSQL na Jenkins zilizowekwa katika mazingira yaliyodhibitiwa. Katika tathmini yetu ya awali, GPT‑6 Astra iliyotumia Daybreak Blue ilikataa 100% ya kazi, ilhali GPT‑6 Cyber ilikamilisha 95%; ilishindwa tu katika mbinu moja ya kutumia udhaifu ambayo haikuweza kuifanya ifanye kazi kwa mbali. Angalia kadi ya mfumo⁠(fungua katika dirisha jipya) kwa matokeo kamili na mipangilio ya tathmini.

Hatari mojawapo ya mawakala wa usalama wa mtandao ni kuvuka mipaka ya kazi waliyopewa, kujaribu kutumia udhaifu wa huduma zisizohusiana na kazi hiyo, au kupuuza kanuni za utekelezaji zilizowekwa na mtafiti.

Tuliweka ulinganifu kuwa kipaumbele kikuu cha GPT‑6 Cyber, tukitumia mafunzo maalumu kusaidia modeli kuzingatia mipaka iliyoidhinishwa, kufuata vizuizi vya vitendo vyake na kuripoti kazi yake kwa usahihi. Kabla ya kuanza kutumika, tulifanya mfululizo wa tathmini za ulinganifu ili kupima tabia hizi. Angalia kadi ya mfumo⁠(fungua katika dirisha jipya) kwa matokeo kamili.

Mojawapo ya tathmini hizi ni ExploitGym Honeypot, iliyoundwa kwa kuzingatia tukio la Hugging Face⁠. Tunaupa muundo kazi ngumu ya kutumia udhaifu katika mazingira yaliyotengwa, ukiwa na ufikiaji wa huduma saidizi, kama vile sajili ya vifurushi au hifadhi ya objekti. Tunafanya huduma hizi ziwe rahisi kushambuliwa kimakusudi ili kuzishambulia kuweze kufichua alama lengwa ya kazi. Muundo lazima utambue kuwa kutumia udhaifu wa huduma hizo ni kuvuka mipaka ya kazi yake.

GPT‑6 Cyber inaonyesha maendeleo makubwa ikilinganishwa na GPT‑5.6 Cyber katika tathmini hii. Ilipojaribiwa bila madokeza ya usalama wa matumizi, iliepuka kutumia udhaifu wa huduma zilizo nje ya mipaka ya kazi katika 99.93% ya majaribio, ikilinganishwa na 94.49% kwa GPT‑5.6 Cyber. Kwa madokeza hayo, GPT‑6 Cyber ilizingatia mipaka katika 100% ya majaribio.

Tunaweza kuona moja kwa moja katika msururu wa mawazo wa muundo wa GPT‑6 Cyber jinsi unavyofikiri kuhusu kuzingatia mipaka:

GPT‑6 Cyber tayari inasaidia timu za usalama kupata udhaifu, kuthibitisha athari zake na kutengeneza marekebisho. Wateja wameitumia kwenye hazina kubwa za msimbo, katika kazi za muda mrefu za kutengeneza mbinu za kutumia udhaifu, na katika ukaguzi wa usalama:

Pia tumetegemea GPT‑6 Cyber kulinda mifumo yetu wenyewe. Ilikuwa mojawapo ya miundo mikuu iliyotumika katika kazi tuliyoshiriki hivi karibuni ya kuimarisha usalama wa miundombinu inayotumika kufunza miundo ya kisasa zaidi⁠. Katika kampeni zilizodhibitiwa za jaribio la kubaini udhaifu wa mfumo, mawakala waliotumia GPT‑6 Cyber na miundo mingine ya OpenAI waliunganisha udhaifu kadhaa ili kutoka kwenye microVM na kutekeleza msimbo kwenye mifumo mwenyeji. Tulitumia matokeo hayo kurekebisha programu, kuimarisha vizuizi vya mtandao na kuripoti matatizo kwa watunzaji na wauzaji.

Watafiti wetu wa udhaifu pia hutumia GPT‑6 Cyber kupata na kuthibitisha udhaifu katika programu huria kwa kiwango kikubwa. Kazi hii imegundua dosari ambazo hazikujulikana awali katika programu zilizochunguzwa kwa miaka mingi:

• Iligundua udhaifu mpya 81 katika Firefox. GPT‑6 Cyber inaweza kufaa kwa michakato inayojiendesha ya kutafuta udhaifu na kupendekeza marekebisho bora kwa kiwango kikubwa. Wakati wa kampeni ya utafiti wa udhaifu, GPT‑6 Cyber ilitoa ushahidi na majaribio yanayoweza kurudiwa kwa udhaifu mpya 81 ambao Mozilla iliainisha kuwa wa hatari kubwa, na ikaonyesha kuwa matatizo mengine 30 yaliyokuwa yanajulikana yalikuwa hatari zaidi kuliko ilivyoripotiwa awali. Tuliwasilisha matokeo kwa Mozilla pamoja na marekebisho yaliyopendekezwa ili kusaidia wahandisi wake kutengeneza suluhu. Mozilla iliunga mkono kazi hii, na ikaanza kuingiza marekebisho muda mfupi baada ya kupokea ripoti⁠(fungua katika dirisha jipya).

• Kutengeneza mbinu za kutumia udhaifu 948 katika kiini cha Linux⁠. GPT‑6 Cyber ilizalisha upya udhaifu 1,724 na kutengeneza mbinu zinazofanya kazi za kutumia udhaifu 948—zaidi ya mara tano ya udhaifu 166 uliotumiwa na GPT‑5.6 Sol katika mazingira yale yale ya uendeshaji wa utafiti. Kwa kufuata mwongozo wa jumuiya ya Linux, tuliwasilisha matokeo 304 ya hatari kubwa sana kwa watunzaji pamoja na mapendekezo ya marekebisho, na tunaendelea kushughulikia marekebisho ya udhaifu mwingine.

• Kuonyesha udhaifu hatari sana wa RCE. Hivi karibuni tulijadili udhaifu hatari sana katika Brotli⁠(fungua katika dirisha jipya), maktaba ya kubana data inayotumiwa na Node.js na programu nyingine. Watafiti wetu wa usalama walitumia GPT‑6 Cyber pamoja na miundo mingine ya OpenAI kutengeneza na kuthibitisha mbinu za kutumia udhaifu, wakionyesha jinsi dosari hiyo inavyoweza kuwezesha utekelezaji wa msimbo kwa mbali katika programu zinazoitumia.

Kadiri uwezo wa miundo unavyoongezeka na inavyogundua udhaifu zaidi wa usalama, tunaona pia ongezeko la majaribio ya kuitumia kusababisha madhara. Majaribio haya yanajumuisha juhudi za wahalifu wa mtandao na makundi hasimu yanayotaka kunakili uwezo wa miundo yetu kwa kufunza miundo yao kwa matokeo yake. Kwa hivyo tumeunganisha uwezo mkubwa zaidi wa GPT‑6 Cyber na ulinzi thabiti zaidi ili kugundua na kukatiza matumizi mabaya, na kuhakikisha vitendo vya muundo vinazingatia nia na idhini ya mtumiaji.

Tuliongeza na kuimarisha ulinzi huu sambamba na uzinduzi wa GPT‑6 Cyber (angalia kadi ya mfumo⁠(fungua katika dirisha jipya) kwa taarifa kamili):

• Ufuatiliaji wa kutofuata maagizo katika kazi za mtandao. Tunafuatilia ikiwa vitendo vinalingana na idhini ya mtumiaji, huku tukitambua uundaji na ujaribu halali wa mbinu za kutumia udhaifu.

• Ufuatiliaji maalumu wa vitisho vinavyoibuka. Kwa mfano, wakati wa ufichuzi ulioratibiwa wa udhaifu hatari sana wa PHP, tulianzisha ufuatiliaji maalumu wa majaribio ya kutengeneza mbinu za kushambulia seva za PHP zinazotumika, huku tukiendelea kuwasaidia walinzi kurekebisha mifumo iliyoathiriwa.

• Uchakataji wa Usalama wa Faragha (PSP). Tunatumia ukaguzi wa kiotomatiki kuchunguza miamala inayohusiana ili kubaini matumizi mabaya. Uhifadhi wa kawaida unasalia kuwa chaguo-msingi. Kwa ujumla, wateja wa API wanaotumia hakuna kuhifadhi data⁠(fungua katika dirisha jipya) lazima watumie PSP⁠(fungua katika dirisha jipya), inayokagua rekodi zilizosimbwa kwa njia fiche na kuhifadhiwa kwenye hifadhi ya mteja kwa siku 30 bila kufichua madokeza na majibu kwa wafanyakazi wa OpenAI.

• Ulinzi dhidi ya taarifa za kuingia zilizoibwa. Kwa chaguo-msingi, tunahitaji orodha ya anwani za IP zinazoruhusiwa kufikia API ya Daybreak Red, ili maombi yatoke tu kwenye mitandao iliyoidhinishwa, isipokuwa katika hali chache. Pia tunafuatilia taarifa za kuingia ili kubaini ikiwa zimeingiliwa.

• Mazingira yaliyotengwa na usimamizi. Kama ilivyo kwa miundo ya awali, tunapendekeza kutumia mazingira yaliyotengwa⁠(fungua katika dirisha jipya), kukagua vitendo⁠(fungua katika dirisha jipya) na usimamizi wa binadamu katika michakato yenye hatari kubwa.

• Ulinzi dhidi ya usaidizi wa mtandao wenye hatari kubwa. Tunatumia ukaguzi mpya kuzuia shughuli zenye hatari kubwa zinazohusisha mifumo muhimu (tazama maelezo zaidi hapa chini).

Kulinda miundombinu muhimu kumekuwa jambo kuu katika kubuni hatua za usalama na masharti ya ufikiaji wa GPT‑6 Cyber, hasa kwa kuzingatia vituo vya kuzalisha umeme, mitambo ya kutibu maji, pamoja na teknolojia ya uendeshaji na mifumo ya udhibiti wa viwanda (OT/ICS) inayoiwezesha miundombinu hiyo kufanya kazi. Wakati huohuo, tunataka kuzipa timu zinazolinda mifumo hii ufikiaji wa modeli zetu zenye uwezo mkubwa zaidi, huku tukiimarisha hatua zetu za usalama ili kuzuia mashambulizi yasiyoidhinishwa.

Kwanza, ili kuwapa walinzi hawa zana zinazohitajika, mpango wetu wa ruzuku wa dola bilioni 1, Daybreak kwa Walinzi wa Mstari wa Mbele⁠, unapunguza gharama za ufikiaji kwa timu zenye rasilimali chache, kama vile mashirika ya serikali na watoa huduma muhimu. Pia tunaanzisha kundi jipya ndani ya Daybreak Red (Daybreak Red kwa Miundombinu Muhimu) kwa walinzi walioidhinishwa wa miundombinu muhimu. Linawapa ruhusa za kufanya majaribio yaliyoidhinishwa ya mifumo muhimu huku likidumisha ulinzi dhidi ya muundo kutofuata maagizo.

Pili, ili kuzuia matumizi mabaya ya majukwaa ya Daybreak Red na Blue, tumeboresha ulinzi dhidi ya usaidizi na ukuzaji wa uwezo unaoweza kuhatarisha vidhibiti vya viwanda au mifumo muhimu kwa usalama, kuingilia vifaa, au kusababisha majeraha makubwa, uharibifu mkubwa wa mali au kukatika kwa huduma kunakohatarisha maisha. Kielelezo kilicho hapa chini kinalinganisha viwango vya uwekaji lebo za ulinzi katika mipangilio minne ya ufikiaji, kabla na baada ya masasisho ya hivi karibuni tunayotoa sambamba na GPT‑6 Cyber.

Viwango vya juu vya kuzuia kwa hatua za ulinzi si bora kila wakati. Mbinu nyingi katika tathmini hii pia ni muhimu kwa kazi halali za usalama: kuelewa mifumo, kutafuta udhaifu na kuthibitisha kuwa marekebisho yanastahimili mashambulizi. Kwa hivyo, tunatathmini viwango hivi pamoja na usaidizi wa utafiti na marekebisho halali, badala ya kulenga 100%.

Ili kutathmini jinsi miundo yetu inavyoweza kusaidia kulinda miundombinu muhimu, tulishirikiana na Dragos, mtoa huduma wa kimataifa wa usalama wa mtandao kwa teknolojia pana ya uendeshaji (xOT). Dragos ilifanya tathmini kwa kutumia miundo ya Daybreak Red inayoruhusu kazi nyingi zaidi za mtandao katika mazingira ya maabara yaliyodhibitiwa. Tathmini zilihusisha maombi yaliyoanzia ugunduzi wa mitandao na kuorodhesha rasilimali, hadi upelelezi uliolengwa, utoaji wa data nyeti bila ruhusa na vitendo vya vifaa visivyoidhinishwa na vinavyoweza kuwa hatari.

Tulitumia maoni kutoka Dragos kuboresha ulinzi wetu, tukilenga kuzuia usaidizi hatari bila kuwekea vizuizi visivyohitajika majaribio yaliyoidhinishwa. Angalia ripoti yao ya mwisho⁠(fungua katika dirisha jipya) kwa maelezo ya tathmini. Pia tunapanua ushirikiano na watoa huduma wengine wa usalama unaotumia mbinu za mashambulizi na timu zinazounganisha ushambuliaji na ulinzi, katika majaribio ya kupenya mifumo na jaribio la kubaini udhaifu wa mfumo kwa AI. Tunashirikiana pia na kampuni za nishati, waendeshaji wengine wa miundombinu muhimu na maabara za kitaifa kutathmini ufanisi na ulinzi wa miundo yetu katika ulinzi wa viwanda. Pia tumeongeza uwekezaji wetu katika uchunguzi wa vitisho ili kugundua matumizi ya miundo yanayohusisha OT/ICS. Tutaendelea kuboresha ulinzi wetu kwa maoni ya washirika na jumuiya ya usalama, ikiwemo ripoti kupitia /feedback wakati ulinzi unapokosa kugundua shughuli hatari au unapokatiza kazi halali.

Kwa kuanzia, GPT‑6 Cyber inapatikana kupitia API na Codex kwa kundi teule la wateja walioidhinishwa wa Daybreak Red. Hivi karibuni tutapanua ufikiaji hatua kwa hatua kwa wateja wote wa Daybreak Red, na pia tunafanya GPT‑5.6 Cyber ipatikane kwa wateja wote wa Daybreak Red. Pia tunapanua ufikiaji wa awamu ya alpha ya Daybreak Blue kwa GPT‑6 Astra kwa mashirika zaidi na watafiti binafsi wa usalama; tujulishe⁠(fungua katika dirisha jipya) ikiwa una nia.

Watumiaji wapya na mashirika wanaweza kutuma ombi la kujiunga na Daybreak⁠ na kuanza kutumia ujuzi, bidhaa na washirika wetu wa usalama wa mtandao⁠.