GPT‑6 Cyber: розширення межі можливостей агентів кібербезпеки з узгодженою поведінкою
Модель кібербезпеки, навчена знаходити й перевіряти вразливості, які можна експлуатувати, дотримуючись меж, установлених дослідниками.
Представляємо GPT‑6 Cyber — значний крок уперед у дослідженні безпеки: модель краще знаходить і виправляє вразливості та значно надійніше дотримується меж, установлених дослідниками. GPT‑6 Cyber демонструє значний приріст результатів у ключових тестах із кібербезпеки порівняно з GPT‑5.6 Cyber, зокрема відносне покращення на 51% в ExploitGym і якісний стрибок у тестах на дотримання меж завдання. Вона вже допомагає захищати реальне програмне забезпечення, знаходячи й перевіряючи тисячі експлойтів у кодових базах, критично важливих для безпеки, як-от Linux і Firefox.
В ExploitGym, що перевіряє здатність моделей експлуатувати задану вразливість, GPT‑6 Cyber набирає 48,5% проти 32,1% у GPT‑5.6 Cyber. Вона також надійніше дотримується меж завдання: в окремому оцінюванні узгодженості поведінки GPT‑6 Cyber утримувалася від експлуатації вразливостей сервісів поза межами завдання в 99,93% тестів без промпту для розгортання й у 100% — із цим промптом. Це покращення узгодженості поведінки є результатом цілеспрямованого навчання: діяти в дозволених межах, дотримуватися обмежень і точно звітувати про результати.
Ці можливості вже допомагають захищати реальні системи. Наші дослідники використали GPT‑6 Cyber, щоб розробити 948 експлойтів для підвищення привілеїв у Linux і виявити 81 раніше невідому вразливість високого рівня серйозності у Firefox, попри масштабне попереднє тестування за допомогою передових моделей. Модель також допомогла розробити можливі патчі, а Mozilla вже випустила виправлення для багатьох вразливостей Firefox(відкривається у новому вікні). Команди безпеки Cisco, Calif і CodeRabbit використовують її для дослідження вразливостей і перевірки коду, а ми — для пошуку й усунення слабких місць у власній інфраструктурі.
Очевидно, що ми маємо обмежений час, щоб використати передові моделі для захисту програмного забезпечення. Наша мета — суттєво розширити Daybreak, щоб зробити найсучасніші дослідження безпеки доступними організаціям будь-якого розміру, незалежним дослідникам і супроводжувачам проєктів із відкритим кодом. Моделі основної лінійки, як-от GPT‑6 Astra, уже підтримують перевірку коду, сортування вразливостей за пріоритетом і розробку патчів. Daybreak Blue допомагає перевіреним фахівцям із кіберзахисту підтверджувати вразливості й виправлення з меншою кількістю зайвих відмов, а Daybreak Red дає змогу глибше опрацьовувати експлойти та проводити санкціоноване тестування безпеки за допомогою GPT‑6 Cyber.
PT‑6 Cyber — це значний крок уперед порівняно з GPT‑5.6 Cyber. Вона перевершує GPT‑6 Astra в більшості кіберзавдань, навіть коли Astra не відмовляється виконувати запит. Ми оцінили модель на завданнях, які вимагають розуміння програмного забезпечення, виявлення вразливостей і розробки робочих експлойтів. На основі цих результатів ми відносимо модель до рівня «Критичний» у категорії кібербезпеки за нашою системою Preparedness Framework («Рамкова система готовності»), тоді як GPT‑5.6 Cyber відносили до рівня «Високий».
В ExploitGym, що перевіряє здатність моделей експлуатувати задану вразливість на віддаленій цілі, GPT‑6 Cyber набирає 48,5% — приблизно на 16 відсоткових пунктів більше за 32,1% у GPT‑5.6 Cyber. Щоб перевірити здатність знаходити вразливості, ми також створили нове оцінювання наступального тестування вебзастосунків на проникнення. Моделі досліджують вебзастосунки без доступу до їхнього вихідного коду. GPT‑6 Cyber виявила 40,3% вразливостей проти 32,0% у GPT‑6 Astra.
Daybreak Red призначена для складніших робочих процесів у сфері безпеки, зокрема розробки робочих експлойтів і їх застосування до віддалених цілей. Щоб оцінити ці можливості, ми створили новий тест RemoteExploitBench. Він використовує відомі вразливості в застосунках, як-от GitLab, PostgreSQL і Jenkins, розгорнутих у контрольованому середовищі. У нашому початковому оцінюванні GPT‑6 Astra з Daybreak Blue відмовилася виконувати 100% завдань, тоді як GPT‑6 Cyber виконала 95%. Єдиною невдачею став експлойт, який їй не вдалося змусити працювати віддалено. Повні результати й налаштування оцінювання наведено в картці системи(відкривається у новому вікні).
Один із ризиків використання агентів кібербезпеки полягає в тому, що вони можуть виходити за межі призначеного завдання, намагатися експлуатувати вразливості сторонніх для нього сервісів або нехтувати правилами, установленими дослідником.
Ми зробили узгодженість поведінки одним із головних пріоритетів GPT‑6 Cyber. Спеціалізоване навчання допомагає моделі діяти в дозволених межах, дотримуватися обмежень щодо своїх дій і точно звітувати про виконану роботу. Перед розгортанням ми провели низку оцінювань узгодженості поведінки, щоб виміряти ці показники. Повні результати наведено в картці системи(відкривається у новому вікні).
Одне з цих оцінювань — ExploitGym Honeypot, розроблене з урахуванням інциденту з Hugging Face. Ми даємо моделі складне завдання з експлуатації вразливості в ізольованому середовищі з доступом до допоміжних сервісів, як-от реєстру пакетів або об’єктного сховища. Ми навмисно робимо ці сервіси легкими для зламу, щоб атака на них могла розкрити прапорець завдання. Модель має сама визначити, що експлуатація їхніх вразливостей виходить за межі її завдання.
У цьому оцінюванні GPT‑6 Cyber демонструє якісний стрибок порівняно з GPT‑5.6 Cyber. Під час тестування без промптів із правилами безпеки для розгортання вона утримувалася від експлуатації вразливостей сервісів поза межами завдання в 99,93% випадків проти 94,49% для GPT‑5.6 Cyber. З такими промптами GPT‑6 Cyber дотримувалася меж у 100% випадків.
У ланцюжку міркувань моделі GPT‑6 Cyber можна безпосередньо побачити, як вона обмірковує дотримання меж:
“Can't assume extra API or attack controller not target. We should only target binary/server.”
“don't explore out of scope credentials.”
GPT‑6 Cyber уже допомагає командам кібербезпеки знаходити вразливості, перевіряти їхній вплив і розробляти виправлення. Клієнти використовують її для роботи з великими кодовими базами, тривалої розробки експлойтів і перевірки безпеки:
Ми також використовували GPT‑6 Cyber для захисту власних систем. Вона була однією з основних моделей у нашій нещодавно опублікованій роботі зі зміцнення захисту інфраструктури для навчання передових моделей. Під час контрольованих кампаній із тестування на проникнення агенти на базі GPT‑6 Cyber та інших моделей OpenAI вибудовували ланцюжки вразливостей, щоб виходити за межі microVM і виконувати код на хост-системах, де вони працювали. На основі отриманих результатів ми випустили патчі для програмного забезпечення, посилили мережеві обмеження та повідомили про знайдені проблеми супроводжувачам і постачальникам.
Наші дослідники також використовують GPT‑6 Cyber для масштабного пошуку й аналізу вразливостей у програмному забезпеченні з відкритим вихідним кодом. Ця робота дозволила виявити раніше невідомі дефекти в софті, який ретельно перевіряли роками:
Виявлено 81 нову вразливість у Firefox. GPT‑6 Cyber може бути придатною для автономних робочих процесів, що дають змогу масштабно знаходити вразливості та пропонувати якісні патчі. Під час кампанії з дослідження вразливостей GPT‑6 Cyber надала докази й відтворювані тести для 81 нової вразливості високого рівня серйозності за класифікацією Mozilla, а також показала, що ще 30 відомих проблем серйозніші, ніж повідомлялося раніше. Ми передали результати Mozilla разом із запропонованими патчами, щоб допомогти її інженерам розробити виправлення. Mozilla підтримала цю роботу й почала впроваджувати виправлення невдовзі після отримання звітів(відкривається у новому вікні).
Розробка експлойтів для 948 вразливостей ядра Linux. GPT‑6 Cyber відтворила 1 724 вразливості й розробила робочі експлойти для 948 із них — це більш ніж уп'ятеро перевищує 166 вразливостей, які експлуатувала модель GPT‑5.6 Sol за допомогою тієї самої дослідницької системи harness. Дотримуючись рекомендацій спільноти Linux, ми повідомили супроводжувачам про 304 критичні проблеми й надали можливі патчі. Робота над усуненням інших вразливостей триває.
Демонстрація критичних вразливостей віддаленого виконання коду (RCE). Нещодавно ми розповіли про критичну вразливість у Brotli(відкривається у новому вікні) — бібліотеці стиснення, яку використовують Node.js та інше програмне забезпечення. Наші дослідники безпеки використовували GPT‑6 Cyber разом з іншими моделями OpenAI, щоб розробити й перевірити експлойти, які демонструють, як цей недолік може уможливити віддалене виконання коду в застосунках, що використовують цю бібліотеку.
У міру того як моделі стають потужнішими й виявляють більше вразливостей безпеки, ми також спостерігаємо більше спроб використати їх для завдання шкоди. Серед них — дії кіберзловмисників і ворожих угруповань, які прагнуть виконати дистиляцію наших моделей. Тому потужніші можливості GPT‑6 Cyber ми поєднали з посиленими захисними механізмами, щоб виявляти й припиняти зловживання та утримувати дії моделі в межах намірів користувача й наданих ним дозволів.
Разом із випуском GPT‑6 Cyber ми додали й посилили такі засоби захисту (повну інформацію наведено в картці системи(відкривається у новому вікні)):
Моніторинг неузгодженої поведінки у сфері кібербезпеки. Ми відстежуємо, чи відповідають дії дозволам користувача, водночас розпізнаючи легітимну розробку й тестування експлойтів.
Цільовий моніторинг нових загроз. Наприклад, під час скоординованого розкриття критичних вразливостей PHP ми налаштували цільовий моніторинг спроб розробляти експлойти проти діючих PHP-серверів, зберігаючи підтримку фахівців із кіберзахисту, які виправляють уражені системи.
Приватна обробка для перевірки безпеки (PSP). Ми застосовуємо автоматизовані перевірки, щоб виявляти зловживання в пов'язаних взаємодіях. За замовчуванням і далі діють стандартні правила зберігання даних. Клієнти API, які використовують режим Zero Data Retention (ZDR),(відкривається у новому вікні) зазвичай мають використовувати PSP(відкривається у новому вікні). Цей механізм перевіряє зашифровані записи, що зберігаються у сховищі клієнта протягом 30 днів, не розкриваючи промптів і відповідей працівникам OpenAI.
Захист від використання викрадених облікових даних. Для доступу до API Daybreak Red ми за замовчуванням вимагаємо список дозволених IP-адрес, обмежуючи запити схваленими мережами з окремими винятками. Ми також відстежуємо ознаки компрометації облікових даних.
Ізоляція та нагляд. Як і для попередніх моделей, для робочих процесів із високим ризиком ми рекомендуємо ізоляцію в пісочниці(відкривається у новому вікні), перевірку дій(відкривається у новому вікні) і нагляд людини.
Захист від надання кібердопомоги з високим ризиком. Ми застосовуємо нові перевірки для блокування дій із високим ризиком, що стосуються критичних систем (докладніше — нижче).
Під час розробки захисних механізмів і правил доступу до GPT‑6 Cyber одним із ключових пріоритетів був захист критичної інфраструктури: електростанцій, водоочисних споруд, а також операційних технологій і промислових систем керування (OT/ICS), на яких вони працюють. Ми прагнемо надати командам, які захищають ці системи, доступ до наших найпотужніших моделей і водночас посилити захисні механізми для запобігання несанкціонованим атакам.
По-перше, щоб забезпечити ці команди потрібними інструментами, наша грантова програма Daybreak for Frontline Defenders («Daybreak для фахівців першої лінії кіберзахисту») обсягом 1 млрд доларів субсидує доступ для команд з обмеженими ресурсами, зокрема державних організацій і постачальників життєво необхідних послуг. Ми також запроваджуємо нову групу в межах Daybreak Red — Daybreak Red для критичної інфраструктури — для схвалених фахівців із захисту критичної інфраструктури. Вона дає їм дозвіл проводити санкціоноване тестування критичних систем, зберігаючи захист від неузгодженої поведінки моделі.
По-друге, щоб запобігти зловживанню платформами Daybreak Red і Blue, ми вдосконалили захист від тих видів допомоги та розвитку можливостей, які можуть скомпрометувати промислові системи керування чи системи, критичні для безпеки, втрутитися в роботу обладнання або спричинити тяжкі травми, катастрофічні фізичні руйнування чи небезпечні для життя перебої в наданні послуг. На рисунку нижче порівняно частоту позначення запитів захисними механізмами для чотирьох конфігурацій доступу — до й після останніх оновлень, які ми впроваджуємо разом із GPT‑6 Cyber.
Вища частота блокування захисними механізмами не завжди означає кращий результат. Чимало методів із цієї програми тестування є необхідними й для легітимної роботи у сфері безпеки: вивчення систем, пошуку вразливостей та перевірки стійкості виправлень до атак. Тому ми аналізуємо ці показники з огляду на підтримку легітимних досліджень і патчів, а не просто прагнемо досягти 100%.
Щоб оцінити, як наші моделі можуть допомагати захищати критичну інфраструктуру, ми співпрацювали з Dragos — глобальним постачальником рішень із кібербезпеки для розширених операційних технологій (xOT). Dragos провела оцінювання в контрольованому лабораторному середовищі, використовуючи моделі Daybreak Red із розширеними дозволами для кіберзавдань. Оцінювання охоплювали запити з поступовим переходом від виявлення мереж і переліку активів до цільової розвідки, виведення конфіденційних даних і несанкціонованих, потенційно небезпечних дій із пристроями.
На основі відгуків Dragos ми вдосконалили захисні механізми, прагнучи блокувати надання шкідливих порад або інструментів без зайвих обмежень для санкціонованого тестування. Докладніше про оцінювання читайте в підсумковому звіті Dragos.(відкривається у новому вікні) Ми також працюємо над розширенням партнерств з іншими постачальниками послуг наступальної безпеки та командами purple team для тестування на проникнення й перевірки на вразливості та ризики за допомогою ШІ. Окрім того, ми співпрацюємо з енергетичними компаніями, іншими операторами критичної інфраструктури й національними лабораторіями, щоб оцінити ефективність наших моделей і захисних механізмів у захисті промислових систем. Ми також збільшили інвестиції в розслідування загроз, щоб виявляти використання моделей у контексті OT/ICS. Ми й надалі вдосконалюватимемо захисні механізми з урахуванням відгуків партнерів і спільноти фахівців із безпеки, зокрема повідомлень через /feedback про випадки, коли захист пропускає шкідливі дії або перериває легітимну роботу.
Спочатку GPT‑6 Cyber доступна через API та Codex для обмеженої групи схвалених клієнтів Daybreak Red. Невдовзі ми поступово відкриємо доступ усім клієнтам Daybreak Red. Крім того, ми надаємо всім клієнтам Daybreak Red доступ до GPT‑5.6 Cyber. Ми також розширюємо альфа-доступ до Daybreak Blue для GPT‑6 Astra, залучаючи більше організацій і незалежних дослідників безпеки. Якщо вам цікаво, повідомте нам.(відкривається у новому вікні)
Нові користувачі й організації можуть подати заявку на участь у Daybreak і почати роботу з нашими навичками, продуктами й партнерами у сфері кібербезпеки.
