A OpenAI apresentou o GPT-6 Cyber, um modelo criado para encontrar falhas de segurança em softwares, criar exploits funcionais e sugerir correções. Ele está disponível pela API e pelo Codex para um grupo seleto de clientes do Daybreak Red, e o acesso deve ser ampliado gradualmente a outros clientes do programa.
Os recursos do modelo podem ajudar equipes de segurança a encontrar e corrigir vulnerabilidades, mas também tornam importante controlar o que ele pode fazer. A OpenAI afirma ter treinado o GPT-6 Cyber para respeitar os limites estabelecidos, inclusive com o uso de um honeypot inspirado no incidente da Hugging Face. Segundo a empresa, sem instruções especiais de segurança, o modelo evitou ultrapassar esses limites em 99,93% dos testes, ante 94,49% no antecessor. Com as instruções de segurança ativadas, respeitou os limites em todos os testes.
Qual foi o desempenho do modelo?
No ExploitGym, teste que avalia se um modelo consegue explorar uma vulnerabilidade em um sistema remoto, o GPT-6 Cyber obteve 48,5%, segundo a OpenAI. O GPT-5.6 Cyber marcou 32,1%; o GPT-6 Astra, modelo padrão, ficou com 42,4%. Em outro teste, que busca falhas em aplicativos web sem acesso ao código-fonte, o GPT-6 Cyber teve uma taxa de acerto de 40,3%, ante 32,0% do GPT-6 Astra.
A OpenAI também afirma que o GPT-6 Cyber encontrou 81 vulnerabilidades graves e até então desconhecidas no Firefox. A Mozilla aceitou os relatos e já lançou correções. No kernel do Linux, o modelo reproduziu 1.724 vulnerabilidades e criou exploits funcionais para 948 delas. A OpenAI diz ter enviado aos responsáveis pela manutenção 304 descobertas críticas, acompanhadas de sugestões de correção. Esses números são da empresa; ainda não foram publicados testes independentes do GPT-6 Cyber.
Acesso continua limitado
A operação no Linux usou agentes automatizados de reconhecimento e análise para examinar cerca de 5.034 pontos relevantes para a segurança, aproximadamente 7% do código do kernel. O sistema reduziu a lista a 2.308 candidatos antes de confirmar as vulnerabilidades em máquinas virtuais isoladas. Segundo a OpenAI, a operação custou US$ 1.213.430 em computação, ou US$ 1.279 por exploit funcional. Esse valor é inferior à faixa histórica de US$ 20.000 a US$ 70.000 em recompensas por vulnerabilidades semelhantes, citada pela empresa, embora custo de pesquisa e recompensa sejam medidas diferentes.
A OpenAI recomenda usar o modelo em ambientes isolados, sob supervisão humana. A empresa afirma que as proteções incluem verificar se as ações correspondem às permissões do usuário e monitorar vulnerabilidades recém-divulgadas. Também está ampliando o acesso ao GPT-5.6 Cyber e ao GPT-6 Astra para mais organizações e pesquisadores.
Por que importa
Para responsáveis pela manutenção de softwares e equipes de segurança, as descobertas relatadas no Firefox e no Linux indicam que o GPT-6 Cyber pode ajudar a identificar falhas e sugerir correções. Mas o acesso é limitado, os números de desempenho são da OpenAI e ainda não há testes independentes publicados.
