GPT-6 Cyber znajduje luki, ale kto je załata? Fakty i liczby

OpenAI wprowadza GPT-6 Cyber, model do badań nad cyberbezpieczeństwem, który według firmy wykrywa podatności, przygotowuje exploity i pomaga w tworzeniu poprawek. Nie kupisz go jak ChatGPT: dostęp mają zweryfikowani badacze w programie Daybreak Red. Większość liczb w ogłoszeniu to deklaracje OpenAI, ale jedno wynika z nich dość jasno: znajdowanie dziur jest dziś łatwiejsze niż ich zamykanie.

Co potrafi GPT-6 Cyber i kto może go uruchomić

Exploit to program, który wykorzystuje lukę w oprogramowaniu. GPT-6 Cyber ma takie luki znajdować, pisać do nich exploity i podpowiadać poprawki. OpenAI użyło go już na jądrze Linuksa i przeglądarce Firefox, a teraz chce rozszerzyć dostęp do swoich narzędzi dla specjalistów od ochrony systemów. OpenAI nie podało terminu tego rozszerzenia.

Na razie dostęp wygląda tak:

• Daybreak Red: tu działa GPT-6 Cyber. Program jest dla zweryfikowanych badaczy prowadzących autoryzowane testy bezpieczeństwa i daje zaawansowane funkcje, w tym tworzenie exploitów i testowanie zdalnych systemów.
• Daybreak Blue: ma wspierać obrońców w weryfikacji podatności i sprawdzaniu poprawek.
• Użytkownicy: z modelu korzystają już zespoły bezpieczeństwa w Cisco i CodeRabbit.

Liczby z kuchni producenta: ExploitGym i 99,93 proc.

Tu firma sama mierzy własny model. Według OpenAI w benchmarku ExploitGym GPT-6 Cyber osiągnął 48,5 proc., wobec 32,1 proc. dla poprzedniej wersji, GPT-5.6 Cyber. To skok o ponad 16 punktów procentowych, ale wynik pochodzi od producenta.

Druga deklaracja dotyczy posłuszeństwa. W testach OpenAI model nie podejmował działań poza wyznaczonym zakresem w 99,93 proc. przypadków, a po dodatkowym instruktażu w 100 proc. Dla narzędzia, które pisze exploity, to ważniejsze od samego wyniku w rankingu. Na razie jednak to wyniki z testów OpenAI. Więcej o tej liczbie znajdziesz w tekście o deklarowanych ucieczkach GPT-6 Cyber, a podobny mechanizm widać w teście własnym Terminal X: wynik producenta to punkt wyjścia, nie wyrok.

Co model faktycznie znalazł

OpenAI wykorzystało model do opracowania 948 exploitów typu privilege escalation dla Linuksa. To exploity, które pozwalają zdobyć w systemie wyższe uprawnienia, niż powinno się mieć. W Firefoksie model wykrył 81 wcześniej nieznanych luk o wysokim stopniu zagrożenia i pomógł przygotować propozycje poprawek. Mozilla udostępniła już aktualizacje, ale usuwają one tylko część wykrytych podatności.

Koszt: 1,2 mln dolarów za Linuksa, 5 tys. za kilka luk

Skuteczność ma cenę. Sama analiza Linuksa kosztowała OpenAI 1,2 mln dolarów. Eric Wallace z zespołu technicznego firmy poinformował, że OpenAI przeznacza znaczną część swoich mocy obliczeniowych na wykrywanie i usuwanie luk w projektach open source.

Po drugiej stronie skali jest Max Justicz, dyrektor ds. technicznych i współzałożyciel startupu Charge Robotics. Według TechCrunch wydał około 5 tys. dolarów na subskrypcje i tokeny, żeby znaleźć zaledwie kilka podatności. Zwrócił też uwagę, że OpenAI miało ograniczyć możliwości Daybreak Blue, co zmniejszyło jego przydatność w wyszukiwaniu luk.

Wąskie gardło to łatanie, nie szukanie

Detektor, który wskazuje setki problemów, nie zbuduje remizy. Specjaliści od bezpieczeństwa muszą analizować coraz więcej zgłoszeń i wdrażać poprawki, często przy ograniczonych zasobach. Automatyzacja badań pomaga wykrywać podatności, ale nie rozwiązuje problemu ograniczonych zasobów potrzebnych do ich usuwania. Mozilla, która załatała dotąd tylko część luk, jest tego przykładem.

Spór dotyczy też dostępu. Ograniczenia utrudniają cyberprzestępcom korzystanie z narzędzi. Eksperci obawiają się jednak, że ograniczony dostęp do najbardziej zaawansowanych modeli osłabi obrońców, podczas gdy atakujący mogą używać otwartych modeli bez zabezpieczeń. OpenAI zapowiedziało inicjatywę o wartości 1 mld dolarów dla specjalistów chroniących infrastrukturę krytyczną, w tym sieci energetyczne i wodociągowe. Przedstawiciele firmy przyznają, że zostało niewiele czasu na przygotowanie infrastruktury do nowej rzeczywistości. Inny przykład AI wchodzącego w kontrolę jakości oprogramowania znajdziesz w tekście o Greptile i testowaniu aplikacji przez GPT-6 Astra.

Co z tego masz Ty, skoro nie jesteś badaczem w Daybreak Red? Ten model nie będzie Twoim narzędziem, ale jego wyniki trafią do Ciebie przez aktualizacje programów, z których korzystasz. Otwórz dziś swoją przeglądarkę (Firefoksa, jeśli go używasz, ale też każdą inną) i sprawdź w sekcji informacji o przeglądarce, czy ma najnowszą aktualizację. To zajmie dwie minuty, a poprawki zadziałają dopiero wtedy, gdy ktoś je zainstaluje.