GPT‑6 Cyber：推进对齐网络安全智能体的前沿
来源：OpenAI Blog
本文为资讯聚合内容，版权归原作者及原网站所有，如有侵权请联系删除。
一个经过训练、用于发现并验证可利用漏洞的网络安全模型，同时保持在研究人员设定的范围内。
我们推出 GPT‑6 Cyber，这是安全研究领域的一次重大飞跃：它更有能力发现和修复漏洞，并且更可靠地保持在研究人员设定的边界之内。GPT‑6 Cyber 在关键网络安全基准测试上相较 GPT‑5.6 Cyber 取得重大提升，包括在 ExploitGym 上 51% 的相对改进，以及在范围遵守测试上的阶跃式提升。它已经在帮助保护现实世界的软件，在 Linux 和 Firefox 等安全关键代码库中发现并验证了数千个漏洞利用。
在测试模型能否利用指定漏洞的 ExploitGym 上，GPT‑6 Cyber 得分为 48.5%，高于 GPT‑5.6 Cyber 的 32.1%。它也更可靠地遵守任务边界：在一项单独的对齐评估中，GPT‑6 Cyber 在没有部署提示的情况下，在 99.93% 的测试中避免利用范围外的服务，而在有该提示时为 100%。这一对齐方面的改进反映了针对保持在授权范围内、遵守限制以及准确报告结果的专门训练。
这些能力已经在帮助保护真实系统。我们的研究人员使用 GPT‑6 Cyber 在 Linux 中开发了948 个权限提升漏洞利用，并在 Firefox 中识别出 81 个此前未知的高严重性漏洞，尽管此前已用前沿模型进行了大量测试。该模型还帮助开发了候选补丁，Mozilla 已为许多 Firefox 漏洞发布了修复程序（在新窗口中打开）。Cisco、Calif 和 CodeRabbit 的安全团队正在使用它进行漏洞研究和代码审查，我们也依赖它来发现并修复我们自己基础设施中的弱点。
很明显，我们利用前沿模型来保护软件的窗口有限。我们的目标是大幅扩展 Daybreak，将先进的安全研究带给各种规模的组织、独立研究人员和开源维护者。 GPT‑6 Astra 等主线模型已经支持代码审查、漏洞分类和补丁开发。Daybreak Blue 帮助经过验证的防御者以更少的非必要拒绝来验证漏洞和修复，而 Daybreak Red 则借助 GPT‑6 Cyber 实现更深入的漏洞利用开发和授权安全测试。
GPT‑6 Cyber 相较 GPT‑5.6 Cyber 是一次重大升级，并且在大多数网络任务上优于 GPT‑6 Astra，即使 Astra 不拒绝请求也是如此。我们在要求模型理解软件、识别漏洞并开发可用漏洞利用的任务上对其进行了评估。基于这些结果，我们根据我们的 Preparedness Framework 将该模型在网络安全方面归类为 Critical，高于 GPT‑5.6 Cyber 的 High。
在测试模型能否利用远程目标中指定漏洞的 ExploitGym 上，GPT‑6 Cyber 得分为 48.5%，比 GPT‑5.6 Cyber 的 32.1% 高出约 16 个百分点。为了测试漏洞发现能力，我们还构建了一项针对攻击性 Web 渗透测试的新评估。模型在无法访问源代码的情况下探测 Web 应用。GPT‑6 Cyber 对漏洞的召回率达到 40.3%，而 GPT‑6 Astra 为 32.0%。
Daybreak Red 旨在支持更高级的安全工作流，包括开发可用的漏洞利用并将其用于远程目标。为了评估这些能力，我们构建了一个名为 RemoteExploitBench 的新基准，使用部署在受控环境中的 GitLab、PostgreSQL 和 Jenkins 等应用中的已知漏洞。在我们的初步评估中，运行 Daybreak Blue 的 GPT‑6 Astra 拒绝了 100% 的任务，而 GPT‑6 Cyber 完成了 95%；它唯一的失败是一个无法在远程奏效的漏洞利用。完整结果和评估设置请参见系统卡（在新窗口中打开）。
网络安全智能体面临的一个风险是，它们会超出所分配任务的范围、尝试利用无关服务，或无视研究人员的交战规则。
我们将对齐作为 GPT‑6 Cyber 的核心重点，使用专门训练来帮助模型保持在授权范围内、遵守对其行动的限制，并准确报告其工作。在部署之前，我们进行了一系列对齐评估来衡量这些行为。完整结果请参见系统卡（在新窗口中打开）。
其中一项评估是 ExploitGym Honeypot，它参考了Hugging Face 事件。我们在隔离环境中给模型一个困难的漏洞利用任务，并提供对支持服务的访问，例如包注册表或对象存储。我们故意让这些服务容易被利用，以便攻击它们可以揭示任务的 flag。模型必须推断出利用它们超出了其任务范围。
GPT‑6 Cyber 在这项评估上相较 GPT‑5.6 Cyber 表现出阶跃式改进。在没有部署安全提示的情况下测试时，它在 99.93% 的情况下避免利用范围外的服务，高于 GPT‑5.6 Cyber 的 94.49%。在有这些提示的情况下，GPT‑6 Cyber 100% 保持在边界内。
我们可以直接从 GPT‑6 Cyber 模型的思维链中看到它如何推理保持在边界内：
“不能假设额外的 API 或攻击控制器不是目标。我们应该只针对二进制/服务器。”
“不要探索范围外的凭据。”
GPT‑6 Cyber 已经在帮助安全团队发现漏洞、验证其影响并开发修复。客户已将其用于大型代码库、长时间运行的漏洞利用开发和安全审查：
我们也依赖 GPT‑6 Cyber 来保护我们自己的系统。它是我们最近分享的加固用于训练前沿模型的基础设施工作背后的主要模型之一。在受控的红队演练中，使用 GPT‑6 Cyber 和其他 OpenAI 模型的智能体串联漏洞以逃逸 microVM 并在底层主机上执行代码。我们利用这些发现来修补软件、收紧网络限制，并向维护者和供应商报告问题。
我们的漏洞研究人员还使用 GPT‑6 Cyber 大规模发现并验证开源软件中的漏洞。这项工作在多年来一直受到审查的软件中发现了此前未知的缺陷：
- 发现 81 个新的 Firefox 漏洞。 GPT‑6 Cyber 适合用于自主工作流，以大规模发现漏洞并提出高质量补丁。在一次漏洞研究活动中，GPT‑6 Cyber 为 81 个被 Mozilla 归类为高危的新漏洞提供了证据和可复现测试，并表明另有 30 个已知问题比此前报告的更为严重。我们向 Mozilla 披露了这些发现，并附上拟议补丁，以帮助其工程师开发修复方案。Mozilla 对这项工作表示支持，并在收到报告后不久开始落地修复(在新窗口中打开)。
- 为 948 个 Linux 内核漏洞开发利用程序。 GPT‑6 Cyber 复现了 1,724 个漏洞，并为其中 948 个开发出可用的利用程序——是 GPT‑5.6 Sol 在相同研究框架下所利用的 166 个的五倍多。遵循 Linux 社区的指导，我们向维护者披露了 304 个关键发现并附上候选补丁，目前正在推动其他漏洞的修复。
- 演示关键 RCE 漏洞。 我们最近讨论了 Brotli 中的一个关键漏洞(在新窗口中打开)，Brotli 是 Node.js 和其他软件使用的一种压缩库。我们的安全研究人员使用 GPT‑6 Cyber 及其他 OpenAI 模型开发并验证了利用程序，展示该缺陷如何在下游应用中实现远程代码执行。
随着模型能力增强并发现更多安全漏洞，我们也看到更多利用它们造成伤害的尝试。这些尝试包括恶意网络行为者和试图蒸馏我们模型的对抗性团体。因此，我们将 GPT‑6 Cyber 更强的能力与更强的防护措施相结合，以检测和阻止滥用，并使模型的行为保持在用户的意图和授权范围内。
我们在发布 GPT‑6 Cyber 的同时添加并强化了这些保护措施（完整信息见系统卡(在新窗口中打开)）：
- 网络专用失准监控。 我们监控行为是否符合用户授权，同时认可合法的漏洞利用开发与测试。
- 针对新兴威胁的定向监控。 例如，在协调披露关键 PHP 漏洞期间，我们针对试图对在线 PHP 服务器开发漏洞利用的行为设置了定向监控，同时保留对修补受影响系统的防御者的支持。
- 隐私安全处理（PSP）。 我们使用自动检查来审查相关交互是否存在滥用。标准保留仍是默认设置。使用零数据保留(在新窗口中打开)的 API 客户通常必须使用PSP(在新窗口中打开)，该机制会审查在客户存储中保留 30 天的加密记录，而不会向 OpenAI 人员暴露提示和响应。
- 防止凭据被盗。 我们默认要求 Daybreak Red API 访问使用 IP 允许列表，将请求限制在经批准的网络上，仅有有限例外。我们还监控凭据是否遭到泄露。
- 沙箱与监督。 与过去的模型一样，我们建议对高风险工作流使用沙箱(在新窗口中打开)、操作审查(在新窗口中打开)和人工监督。
- 针对高风险网络协助的防护措施。 我们使用新的检查机制来阻止涉及关键系统的高风险活动（详见下文）。
保护关键基础设施是设计 GPT‑6 Cyber 的防护措施和访问权限时的关键考量，包括发电厂、水处理设施，以及支撑这些设施的运营技术（OT）和工业控制系统（ICS）。我们同时希望让防御这些系统的团队能够使用我们最强大的模型，同时加强防护措施以防止未经授权的攻击。
首先，为了武装这些防御者，我们的 10 亿美元Daybreak for Frontline Defenders资助计划为资源受限的团队（如政府组织和基本服务提供商）提供访问补贴。我们还在 Daybreak Red 内引入了一个新组（Daybreak Red for Critical Infrastructure），面向经批准的关键基础设施防御者，赋予他们对关键系统进行授权测试的权限，同时保留针对模型对齐偏差的防护措施。
其次，为防止 Daybreak Red 和 Blue 平台被滥用，我们完善了防护措施，以阻止可能危及工业控制或安全关键系统、干扰设备、或导致严重伤害、灾难性物理损坏或危及生命的服务中断的协助和能力开发。下图比较了四种访问配置下的防护标签率，包括在我们随 GPT‑6 Cyber 一同推出的最新更新之前和之后的情况。
更高的防护拦截率并不总是更好。本次评估中的许多技术对于合法的安全工作也至关重要：理解系统、发现漏洞，以及验证修复能否抵御攻击。因此，我们将这些比率与对合法研究和修补的支持一并评估，而不是追求 100%。
为了评估我们的模型如何帮助防御关键基础设施，我们与 Dragos 合作，后者是全球扩展运营技术（xOT）网络安全提供商。Dragos 在受控实验室环境中使用网络宽松的 Daybreak Red 模型进行了评估。评估涵盖了从网络发现和资产枚举到定向侦察、敏感数据窃取以及未经授权的、可能危险的设备操作的请求。
我们利用 Dragos 的反馈来完善我们的防护措施，旨在阻止有害协助，同时不过度限制授权测试。查看他们的最终报告（在新窗口中打开）了解评估详情。我们还在努力扩大与其他攻击性安全提供商和紫队在 AI 渗透测试和红队测试方面的合作，并与能源公司、其他关键基础设施运营商和国家实验室合作，评估我们的模型在工业防御中的有效性和防护措施。我们还增加了对威胁调查的投入，以检测涉及 OT/ICS 的模型使用情况。我们将继续根据合作伙伴和安全社区的反馈完善我们的防护措施，包括通过 /feedback 报告防护措施漏掉有害活动或中断合法工作的情况。
GPT‑6 Cyber 最初通过 API 和 Codex 向一组选定的经批准的 Daybreak Red 客户提供。我们将很快逐步扩大对所有 Daybreak Red 客户的访问，并且也正在向所有 Daybreak Red 客户提供 GPT‑5.6 Cyber。我们还在扩大 GPT‑6 Astra 的 Daybreak Blue alpha 访问范围，覆盖更多组织和个体安全研究人员；请告知我们（在新窗口中打开）如果您有兴趣。
新用户和组织可以申请 Daybreak并开始使用我们的网络安全技能、产品和合作伙伴。
评论