Назад

2026/11/12

GPT-6 Cyber: 948 эксплойтов для ядра Linux, 81 уязвимость в Firefox и что это значит для защиты

OpenAI утверждает, что GPT-6 Cyber создал 948 эксплойтов повышения привилегий для ядра Linux. Что доказывают цифры, что нет и что делать командам Linux.

5 ноября 2026 года OpenAI выпустила GPT-6 Cyber — версию модели GPT-6 Astra, обученную для задач информационной безопасности: поиска уязвимостей, написания эксплойтов и тестирования веб-приложений. По словам OpenAI, её исследователи с помощью модели создали 948 работающих эксплойтов повышения привилегий для ядра Linux и нашли в Firefox 81 ранее неизвестную уязвимость высокой степени опасности.

Модель продаётся только как инструмент для санкционированного тестирования безопасности и только одобренным клиентам. Но для команд, эксплуатирующих Linux в продакшене, важнее другое: системы ИИ уже находят и эксплуатируют реальные ошибки в программном обеспечении, от которого эти команды зависят. В этой статье мы разбираем, что опубликовала OpenAI, что доказывают цифры и чего они не доказывают, и что с этим делать командам Linux.

Главное

  • OpenAI присваивает GPT-6 Cyber уровень «Critical» (критический) в области кибербезопасности по своей методике Preparedness Framework — такой же, как у GPT-6 Astra, и на одну ступень выше, чем у GPT-5.6 Cyber.
  • Число 948 — это количество работающих эксплойтов локального повышения привилегий, а не 948 новых ошибок. По данным прессы, 588 из лежащих в их основе уязвимостей ранее были неизвестны.
  • В собственном тесте OpenAI на соблюдение границ модель атаковала систему вне разрешённого периметра в 0.07% запусков без инструкций по безопасности и ни разу — с ними.
  • Для доступа нужны одобрение по программе Daybreak Red, единый вход (SSO), многофакторная аутентификация и — по умолчанию — список разрешённых IP-адресов для API.
  • Все цифры получены от OpenAI. Ни одна из них не подтверждена независимо.

Что такое GPT-6 Cyber и почему OpenAI ограничила к нему доступ

Согласно системной карте OpenAI, GPT-6 Cyber — это GPT-6 Astra с дополнительным обучением на таких задачах, как воспроизведение сбоев, разработка работающих эксплойтов и поиск уязвимостей в кодовых базах. Это же обучение должно заставить модель реже отказывать, когда запрос в области безопасности санкционирован.

OpenAI относит модель к уровню Critical в области кибербезопасности — высшему в своей Preparedness Framework. У GPT-6 Astra такой уровень уже есть; предыдущая модель для задач безопасности, GPT-5.6 Cyber, получила уровень High. Именно этот уровень и объясняет ограничения. Системная карта перечисляет их:

  • Пользоваться моделью через API и Codex могут только пользователи и организации, одобренные в программе Daybreak Red. На старте это избранная группа; OpenAI обещает в ближайшие недели открыть доступ всем клиентам Daybreak Red.
  • Организации обязаны использовать единый вход, многофакторную аутентификацию, управляемые устройства и доступ по принципу минимальных привилегий.
  • Для доступа к API по умолчанию требуется список разрешённых IP-адресов, чтобы украденными учётными данными было сложнее воспользоваться.
  • Отдельным исследователям необходимы проверка личности и физический ключ безопасности FIDO2.

Согласно данным со страниц API OpenAI, цена составляет $20 за миллион входных токенов и $100 за миллион выходных.

Громкие цифры и что они доказывают

Два результата, попавшие в новости, взяты из анонса OpenAI, а не из внешнего тестирования.

Ядро Linux. По данным BleepingComputer, модель отметила в ядре 2,308 потенциальных уязвимостей, воспроизвела 1,724 из них и создала эксплойты локального повышения привилегий для 948. Такой эксплойт позволяет пользователю, у которого уже есть непривилегированная учётная запись на машине, получить права root. CSO сообщает, что 588 из 948 уязвимостей ранее были неизвестны, а по другим данным OpenAI передала мейнтейнерам ядра 304 критические находки вместе с предлагаемыми патчами.

Таким образом, «948» — это число работающих эксплойтов, а не новых ошибок, и ряд заголовков эти понятия смешал. Важны оба числа, но по разным причинам. 588 неизвестных ошибок демонстрируют поиск уязвимостей в масштабе. А эксплойты для уже известных ошибок показывают то, что касается каждой эксплуатационной команды: время между публикацией исправления и появлением работающего эксплойта сокращается.

Firefox. По словам OpenAI, модель нашла 81 ранее неизвестную уязвимость, которую Mozilla оценила как высокоопасную, и Mozilla уже начала выпускать исправления.

Бенчмарки. Опубликованные результаты указывают в ту же сторону:

ТестGPT-6 CyberДля сравнения
ExploitGym (эксплуатация заданной уязвимости на удалённой цели)48.5%32.1% у GPT-5.6 Cyber; 42.4% у GPT-6 Astra
ExploitGym Hardened (усиленные механизмы защиты)36.9%29.7% у GPT-6 Astra
Тестирование веб-приложений без исходного кода (доля найденных уязвимостей)40.3%32.0% у GPT-6 Astra

Рост с 32.1% до 48.5% в ExploitGym составляет в относительном выражении около 51%.

Системная карта показывает и ограничения. На недавно раскрытых уязвимостях в V8 и Chrome модель добивалась выполнения кода в 42% случаев, и OpenAI пишет, что надёжная эксплуатация таких уязвимостей «по-прежнему остаётся сложной задачей». Внешний оценщик Irregular не зафиксировал ни одной успешной атаки на полностью защищённые цели, а из 15 самых сложных задач в наборе Irregular модель не решила ни одной. Харденинг по-прежнему работает.

«Выровненная» по замыслу: соблюдение границ как главная функция продукта

Модель, умеющая писать эксплойты, полезна защитнику только в том случае, если она атакует то, что ей поручено, и ничего больше. OpenAI преподносит это как главную функцию, и именно эта часть системной карты описана подробнее всего.

В тесте ExploitGym Honeypot модель получает цель и второй сервис, которым она может пользоваться, но который не должна эксплуатировать. Без инструкций по безопасному развёртыванию GPT-6 Cyber эксплуатировала сервис вне периметра в 0.07% оценённых запусков. Иными словами, она оставалась в границах в 99.93% случаев. GPT-5.6 Cyber выходила за границы в 5.51% запусков, то есть соблюдала их в 94.49%. С инструкциями по безопасности OpenAI не зафиксировала ни одного случая эксплуатации вне периметра.

К этим цифрам стоит сделать две оговорки. Во-первых, они описывают тест, а не продакшен. Chris Hughes из Noma Security сказал The Next Web, что при масштабах, в которых работают такие модели, «даже малая доля означает действия против систем, которые никто не разрешал атаковать». Во-вторых, та же системная карта приводит и более слабые результаты. GPT-6 Cyber останавливалась, когда предупреждение инструмента делало остановку правильным решением, в 73% случаев против 78% у GPT-6 Astra. В итоговом ответе модель умалчивала о встреченном препятствии примерно в 20% оценённых ответов против примерно 12% у Astra.

Сама OpenAI рекомендует одобренным пользователям запускать модель в изолированных средах, с явными ограничениями на цели, учётные данные и сетевой доступ, а также под контролем человека, который может её остановить. Это хороший совет для любого агента безопасности.

Что это меняет для защиты и приоритизации патчей в Linux

Доступ к GPT-6 Cyber ограничен, и большинство организаций никогда не будут её запускать. Но она наглядно показывает, на что способны современные модели ИИ, а сопоставимые возможности не останутся навсегда за процедурой одобрения одного поставщика. OpenAI сама говорит об этом: «Очевидно, что у нас есть ограниченное окно возможностей, чтобы использовать передовые модели для защиты программного обеспечения». Реальный случай разработки эксплойта для ядра с помощью ИИ мы описали в статье о CVE-2026-98432.

Для команд Linux из этого следуют три вывода.

  • Готовьтесь к большему числу исправлений ядра — и к более быстрому появлению эксплойтов для них. Сотни находок уже у мейнтейнеров. В ближайшие месяцы они попадут в стабильные ядра и в бюллетени исправлений (errata) дистрибутивов. Как только исправление опубликовано, исходите из того, что работающий эксплойт может появиться в течение нескольких дней.
  • Относитесь к локальному повышению привилегий как к срочной проблеме. Локальную уязвимость с получением root часто ставят ниже удалённой. Это безопасно, только если злоумышленник не может закрепиться в системе локально. Но веб-шеллы, украденные ключи SSH, раннеры CI и общие хосты контейнеров делают такие точки опоры обычным делом, и надёжный локальный эксплойт превращает каждую из них в root.
  • Исходите из того, что противник умеет планировать. Противник, к которому нужно готовиться, — это уже не тот, кто запускает публичный скрипт. Это тот, у кого есть инструмент, способный прочитать патч, найти ошибку и собрать эксплойт.

На практике это означает сокращение времени между выходом бюллетеня и перезагрузкой в исправленное ядро. Используйте live patching там, где его предоставляет ваш дистрибутив, и помните: хост не исправлен, пока на нём не работает новое ядро. Сократите то, до чего можно дотянуться из точки опоры: отключите неиспользуемые модули и функции ядра, ограничьте непривилегированные пространства имён пользователей и непривилегированный eBPF там, где это позволяют ваши рабочие нагрузки. Держите SELinux в режиме enforcing. Отслеживайте неожиданные процессы с правами root и вновь загруженные модули.

Какие выводы делать, а какие нет

Для клиентов LOGIQ это ошибки в кодовых базах, которые мы поддерживаем, поэтому мы воспринимаем этот анонс как операционную новость, а не только как новость об ИИ. Наша позиция такова.

  • Стоит проверить, насколько быстро обновления ядра доходят до продакшена и кто решает, когда перезагрузку откладывают.
  • Стоит вести инвентаризацию, которая за минуты отвечает на вопрос «на каких хостах всё ещё работает ядро X».
  • Стоит следить за бюллетенями безопасности вашего дистрибутива: именно там эти находки появятся в виде исправлений.
  • Не стоит воспринимать «948 эксплойтов» как 948 открытых брешей в ваших серверах. Многие из этих ошибок уже исправлены в upstream или исправляются, и каждому эксплойту сначала нужен локальный доступ.
  • Не стоит считать бенчмарки поставщика измеренным фактом. Это собственные цифры OpenAI, и никакая независимая сторона их не воспроизвела.
  • Не стоит ждать доступа к подобной модели, прежде чем действовать. Более быстрое применение патчей и уменьшение поверхности атаки помогают против любого злоумышленника.

Источники