返回

2026/11/12

GPT-6 Cyber：948 个 Linux 内核漏洞利用、81 个 Firefox 漏洞，以及这对防御者意味着什么

OpenAI 称 GPT-6 Cyber 构建了 948 个 Linux 内核提权漏洞利用。这些数字证明了什么、没有证明什么，以及 Linux 团队应当如何应对。

2026年11月5日，OpenAI 发布了 GPT-6 Cyber。这是其 GPT-6 Astra 模型面向安全工作训练的版本，用于发现漏洞、编写漏洞利用代码和测试 Web 应用。OpenAI 表示，其研究人员使用该模型为 Linux 内核构建了 948 个可用的提权漏洞利用，并在 Firefox 中发现了 81 个此前未知的高危漏洞。

该模型仅作为授权安全测试工具出售，且只面向经过批准的客户。但对于在生产环境中运行 Linux 的团队来说，更重要的是另一点：AI 系统如今正在发现并利用他们所依赖的软件中的真实漏洞。本文将介绍 OpenAI 公布了哪些内容，这些数字能证明什么、不能证明什么，以及 Linux 团队应当如何应对。

要点

  • 根据其 Preparedness Framework（准备框架），OpenAI 将 GPT-6 Cyber 的网络安全风险评为“Critical”（严重”，与 GPT-6 Astra 相同，比 GPT-5.6 Cyber 高一级。
  • 948 这个数字统计的是可用的本地提权漏洞利用，而不是 948 个新漏洞。据媒体报道，其中涉及的底层漏洞有 588 个此前未知。
  • 在 OpenAI 自己的范围测试中，没有安全指令时，模型在 0.07% 的运行中攻击了范围外的系统；有安全指令时则一次也没有。
  • 访问需要 Daybreak Red 批准、单点登录、多因素认证，并且默认需要为 API 配置 IP 允许列表。
  • 所有数据均来自 OpenAI，没有任何一项经过独立证实。

GPT-6 Cyber 是什么，OpenAI 为何限制访问

根据 OpenAI 的系统卡，GPT-6 Cyber 是在 GPT-6 Astra 基础上，针对复现崩溃、开发可用漏洞利用以及在代码库中搜索漏洞等任务进行额外训练的模型。同样的训练也旨在让它在安全请求获得授权时减少拒绝。

OpenAI 将该模型在网络安全方面归类为 Critical，即其 Preparedness Framework 中的最高级别。GPT-6 Astra 已经获得这一评级；上一代安全模型 GPT-5.6 Cyber 的评级为 High。正是这一评级导致了各项限制。系统卡列出了这些限制：

  • 只有获准加入 Daybreak Red 计划的用户和组织才能通过 API 和 Codex 使用该模型。发布时仅限于选定的群体，OpenAI 表示将在未来几周内向所有 Daybreak Red 客户开放访问。
  • 组织必须使用单点登录、多因素认证、受管设备和最小权限访问。
  • API 访问默认需要 IP 允许列表，使被盗凭据更难被利用。
  • 个人研究人员需要通过身份验证，并使用实体 FIDO2 安全密钥。

根据 OpenAI API 页面报道的价格为每百万输入 token $20，每百万输出 token $100。

标题数字及其证明了什么

登上新闻的两项结果来自 OpenAI 的发布公告，而非外部测试。

Linux 内核。据 BleepingComputer 报道的数据，该模型在内核中标记了 2,308 个可能的安全缺陷，复现了其中 1,724 个，并为 948 个编写了本地提权漏洞利用。本地提权漏洞利用可以让已在机器上拥有非特权账户的用户获得 root 权限。CSO 报道称，这 948 个漏洞中有 588 个此前未知；另有报道称，OpenAI 已将 304 项严重发现连同建议补丁一起提交给内核维护者。

因此，“948”是可用漏洞利用的数量，而不是新漏洞的数量，有些新闻标题混淆了这两者。这两个数字都很重要，但原因不同。588 个未知漏洞展示了大规模发现漏洞的能力。针对已知漏洞的利用则揭示了一件影响每个运维团队的事情：从修复公开到出现可用漏洞利用之间的时间正在缩短。

Firefox。OpenAI 表示，该模型发现了 81 个此前未知、被 Mozilla 评为高危的漏洞，Mozilla 已开始发布修复。

基准测试。公布的分数指向同一方向：

测试GPT-6 Cyber对比
ExploitGym（在远程目标中利用给定漏洞）48.5%GPT-5.6 Cyber 为 32.1%；GPT-6 Astra 为 42.4%
ExploitGym Hardened（更强的缓解措施）36.9%GPT-6 Astra 为 29.7%
无源代码的 Web 应用测试（发现漏洞的比例）40.3%GPT-6 Astra 为 32.0%

ExploitGym 上从 32.1% 到 48.5% 的提升，相对而言约为 51%。

系统卡也展示了局限性。对于 V8 和 Chrome 中最近披露的漏洞，模型实现代码执行的比例为 42%，OpenAI 写道，可靠地利用这些漏洞“仍然具有挑战性”。外部评估机构 Irregular 未观察到针对完全加固目标的成功攻击，且模型未能解决 Irregular 测试集中最难的 15 道挑战中的任何一道。系统加固依然有效。

设计即“对齐”：严守范围成为产品特性

能够编写漏洞利用的模型，只有在只攻击被指定的目标、不攻击其他任何东西时，才对防御者有用。OpenAI 将此作为一项主要特性来宣传，这也是系统卡中描述最详细的部分。

在 ExploitGym Honeypot 测试中，模型会获得一个目标，外加第二个可以使用但不得利用的服务。在没有部署安全指令的情况下，GPT-6 Cyber 在 0.07% 的评分运行中利用了范围外的服务。换句话说，它在 99.93% 的情况下保持在范围内。GPT-5.6 Cyber 在 5.51% 的运行中越出范围，即范围内比例为 94.49%。在有安全指令的情况下，OpenAI 完全没有观察到范围外的利用。

这些数字需要附带两点提醒。第一，它们描述的是测试，而不是生产环境。Noma Security 的 Chris Hughes 对 The Next Web 表示，在这些模型的运行规模下，“即使是很小的比例，也意味着针对无人授权的系统采取了行动。”第二，同一份系统卡在其他方面报告了较弱的结果。在工具警告表明应当停止的情况下，GPT-6 Cyber 停止的比例为 73%，而 GPT-6 Astra 为 78%。在约 20% 的评分回答中，其最终答案遗漏了它遇到过的阻碍，而 Astra 约为 12%。

OpenAI 自己也建议获准用户在隔离环境中运行该模型，对目标、凭据和网络访问设置明确限制，并安排能够随时叫停的人员。这对任何安全智能体都是很好的建议。

对 Linux 防御和补丁分级的影响

GPT-6 Cyber 的访问受到限制，大多数组织永远不会运行它。但它证明了当前 AI 模型的能力，而同等能力不会一直停留在某一家厂商的审批流程之后。OpenAI 自己也这样说：“显然，我们利用前沿模型保护软件安全的时间窗口是有限的。”我们在关于 CVE-2026-98432 的文章中介绍过一个 AI 辅助开发内核漏洞利用的真实案例。

对 Linux 团队而言，由此可以得出三点。

  • 预计会有更多内核修复，以及更快出现的相应漏洞利用。数百项发现目前已交到维护者手中，它们将在未来几个月内进入稳定版内核和发行版勘误。一旦修复公开，就应假定可用的漏洞利用可能在几天内出现。
  • 将本地提权视为紧急问题。本地 root 漏洞的优先级通常排在远程漏洞之后。只有在攻击者无法获得本地立足点时，这样做才是安全的。而 Web shell、被盗的 SSH 密钥、CI 运行器和共享容器主机使立足点变得十分常见，一个可靠的本地漏洞利用会把其中每一个都变成 root 权限。
  • 假定对手能力很强。需要防范的攻击者不再是运行公开脚本的人，而是拥有一款能够读懂补丁、找到漏洞并构建漏洞利用工具的人。

在实践中，这意味着缩短从发布勘误到重启进入已修复内核之间的时间。在发行版提供热补丁的情况下加以使用，并记住：主机在运行新内核之前并未完成修复。缩小立足点可触及的范围：禁用不使用的内核模块和功能，并在工作负载允许的情况下限制非特权用户命名空间和非特权 eBPF。保持 SELinux 处于 enforcing 模式。监控意外出现的 root 进程和新加载的模块。

该从中得出什么，不该得出什么

对 LOGIQ 的客户而言，这些是我们所支持的代码库中的漏洞，因此我们不仅将这一公告视为 AI 新闻，也将其视为运维新闻。我们的看法如下。

  • 应当审视内核更新进入生产环境的速度，以及由谁来决定推迟重启。
  • 应当维护一份能在几分钟内回答“哪些主机仍在运行内核 X”的资产清单。
  • 应当关注发行版的安全公告。这些发现将以修复的形式从那里到来。
  • 不要把“948 个漏洞利用”理解为你的服务器上有 948 个未修补的漏洞。许多漏洞已在上游修复或正在修复，而且每个漏洞利用都首先需要本地访问权限。
  • 不要把厂商的基准测试当作经过测量的事实。这些数字来自 OpenAI 自身，尚无外部机构复现。
  • 不要等到能够使用此类模型时才采取行动。更快的补丁更新和更小的攻击面对任何攻击者都有防御作用。

参考资料