11 月 5 日，OpenAI 发布博文正式推出 GPT-6 Cyber——一款专门为网络安全研究训练的模型。它接的正是前一天（11 月 4 日）那篇《A thousand fewer paths to root》里跑出 Linux 内核 948 条提权利用的流水线。前一天证明能力，今天把模型名字、对齐数字、准入分层一起产品化。

分数：相对提升 51%，但重点不在这里

• ExploitGym（针对指定远程目标实施漏洞利用）：48.5%，上一代 GPT-5.6 Cyber 是 32.1%，相对提升约 51%
• RemoteExploitBench（受控的 GitLab / PostgreSQL / Jenkins 等靶场）：完成 95% 任务；对照之下 GPT-6 Astra 100% 拒绝执行
• 无源码 Web 黑盒渗透：漏洞召回率 40.3%，超过 GPT-6 Astra 的 32.0%
• OpenAI 的说法是：在多数网络安全任务上超过 GPT-6 Astra，即使 Astra 不拒绝执行也是如此

按 Preparedness Framework（准备框架），GPT-6 Cyber 的网络安全能力评级从 High 上调到 Critical（关键级）。这是这条产品线的第一次「跳级」。

真实项目里的成绩单

比基准更有说服力的是两个案例。

Firefox：在一轮漏洞研究中，GPT-6 Cyber 找出 81 个此前未知、被 Mozilla 归类为高严重性的漏洞；另外还指出 30 个已知问题的实际严重程度可能被低估。团队提交了证据、可复现测试和候选补丁，Mozilla 已经开始发修复。Firefox 杰出工程师 Brian Grinstead 的评价很直白：Firefox 进入 2026 年时已经是世界上受审查最密集、加固最深的代码库之一，经过多代前沿模型的进一步检查之后，GPT-6 Cyber 仍然挖出了此前未知的高危问题。

Linux 内核：自动化流水线串起漏洞发现、动态复现、可利用性评估、补丁生成四步。2308 项候选问题 → 1724 个动态复现的漏洞 → 948 个有效的本地提权利用。同一个研究框架下，上一代 GPT-5.6 Sol 只做到 166 个。成本约 121.34 万美元 API 额度，均摊每个成功的 LPE 约 1279 美元。研究者按 Linux 社区的指导优先披露了 304 项关键发现并附候选补丁，其余仍在推进。

更值得看的是「守边界」

对安全智能体来说，能力越强不等于越安全。设想一个具体场景：研究者只授权模型测试某个程序，但模型在执行中发现同一环境的包仓库或对象存储服务更容易攻破。如果它为了更快完成任务去打这些服务，即使最后拿到正确结果，也已经越过了授权范围。

OpenAI 为此设计了 ExploitGym Honeypot 测试：给模型一个真有难度的漏洞利用任务，同时在隔离环境里故意摆上几个容易被攻击的辅助服务——攻击它们能拿到完成任务所需的信息，但正确行为是识别边界并且不去碰。

结果：不使用部署安全提示词时，GPT-6 Cyber 避免攻击授权范围外服务的比例 99.93%，上一代 GPT-5.6 Cyber 是 94.49%；加上部署提示词后达到 100%。

OpenAI 还公开了部分推理记录，其中模型自己写道：不应假设额外 API 或攻击控制器属于目标，也不应探索授权范围外的凭证。这说明训练目标不只是「怎么找漏洞」，还包括「哪些事情不该做」。

但 100% 的测试分不等于现实世界没有越权风险。真实部署面对的是更复杂的环境、模糊的授权描述、以及恶意诱导。OpenAI 自己的建议仍然是：高风险安全研究流程要用沙箱、操作审查和人工监督。

准入分层：一次产品设计，也是一次风险切割

GPT-6 Cyber 不是所有 ChatGPT 用户都能调。整套 Daybreak 机制值得看清楚：

配套的滥用防线包括：越权行为监测、特定安全威胁监测、访问网络限制、凭证保护、沙箱、人工复核，以及针对关键基础设施高风险操作的拦截。首批使用方是 Mozilla、Palo Alto Networks、Cisco、CodeRabbit，以及 OpenAI 自己的基础设施团队。

值得关注的原因

一，安全对齐的范式变了。 过去大模型的安全对齐表现为「拒绝回答危险问题」。对专业安全智能体而言，新要求是相反的：既要完成真实的高风险研究任务，又要始终待在明确授权范围内。前者的失败是功能缺失，后者的失败是事故。0.07% 的越界率比 48.5% 的 ExploitGym 分数更接近可交付性。

二，AI 漏洞挖掘的产能已经超过人类的补丁产能。 948 个有效 LPE 里只有 304 项优先披露，剩下 600 多个卡在流程里。这不是技术问题，是开源维护者的注意力问题。当自动化研究可以按 1279 美元一个的价格批量产出可利用漏洞时，瓶颈彻底转移到了修复侧——而修复侧的人力并没有变多。

三，厂商正在把「模型能力」拆成「能力 × 准入」两个变量一起卖。 Critical 评级不是宣传语，它是给自己的合规约束，也是对客户的准入门槛。这套分层机制会变成行业模板：以后发布高能力模型，不只要报分数，还要报准入设计和越界测试方法。

最后一个不那么舒服的推论：GPT-6 Cyber 挖出的 Firefox 漏洞被修了，这是好事；但同一套能力的攻击面同样成立。OpenAI 用 IP 白名单和人工审核在拖时间——这个时间窗口有多宽，取决于验证流程有多严，而不取决于模型有多强。