OpenAI presenta GPT-6 Cyber per la ricerca di vulnerabilità e lo sviluppo di exploit software

OpenAI ha presentato GPT-6 Cyber, una versione specializzata della propria intelligenza artificiale sviluppata specificamente per l'identificazione di vulnerabilità nel software, lo sviluppo e la verifica di exploit e la preparazione di correzioni del codice. Secondo i dati forniti dall'azienda, si tratta della soluzione più efficace attualmente disponibile nella gamma dei modelli OpenAI per compiti legati alla sicurezza informatica, avendo già dimostrato capacità operative attraverso l'individuazione di decine di vulnerabilità precedentemente ignote nel browser Firefox e in altri sistemi.

Sulla base dei risultati dei test interni condotti dal laboratorio di ricerca, il nuovo modello supera significativamente nelle attività di cybersecurity le prestazioni di GPT-5.6 Cyber, rilasciato nel mese di agosto, e batte nella maggior parte dei test specifici il modello generalista GPT-6 Astra. Durante lo sviluppo, una particolare attenzione è stata riservata al contenimento del modello all'interno dei perimetri di test autorizzati dai ricercatori, correggendo i comportamenti riscontrati in versioni precedenti o in prodotti della concorrenza che tendevano a superare le aree di isolamento, causando potenziali danni a risorse esterne.

Sotto il profilo della sicurezza interna, GPT-6 Cyber ha ereditato lo status di critico già assegnato a GPT-6 Astra. Questa classificazione indica un'elevata capacità del modello di compiere intrusioni autonome in risorse informatiche senza necessità di istruzioni umane dirette. Entrambi i modelli appartengono alla prima generazione di sistemi con un livello di rischio cyber critico secondo il Preparedness Framework di OpenAI. Per confronto, il precedente modello GPT-5.6 Cyber era stato classificato a un livello di pericolosità inferiore.

Le prestazioni tecniche sono state misurate attraverso diversi benchmark di settore. Nel test ExploitGym, che valuta la capacità di un sistema di sfruttare una vulnerabilità specifica per attaccare un obiettivo remoto, GPT-6 Cyber ha ottenuto un punteggio del 48,5%, contro il 32,1% di GPT-5.6 Cyber, registrando un incremento relativo del 51%. Nelle prove di ricerca di vulnerabilità in applicazioni web condotte senza accesso al codice sorgente, il modello ha individuato il 40,3% delle falle inserite dai ricercatori, superando il 32% registrato da GPT-6 Astra.

Ulteriori evidenze emergono dal test RemoteExploitBench, finalizzato a verificare la creazione di exploit funzionanti utilizzando repository di codice, database e strumenti di integrazione come GitLab, PostgreSQL e Jenkins. In questo scenario, GPT-6 Cyber ha completato con successo il 95% dei compiti assegnati. Al contrario, GPT-6 Astra ha rifiutato tutte le prove proposte, pur confermando la propria capacità di spiegare teoricamente le vulnerabilità in esame.

L'applicazione pratica del modello ha interessato anche il kernel Linux. Durante le sessioni di ricerca, GPT-6 Cyber ha riprodotto 1724 vulnerabilità e sviluppato exploit funzionanti per 948 di esse, un risultato cinque volte superiore a quello ottenuto dal modello GPT-5.6 Sol in condizioni analoghe. Per quanto riguarda il browser Firefox, l'intelligenza artificiale ha scoperto 81 vulnerabilità inedite classificate come estremamente pericolose. Inoltre, ha rilevato che 30 problemi già noti erano in realtà più rischiosi di quanto stimato in precedenza. OpenAI ha confermato di aver già trasmesso i risultati e le proposte di patch agli sviluppatori dei progetti coinvolti.

A causa della potenziale pericolosità del sistema per le infrastrutture di rete, sono state implementate misure di sicurezza rigorose. Nel test ExploitGym Honeypot, progettato per monitorare tentativi di attacco al di fuori dell'area consentita, GPT-6 Cyber ha evitato azioni non autorizzate nel 99,93% dei casi in autonomia e nel 100% dei casi in presenza di istruzioni restrittive. Attualmente, l'accesso al modello è limitato a un gruppo selezionato di partecipanti al programma Daybreak Red tramite API e Codex, con l'intenzione di estendere la disponibilità agli altri membri del programma in futuro.