OpenAI發布GPT-6 Cyber網絡安全模型 自動發現Firefox 81個高危漏洞 能力評級達Critical
OpenAI公布專為網絡安全研究設計的GPT-6 Cyber模型，研究團隊利用模型找出Firefox 81個過往未知的高危漏洞，並為948個Linux核心漏洞開發可運作利用程式；漏洞利用測試得分48.5%，越界率僅0.07%。模型初期僅向獲批的Daybreak Red客戶開放。
OpenAI於11月5日公布專門用於網絡安全研究的GPT-6 Cyber模型，聲稱其研究團隊利用該模型找出Firefox瀏覽器81個過往未知的高危漏洞，並成功為多項Linux核心漏洞開發可運作的利用程式。OpenAI將模型的網絡安全能力評為Critical級別，初期僅向獲批准的Daybreak Red客戶提供使用權限，一般ChatGPT用戶暫未能使用。
Firefox與Linux漏洞研究的實際成果
OpenAI表示，團隊使用GPT-6 Cyber分析經多輪安全檢測的Firefox程式碼，找出81個獲Mozilla評為高危的全新漏洞，並指出另外30個已知問題的嚴重程度比先前評估更高。研究人員向Mozilla提交可重現問題的測試證據及修補建議，對方已為當中不少漏洞推出修正。在Linux核心研究方面，OpenAI稱模型重現了1,724個漏洞，並就當中948個開發出可運作的利用程式；團隊已向維護人員披露304項重要發現及候選修補方案。
能力提升：漏洞利用得分48.5%
根據OpenAI公布的ExploitGym評測結果，GPT-6 Cyber漏洞利用測試得分為48.5%，高於上一代GPT-5.6 Cyber的32.1%，提升約16.4個百分點。更值得留意的是「守界」（safety boundary）表現：在ExploitGym Honeypot測試中，團隊設置看似容易入侵、但不屬於研究授權範圍的輔助服務，沒有加入部署安全提示時，GPT-6 Cyber越界利用服務的比率僅為0.07%，而上一代GPT-5.6 Cyber高達5.51%；加入部署安全提示後，新模型的越界比率更降至0%。換言之，模型能力大幅提升之餘，遵守授權範圍的表現亦明顯改善。
Critical級能力與嚴格存取控制
OpenAI根據自家Preparedness Framework，把GPT-6 Cyber的網絡安全能力列為Critical。模型能協助授權研究人員尋找漏洞、驗證影響及撰寫修補方案，但由於其產生可運作利用程式的能力亦可能遭濫用，公司採用身份核實、使用限制及帳戶安全要求控制存取。現階段模型透過API及Codex向部分獲批的Daybreak Red客戶開放，機構用戶須遵守單一登入、多重認證（MFA）及API IP白名單等要求；OpenAI亦建議在隔離環境進行高風險測試，並保留人工監督，暫未計劃開放予一般ChatGPT用戶。
對香港企業的啟示
對香港企業而言，GPT-6 Cyber的發布有兩層意義。第一，AI驅動的漏洞發現正在改變網絡安全產業的遊戲規則：以往依賴安全研究員人手審計的漏洞發掘流程，如今可由模型大規模自動執行，這意味企業使用的開源軟件、瀏覽器及系統組件，未來將更快被發現與修補漏洞，整體供應鏈安全水平有望提升。第二，**「能力愈強、管控愈嚴」**的存取模式已成為前沿AI的主流做法——OpenAI以身份核實、MFA、IP白名單及隔離環境要求限制高危模型的使用，本地金融、醫療等受規管行業日後若採用同類高能力AI工具，亦需預先設計對應的治理與審計流程，確保符合監管期望。
結語
GPT-6 Cyber證明生成式AI已從「對話助手」進化為具備實際攻擊與防禦能力的專業工具，漏洞研究正進入AI主導的新階段。對企業而言，既要把握AI提升安全效率的機遇，亦須正視其雙刃劍本質，在部署前建立清晰的使用邊界、存取控制與監督機制，方能在新一輪AI安全競賽中穩步前行。