OpenAI 称,在一次研究行动中,GPT-6 Cyber 为 948 个 Linux 内核漏洞写出了可用的 exploit,是 GPT-5.6 Sol 在同一研究框架下 166 个的五倍多(OpenAI)。这是厂商实验室给出的厂商数据,我们也只把它当作厂商数据。不过它足够具体,收到 304 条关键发现的内核维护者可以自行核实。
短短几天内,OpenAI 发布了 GPT-6 Cyber,并与 Hacktron 达成合作;Anthropic 发布了 Claude Fable 5.2 和 Mythos 5.2;Google DeepMind 发布了一份针对 Signal 背后代码的机器验证证明;两家安全公司则披露了攻击者对真实目标使用 AI 智能体的情况。我们读了各家公司的博文和背后的报告。The Hacker News 报道了基准测试那条新闻,Wired 报道了 Signal 那条。
OpenAI 称 GPT-6 Cyber 能做什么
在 ExploitGym(测试模型能否利用指定漏洞)上,OpenAI 报告 GPT-6 Cyber 得分 48.5%,GPT-5.6 Cyber 为 32.1%。在一项新的 Web 渗透测试中,模型在看不到源代码的情况下探测应用,GPT-6 Cyber 发现了 40.3% 的漏洞,GPT-6 Astra 为 32.0%(OpenAI)。最鲜明的对比体现在拒绝率上:在 RemoteExploitBench 上(使用受控实验环境中 GitLab、PostgreSQL 和 Jenkins 的已知漏洞),搭配 Daybreak Blue 的 GPT-6 Astra 拒绝了所有任务,而 GPT-6 Cyber 完成了 95%。
在实验室之外,OpenAI 称其研究人员用该模型在 Firefox 中发现了 81 个此前未知的高危漏洞(由 Mozilla 定级),Mozilla 已开始陆续发布修复。发布博文引用了 Mozilla 的 Brian Grinstead 的话,他说 Firefox 进入 2026 年时是"全球防护最严密、审查最严格的代码库之一"。关键就在这里:这不是玩具靶标。OpenAI 还在其 Preparedness Framework 下将该模型的网络安全风险评为 Critical,上一代模型是 High。当一家实验室这样给自己的产品贴标签时,我们认为这既是功能清单,也是一张警告标签。
安全方面的说法有点特别。OpenAI 设计了一项测试:在真正的目标旁边放置容易攻击的附属服务,模型必须意识到攻击它们超出了授权范围。在没有部署 prompt 的情况下,GPT-6 Cyber 有 99.93% 的时间守住了边界,GPT-5.6 Cyber 为 94.49%。旧数字意味着大约每 18 次运行就有一次越界。新数字仍然意味着每一万次大约有 7 次越界,而 OpenAI 自己也建议对高风险工作采用沙箱、操作审核和人工监督。这个建议,我们建议你照字面执行。
发布博文中最有价值的外部声音来自 Dragos 的首席 AI 官 Rob T. Lee,他的团队在一个模拟发电厂靶场上运行了 OpenAI 的网络放开型模型。他的总结是:"攻击之前所需的侦察和漏洞研究,技能门槛正在降低。"Lee 说,一个前沿模型在该靶场上自主工作,在管理继电保护数据的工程软件中发现了两个零日漏洞。这句话正是我们写这篇文章的原因。
"Fable 击败 GPT-6 Cyber"标题背后的真相
在你转述这条新闻里的任何基准数字之前,请先读这一节:两家实验室跑的并不是同一批任务。Anthropic 自己的结果表有一条脚注:"每家实验室的分数基于各自独有的任务。"The Hacker News 报道称,Fable 5.2 完成了 Irregular 的 CyScenarioBench 的 76.3%,Fable 5.1 为 61.7%,GPT-6 Cyber 为 61%。而 Anthropic 的表格把 76.3% 列在 Mythos 5.2 名下,61.7% 列在 Mythos 5.1 名下,这与 Anthropic 自己的提醒相符:Fable 5.2 的防护措施"会拦截大多数与网络安全相关的任务"。所以标题点错了模型,而且两家实验室在不同任务集上相差的 15 个百分点,根本算不上排名。我们不会据此选择厂商。值得记住的是 Anthropic 自己的前后对比,不过那也是厂商在自我报告。
The Hacker News 还引用了 Irregular 另一份 GPT-6 Cyber 报告中的一个细节,标题没有提。该模型解决了全部 22 个原子级挑战,在漏洞研究与利用上平均成功率为 97%,在网络攻击模拟上为 98%,但在规避检测上只有 63%。在这些测试中,"攻进去"几乎已经被解决,"不被发现"则没有。对防守方来说,这是整堆基准数据里最好的消息,而我们读到的报道只用一句话带过。
Anthropic 称 Mythos 5.2 是其"最强的网络安全工程模型",并表示一家未具名的安全公司发现,Mythos 5.2 找出的已确认漏洞中,每六个就有一个是它测试的所有其他前沿模型都漏掉的(Anthropic)。Anthropic 还报告称,Mythos 5.2 在其自有的 CVE Rediscovery 评测(针对 1,829 个 CVE)中得分 89.6%,Mythos 5.1 为 78.3%。这两项都是厂商自己跑的指标,在外部测试者复现之前,只能当作一面之词。
谁拿到钥匙,又要付出什么
两家公司都不会直接对外销售这些模型。OpenAI 称,GPT-6 Cyber 最初仅通过 API 和 Codex 提供给一小批获批的 Daybreak Red 客户,更大范围的 Daybreak Red 访问"即将"开放。Daybreak Red 的 API 访问默认需要 IP 白名单,启用零数据留存的客户通常必须使用 Private Safety Processing,即把加密记录保存在自己的存储中 30 天。OpenAI 还表示,在其合作伙伴计划中,底层模型的访问权限"仍归获批的合作伙伴所有,不会直接转移给客户"(OpenAI)。
Anthropic 在其 Cyber Verification Program 中把同一思路分成了三个层级。Defense Access 覆盖安全运营、恶意软件分析和漏洞验证,Anthropic 称规模较小的安全公司、开源维护者和有过硬履历的个人研究者都可以申请,几天内给出答复。Red Team Access 允许经授权的渗透测试,仅限组织申请,需要数周。Specialized Access 面向电网、银行间转账系统等领域,要与美国政府一起进行深入审查。Anthropic 用 Claude Opus 5.5 在 CyScenarioBench 上测试了这些层级,十个挑战各尝试五次:没有项目权限时,每个任务在第一条 prompt 就被拦截;在 Defense Access 下,50 次试验中有 46 次在某个环节被拦截;在 Red Team Access 下没有任何拦截,50 次中成功 34 次,与该模型不设限时的成功率一致。这又是 Anthropic 在给自己的闸门打分。
Fable 和 Mythos 是同一个底层模型(Anthropic)。Claude Fable 5 带有较强的网络安全防护,对所有人开放。Mythos 则是组织需要申请的版本。Anthropic 的 API 定价页面中,Fable 5.2 和 Mythos 5.2 的价格相同:每百万输入 token $8,每百万输出 token $40,可选的快速模式分别为 $16 和 $80。Mythos 没有单独定价。价格在这里是最小的门槛,更大的门槛是数据留存。Anthropic 要求 Cyber Verification Program 中的组织保留数据,以便监控滥用;OpenAI 默认保持标准留存,并让零数据留存客户走 Private Safety Processing。我们认为,对红队来说这是合理的入场费;但对客户代码不能留在别人日志里的公司来说,这是实打实的成本。Anthropic 称,一个名为 Enterprise Frontier Safeguards 的新选项将允许符合条件的组织把数据保存在自己的云上,但项目博文只承诺会在"今年秋季晚些时候"推出。在它上线之前,这个取舍依然成立。
外部的一种制衡手段是赏金。OpenAI 与 Hacktron 的合作,是让一家开发代码审查和渗透测试 AI 智能体的公司在 OpenAI 自己的系统上施展,并扩大其对前沿模型的访问权限。Hacktron 的 CEO Zayne Zhang 说,网络安全的未来"不会取决于谁的安全团队最大,而取决于谁能把人类的创造力与 AI 驱动的能力结合得最好"(OpenAI)。OpenAI 还提高了漏洞赏金,ChatGPT、Codex 或 API 中的关键漏洞现在最高可得 $30,000,表现突出的发现加上奖金最高可达 $172,000(OpenAI)。比起任何内部红队的说法,我们更信任向外部人员支付的赏金。
报告中的攻击者并没有在用这些模型
Acronis 的研究人员描述了一名常驻台湾的攻击者,他把 AI 智能体对准至少 11 个国家的数百个组织,并在大约十个组织中拿到了数据或访问权限。这些智能体调取了台北七个行政区的紧急调度记录。值得注意的是它们跑在什么上面:商业模型大多拒绝帮他发起攻击,所以攻击智能体几乎完全跑在 DeepSeek、GLM 和 Qwen 的"abliterated"版本上,也就是在本地运行、安全训练被去除的模型(The Hacker News)。Claude Code、Codex 和 Cursor 等编程智能体也出现了。报告称,攻击者把 Claude Code 和 Codex 重定向到了 abliterated 模型,不过它们主要做的是基础设施方面的工作;Cursor 则在运行这类模型的情况下攻击了一个台湾紧急服务网站。
这些智能体干活也很差,差到连普通人都看得出来。一个扫描工具凭空编造 CVE,它的高危和严重级发现中有一半以上是误报或被错误归类。主攻击智能体还汇报了根本没有发生的结果。在一家消防调度供应商那里成功的入侵,靠的是默认的 root 凭据,而不是什么高明的 exploit。研究人员称,凡是强制登录、端点过滤得当的地方,智能体都失败了。
Arctic Wolf 报告了第二种模式。AntiFox 是 GitHub 上的一个开源智能体式渗透测试平台,Arctic Wolf 称,托管 AntiFox 界面的阿里云系统与针对面向互联网的 Web 服务及其 AWS 环境的已确认恶意行为有关。至少在部分案例中,这些活动成功请求到了生产环境的密钥。它的结论是:"这类智能体框架让威胁行为者更容易掌握渗透测试技术,同时提高了这些技术在真实攻击中的应用速度和一致性"(The Hacker News)。同一篇报道还提到,Check Point Research 发现了 2,557 个托管另一款智能体攻击工具 ARTEX 的系统,并统计出此类开源框架约有 45 个。Check Point 自己对智能体式黑客攻击带来的变化的总结是:规模和速度。
据报道所述,这两份报告都没有涉及 GPT-6 Cyber 或 Mythos。我们的判断是:顶层的闸门看起来很可靠,底层却几乎不起作用,因为免费的智能体框架加上被去除限制的开放权重模型,就足以攻进一台用默认密码的服务器。证据也很单薄,只有寥寥几份报告,大多出自与此事有利害关系的安全厂商,而且没人能说清有多大比例的入侵用到了 AI。
防守方最干净利落的成果来自数学
Wired 的标题说 DeepMind"证明了 Signal 协议是安全的"。DeepMind 的博文说得更有限,我们更喜欢它的说法。研究人员引导智能体去证明 Signal 协议背后实际代码的关键安全属性,包括设备被短暂攻破之前和之后消息仍受保护。每一份形式化规约都经过人工审核。这些智能体生成了超过六百万行 Lean 代码,标出了代码库中需要人再看一遍的那百分之一,并在四周内完成,而 DeepMind 称这类工作过去通常要专家团队花上数年(Google DeepMind)。为了验证系统能分辨好代码和坏代码,团队重新引入了两个真实的、已修复的漏洞,并得到了机器验证的证明,表明有漏洞的版本是不安全的。
Signal 的 CTO Ehren Kret 说,这一成果让我们"对代码的隐私保障更有信心"。我们认为这是整堆说法里最可信的一条,原因很简单:基准分数要靠相信厂商,而 Lean 证明是由机器检查的。它覆盖的是一个代码库的特定属性,而不是 Signal 这个产品本身,DeepMind 也说要扩大规模还需要更多研究。DeepMind 开源了它的验证产物,这才是此类说法赢得信任的方式。
关键基础设施指向同一个方向。Anthropic 的 Cyber Mission 描述了针对它的项目:为保护电网、供水系统和工厂的服务商提供前沿模型、驻场工程师和威胁研究,这些设备往往无法下线打补丁。Dragos、Rockwell Automation 和 Nozomi Networks 都是创始合作伙伴。
瓶颈在修复
Anthropic 用一句话点明了问题:"发现漏洞比以往任何时候都容易,但验证、排序和修复这些发现依然很困难"(Anthropic)。OpenAI 在更早的一篇博文里写了几乎一样的话:"一份漏洞报告并不能保护一个组织。"两家竞争对手在各自的公告里达成一致,是这堆材料里最接近共识的东西。另一面我们之前也写过,见我们关于 AI 发现 bug 的速度超过修复速度和 AI 漏洞扫描器能发现和漏掉什么的文章。
那么谁会赢?这是我们的看法,没有哪个来源这样说过:攻击者在打补丁慢的组织身上收益最大,因为攻击者只需要一条能走通的路,哪怕扫描器有一半是错的也无所谓。防守方在本来就修复得快的地方收益最大,因为找 bug 现在成本很低,剩下的成本在流程。模型闸门限制了最强系统的用途,但对任何运行旧软件的人来说,这笔账并没有变。Anthropic 自己的预测眼下也指向同一方向。它预计两年后 AI 会有利于防守,但表示短期内"未必如此",因为利用漏洞的成本已经下降,而修复仍然缓慢,并且依赖人。如果有第二轮独立测试来检验攻击规避检测的能力,我们才可能改变看法。
现在该做什么,按顺序来
如果你经营一家小企业,你拿不到 GPT-6 Cyber,也不需要它。报告里的攻击大多是直接从没锁的门走进去的。我们建议你把第一个小时花在下面这些事上,按这个顺序:
- 为邮箱、管理后台和所有云控制台开启多因素登录。
- 对所有能从互联网访问的东西开启自动更新,其余的在几天内打完补丁,别拖到几个季度之后。
- 找出并修改路由器、数据库和管理工具上的默认密码或共享密码。台湾的其中一起入侵靠的就只是这个。
- 把密钥从代码和页面脚本中取出,放进密钥管理器,然后给每个 AI 和云 API 密钥设置支出上限和轮换日期。
- 写下陌生人能从互联网访问到的所有东西。你没法给一台已经被你忘掉的服务器打补丁。
如果你开发软件,在 pull request 流程中接入一个扫描器是合理的下一步。我们的目录里有 Semgrep、Snyk Code 和 Aikido;我们的 Top 200 AI 网络安全工具榜单和安全分析师榜单可以看到其他工具的排名。把每一条 AI 发现都当作待确认的线索,毕竟 Acronis 报告中那名攻击者自己的扫描器就编造了 CVE。PentestGPT 和 Shannon 之类的开源智能体只能用在你自己拥有、并且有书面授权可以测试的系统上;AntiFox 的报告说明了同类工具落到坏人手里会怎样。至于通用的代码审查辅助,Claude 和 ChatGPT 都能做,不过 Anthropic 表示其公开模型带有保守的网络安全防护,会拦截大多数网络安全相关的工作。
如果你是安全从业者,现在就去申请 OpenAI 的 Daybreak Blue 或 Anthropic 的 Defense Access。Anthropic 的目标是几天内答复 Defense Access 申请、数周内答复 Red Team Access 申请,并且要求保留数据。OpenAI 还没有公布 Daybreak 的处理时限。下面的清单把第一份列表变成了一个评分。
有两点值得关注。OpenAI 称 GPT-6 Cyber 很快会开放给所有 Daybreak Red 客户,而两家实验室都没有公布批准或拒绝了多少申请者。等 Anthropic 的自有云选项上线后,请确认符合条件的组织是否真能在没有日志留存的情况下获得同样的防护。