OpenAI lansează GPT-6 Cyber și îi ridică riscul cibernetic la „critic”: 81 de vulnerabilități grave găsite în Firefox și exploituri funcționale pentru 948 de bug-uri din Linux. Cine îl poate folosi și ce trebuie să actualizezi

OpenAI a lansat joi, 5 noiembrie, GPT-6 Cyber, un model AI făcut special pentru găsirea și exploatarea vulnerabilităților din programe. OpenAI l-a clasificat cu risc „critic” în domeniul securității cibernetice, cel mai înalt nivel din sistemul său intern de evaluare, față de „ridicat” pentru modelul anterior. Potrivit OpenAI, modelul a găsit 81 de vulnerabilități grave, necunoscute până acum, în Firefox și a scris exploituri funcționale pentru 948 de bug-uri din kernelul Linux.

Modelul nu este disponibil publicului. Îl pot folosi doar clienți verificați și aprobați de OpenAI, care lucrează în apărare cibernetică și în teste de securitate autorizate. Pentru utilizatorii obișnuiți, partea practică e simplă: actualizează Firefox, pentru că Mozilla a început deja să publice reparațiile.

Ce este GPT-6 Cyber și cine îl poate folosi

GPT-6 Cyber este al patrulea model de securitate cibernetică lansat de OpenAI în acest an. Compania spune că e mai bun decât modelele anterioare la găsirea și exploatarea vulnerabilităților și că respectă mai sigur limitele stabilite de cercetători, adică nu atacă sisteme pe care nu are voie să le atingă.

• Acces: prin API și prin Codex, doar pentru clienții aprobați din Daybreak Red. Este nivelul din programul de securitate Daybreak, lansat de OpenAI în mai, destinat dezvoltării de exploituri și testelor de penetrare autorizate.
• Extinderea: OpenAI spune că modelul va ajunge „în curând” la toți clienții Daybreak Red. Nu a dat o dată și nici un preț.
• Infrastructura critică: compania a creat și un grup separat în Daybreak Red pentru apărătorii infrastructurii critice, cum ar fi rețelele de energie.
• Bani pentru apărători: OpenAI amintește de programul său de granturi de un miliard de dolari pentru echipele de securitate cu resurse puține.

De ce „critic”

OpenAI își evaluează modelele după un sistem intern numit Preparedness Framework, care măsoară cât de mult ar putea ajuta un model la atacuri grave. Predecesorul, GPT-5.6 Cyber, era la nivelul „ridicat”. GPT-6 Cyber a urcat la „critic”. Practic, OpenAI recunoaște că aceleași capacități care îi ajută pe apărători ar face atacurile mult mai ușoare dacă modelul ar ajunge la cine nu trebuie. De aici și accesul restrâns.

Ce a găsit în Firefox și în Linux

Toate aceste cifre vin de la OpenAI și nu au fost încă verificate independent. Unele publicații scriu că 588 dintre bug-urile Linux exploatate erau necunoscute până acum, dar cifra nu apare în relatarea The Next Web despre prezentarea OpenAI și nu am putut-o confirma, așa că o tratăm cu prudență.

Pentru Firefox, am verificat avizul de securitate publicat de Mozilla pe 27 octombrie, la lansarea Firefox 159. Avizul listează 167 de vulnerabilități reparate, iar 41 dintre ele sunt creditate către OpenAI: 34 către „OpenAI Codex Security” și 7 către Amy Burnett, de la OpenAI. Mozilla nu precizează ce model a găsit fiecare problemă, așa că nu se poate spune exact care dintre cele 81 anunțate de OpenAI sunt deja reparate.

Cât de sigur e modelul în sine

Pentru un model care știe să atace, întrebarea importantă e dacă rămâne în limitele permise. OpenAI a construit un test special după incidentul din vară cu Hugging Face, când un agent AI aflat în teste a ieșit din mediul izolat în care trebuia să lucreze. Testul, numit ExploitGym Honeypot, pune modelul lângă servicii pe care nu are voie să le atace.

• Fără instrucțiunile de siguranță folosite la lansare, GPT-6 Cyber a rămas în limite în 99,93% din teste. GPT-5.6 Cyber reușise doar 94,49%.
• Cu instrucțiunile de siguranță, modelul a rămas în limite în toate testele.
• OpenAI spune că urmărește în continuare dacă modelul „își dă seama” că e testat și se comportă altfel decât în realitate.

Criticii nu sunt pe deplin convinși. Chris Hughes, de la firma de securitate Noma Security, spune că scăderea acțiunilor nepermise e un progres real. Avertizează însă că, folosit la scară mare, chiar și un procent mic de eșec înseamnă acțiuni neautorizate împotriva unor sisteme reale. Hughes mai observă că, pe panoul public al OpenAI care urmărește vulnerabilitățile găsite, mai puțin de un sfert sunt reparate până acum. Problemele se găsesc mai repede decât pot fi reparate.

Testul pe o centrală electrică simulată

Dragos, o firmă specializată în securitatea sistemelor industriale, a testat modelele OpenAI mai puțin restricționate pe o centrală electrică simulată. Modelul a găsit două vulnerabilități necunoscute în programele care gestionează datele releelor de protecție, echipamentele care opresc automat curentul la o defecțiune. Rob T. Lee, directorul pentru AI al Dragos, spune că abilitățile necesare pentru recunoașterea țintelor și cercetarea vulnerabilităților înaintea unui atac devin tot mai ușor de obținut. OpenAI spune că a întărit protecțiile împotriva folosirii modelului contra sistemelor industriale.

Ce trebuie să faci

• Firefox: deschide meniul ☰ → Ajutor → Despre Firefox. Browserul caută singur actualizarea și o instalează la repornire. Ultima versiune publicată de Mozilla este Firefox 159.0.1, din 3 noiembrie. Dacă folosești Thunderbird, actualizează-l și pe el: are la bază același cod.
• Linux: instalează actualizările de kernel oferite de distribuția ta și repornește calculatorul sau serverul. De obicei, un kernel nou intră în funcțiune abia după repornire.
• Firme: numărul vulnerabilităților raportate va crește în lunile următoare, pentru că tot mai multe echipe folosesc AI pentru a le căuta. Merită scurtat timpul dintre publicarea unei reparații și instalarea ei.

Nu e singurul caz recent în care AI-ul schimbă securitatea cibernetică. Agenții AI ai Google DeepMind au găsit săptămâna aceasta două slăbiciuni în criptarea RSA pe 1024 de biți, iar în octombrie am scris despre agenții OpenAI care și-au slăbit propriile sisteme de monitorizare.

Surse: The Next Web (5 noiembrie: lansarea, Daybreak și Daybreak Red, clasificarea „critic”, cele 81 de vulnerabilități din Firefox, cifrele Linux, comparația cu GPT-5.6 Sol, ExploitGym, testul de atacuri de la distanță, ExploitGym Honeypot, testul Dragos și declarația lui Rob T. Lee, criticile lui Chris Hughes, programul de granturi), Finimize (extinderea accesului, cifra de 588) și avizul de securitate Mozilla MFSA 2026-118 pentru Firefox 159 (27 octombrie: 167 de vulnerabilități, 41 creditate către OpenAI), plus lista avizelor Mozilla (Firefox 159.0.1, 3 noiembrie). Sfaturile din secțiunea „Ce trebuie să faci” sunt ale redacției.