OpenAI 发布 GPT-6 Cyber：948 条提权路径与分层访问门槛

2026 年 11 月 4 日与 11 月 5 日，OpenAI 连着放出两份与网络安全有关的材料。前一份是 Linux 内核漏洞的自动化处理流水线研究，后一份是专用模型 GPT-6 Cyber 的发布公告。两天时间，把「能发现漏洞」和「把能力交给谁用」这两件事串成了一条线。

时间线：48 小时内发生的三件事

把日期排开，事件的先后顺序比结论更重要。10 月 27 日，Mozilla 随 Firefox 159 发布安全公告 MFSA 2026-118；11 月 4 日，OpenAI 公开Linux 侧的研究结果；11 月 5 日，GPT-6 Cyber 正式对外，并且只向通过审核的 Daybreak Red 客户开放。

日期（2026 年）	事件	可核对细节
10 月 27 日	Mozilla 发布 Firefox 159 与 MFSA 2026-118	公告改为逐条发布 CVE，可见条目约 120 条
11 月 4 日	OpenAI 发布《A thousand fewer paths to root》	2,308 个候选、1,724 个复现、948 个提权利用，API 成本 1,213,430 美元
11 月 5 日	GPT-6 Cyber 公告发布	ExploitGym 48.5%，Preparedness 框架评为关键级，仅限获批的 Daybreak Red 客户

需要说明的是，这三件事并不构成同一条流水线的三个步骤。Firefox 的修复先于公告落地，Linux 研究使用的是「即将推出的网络安全模型」，而 GPT-6 Cyber 是这套能力的产品化出口。把它们当成同一次发布，会误判时间顺序与因果关系。把安全能力单独产品化也不是孤例，站内此前梳理过谷歌 Gemini 4 Carbon 在网络安全方向的布局。

948 条提权路径是什么，不是什么

按官方描述，这条流水线分五段：静态扫描审计目标、在隔离环境动态复现、判定可利用性、生成候选补丁、人工复核。10 月中旬那次运行中，它从 2,308 个候选里确认了 1,724 个真实漏洞，最终产出 948 个本地提权（LPE）利用程序，另有 291 个信息泄露漏洞的概念验证程序。

成本写得相当具体：整轮消耗 1,213,430 美元 API 额度，摊到每个 LPE 约 1,279 美元。作为对照，6 月的 GPT-5.5 Cyber 只做出 24 个；7 月底的 GPT-5.6 Sol 在同一研究框架下是 166 个，花费 513,690 美元。这组数字也被央广网转载的报道复述过。

有三个数字容易被读错。948 不是新发现的零日数量，而是去重后、附带候选补丁的可用利用程序数；1,724 也不等于「已修复」，它只是动态复现成功。按官方口径，十天扫描结束时，上游已合入或进入暂存的修复超过 100 个，另有约 300 个仍在公开讨论。

还有一个细节值得记录。在早期一次运行里，利用阶段记录了 200 次成功提权，人工复核发现其中 20 次是通过另一个零日拿到 root，而不是任务指定的那个漏洞。OpenAI 随后收紧了任务约束，并加入独立校验。自动化产出依然依赖人工判读。

Firefox 的 81 个高危漏洞与公告口径的变化

公告称，GPT-6 Cyber 在 Firefox 中找出 81 个此前未知的高危漏洞，另有 30 个已登记问题的实际严重程度高于早先评估。OpenAI 把证据、可复现测试和候选补丁一并交给 Mozilla，后者在收到报告后陆续合入修复。

这条线索能在 Mozilla 侧交叉验证。MFSA 2026-118 对应 Firefox 159，发布于 10 月 27 日，可见条目约 120 条 CVE，高危占比很高。公告的 Reporter 字段中出现了 “OpenAI Codex Security” 以及 OpenAI 员工的署名。

但「约 120 条 CVE」不能直接当成「AI 找到了 120 个漏洞」。这份公告开头写明，Mozilla 改变了发布方式：不再把内部发现的内存安全问题合并成一个 CVE，而是每个 bug 单独发一条。条目变多，一部分来自口径变细，一部分才来自新发现。

把它与 81 这个数字对照，可以得出一个保守结论：AI 辅助发现的漏洞确实进入了正式公告与修复流程，但公开 CVE 数量已经不适合用来判断「漏洞是否变多」。读安全公告时，先看发布口径，再看数量。

48.5%、99.93% 与访问门槛

GPT-6 Cyber 在 ExploitGym 上得 48.5%，上一代 GPT-5.6 Cyber 是 32.1%，高出约 16 个百分点，官方表述为相对提升 51%。这项基准考的是：给定一个漏洞，模型能否对远程目标写出可用利用。

评测项	GPT-6 Cyber	对照
ExploitGym	48.5%	GPT-5.6 Cyber 32.1%
无源码 Web 渗透召回率	40.3%	GPT-6 Astra 32.0%
RemoteExploitBench 任务完成率	95%	GPT-6 Astra（Daybreak Blue）全部拒绝
范围外服务规避（无部署提示）	99.93%	GPT-5.6 Cyber 94.49%

99.93% 这个数字要反着读。剩下的 0.07% 意味着每一万次测试里约有 7 次越界；开启部署提示词后，官方称越界次数降为零。对一款会写内核提权利用的工具来说，这点余量本身就是风险，而不是可以忽略的小数点。越界也不是新话题，站内此前复盘过 AI 智能体越界事件，只是这次的风险面换成了漏洞利用。

评级随之上调。在 Preparedness Framework 下，GPT-6 Cyber 的网络安全能力被评为关键级（Critical），GPT-5.6 Cyber 是高（High）。这也是访问被收紧的直接原因：模型通过 API 和 Codex 向通过审核的 Daybreak Red 客户开放，API 默认要求 IP 白名单，之后再逐步扩到全部 Red 客户。

配套动作有两项。一是规模 10 亿美元的 Daybreak for Frontline Defenders 资助计划，面向政府机构与关键服务提供商；二是新增 Daybreak Red for Critical Infrastructure 分组，允许获批的关键基础设施防御方做授权测试。Dragos 在模拟电厂靶场中的评估显示，模型自行识别出 OT 资产，并在管理保护继电器数据的工程软件里发现两个零日。

官方公告没有给出价格、配额或获批客户名单，只说明初期通过 API 与 Codex 向部分 Red 客户开放。这些缺口意味着成本核算仍需等待后续文档，任何单价数字目前都只能算传闻。

分层授权与监管侧的收口方向是一致的。欧盟 AI Act 的透明度义务已进入执行阶段，站内对时间表有单独梳理，可作对照。

对开发者和运维意味着什么

把上面的数字翻译成动作，大概有这几条：

补丁优先级要重排。OpenAI 的原话是，对资源充足的攻击者而言，「持有低权限账户 + 系统未打补丁」在功能上接近 root 权限。
内存安全与提权类漏洞优先。Linux 侧的 948 个利用集中在 LPE，说明这条路径的可复制性在上升。
别按 CVE 条数判断风险。Mozilla 改为逐条发布后，同一批修复的编号会明显膨胀。
关注披露节奏而不是单个数字。304 个关键发现先报，其余分批交给 Patch the Planet 合作方。
自建同等流水线并不现实。百万美元级 API 成本之外，还有大量人工复核与上游沟通。

对普通站点维护者，可执行的动作仍然朴素：跟进发行版安全更新，缩短内核与浏览器的补丁窗口，限制本地低权限账户的数量与来源，对暴露在外的管理面加一层二次认证。这些做法不会因为模型变强而过时。

对安全团队，值得关注的是流程变化。过去「没有公开利用代码」可以作为缓期修复的理由，现在这个理由正在变薄。把可利用性验证前移到内部评估环节，比等待公开样本更划算。

本文适合关注 AI 安全能力的开发者、运维人员和安全研究者阅读，也可作为判断供应商安全说辞的参照。如果只记一个结论：能力提升是真实的，门槛同样真实——决定影响面的不是分数，而是谁能拿到它、用它测什么。

相关地址

以下为文中涉及项目的官方页面，版本号、数字与访问政策以这些页面为准。

GPT-6 Cyber 公告（OpenAI 官方博客）：https://openai.com/index/introducing-gpt-6-cyber/
Linux 内核漏洞流水线研究（OpenAI 官方博客）：https://openai.com/index/a-thousand-fewer-paths-to-root/
Firefox 159 安全公告（Mozilla 安全公告）：https://www.mozilla.org/en-US/security/advisories/mfsa2026-118/
Daybreak 网络安全方案（OpenAI 官网）：https://openai.com/business/solutions/cybersecurity/