OpenAI از GPT-6 Cyber رونمایی کرد؛ مدل جدید در کشف آسیب‌پذیری‌ها قدرتمندتر شده است

شرکت OpenAI از مدل تخصصی GPT-6 Cyber رونمایی کرده است؛ مدلی که به گفته این شرکت، در شناسایی آسیب‌پذیری‌های نرم‌افزاری و توسعه اکسپلویت‌ها عملکرد بهتری دارد و در عین حال، با دقت بیشتری محدودیت‌های تعیین‌شده برای فعالیت‌های امنیتی را رعایت می‌کند.

این مدل برای استفاده تیم‌های امنیت سایبری و سازمان‌هایی طراحی شده است که می‌خواهند سامانه‌های دفاعی خود را آزمایش کنند، آسیب‌پذیری‌ها را بیابند و راهکارهای اصلاحی توسعه دهند. با این حال، دسترسی به GPT-6 Cyber محدود و نیازمند تأیید OpenAI است. قیمت API آن نیز از نرخ‌های اعلام‌شده برای برخی مدل‌های امنیتی رقیب از شرکت‌های Anthropic و Google بالاتر است.

بر اساس مستندات توسعه‌دهندگان OpenAI، هزینه استفاده از این مدل به ازای هر یک میلیون توکن ورودی ۲۰ دلار و به ازای هر یک میلیون توکن خروجی ۱۰۰ دلار است. نرخ توکن‌های ورودی ذخیره‌شده نیز ۲ دلار اعلام شده است. این قیمت‌ها، GPT-6 Cyber را در مقایسه با نسل قبلی و برخی محصولات رقیب در رده مدل‌های گران‌قیمت قرار می‌دهد.

 

دسترسی محدود از طریق برنامه امنیت سایبری OpenAI

GPT-6 Cyber در مرحله نخست از طریق برنامه Daybreak Red در اختیار مشتریان منتخب قرار می‌گیرد. این برنامه برای فعالیت‌های پیشرفته و مجاز امنیت سایبری طراحی شده است و افراد و سازمان‌ها برای درخواست دسترسی باید اطلاعاتی درباره نحوه استفاده موردنظر خود، از جمله گردش‌کارهای دفاعی و امنیتی، ارائه کنند.

OpenAI همچنین قصد دارد دسترسی به مدل GPT-6 Astra را از طریق برنامه گسترده‌تر Daybreak Blue توسعه دهد. این شرکت اعلام کرده است که تا ماه گذشته بیش از ۲ هزار نهاد را در برنامه‌های مرتبط با امنیت سایبری خود ثبت‌نام کرده، اما نام سازمان‌ها و افراد شرکت‌کننده را منتشر نکرده است.

 

بهبود عملکرد در کشف آسیب‌پذیری‌ها و توسعه اکسپلویت

OpenAI، GPT-6 Cyber را نسخه‌ای از مدل GPT-6 Astra می‌داند که با آموزش‌های تکمیلی برای تحقیقات امنیتی توسعه یافته است. در فرایند آموزش این مدل، موفقیت در فعالیت‌هایی مانند بازتولید خطاها و ساخت اکسپلویت، در کنار رعایت مجوزها و گزارش دقیق نتایج، مورد توجه قرار گرفته است.

این شرکت قابلیت‌های امنیت سایبری مدل جدید را در چارچوب آمادگی خود در سطح «بحرانی» ارزیابی کرده است؛ سطحی که برای GPT-5.6 Cyber نیز در ارزیابی قبلی در نظر گرفته شده بود. GPT-6 Astra هم در حال حاضر همین سطح را دارد.

در آزمون ExploitGym که توانایی مدل‌ها را در سوءاستفاده از آسیب‌پذیری‌های مشخص بررسی می‌کند، GPT-6 Cyber امتیاز ۴۸.۵ درصد را به دست آورد؛ در حالی که امتیاز GPT-5.6 Cyber برابر با ۳۲.۱ درصد بود. این نتیجه از افزایش ۱۶.۴ واحد درصدی و بهبود نسبی حدود ۵۱ درصدی حکایت دارد.

در آزمایشی دیگر که روی برنامه‌های وب و بدون دسترسی به کد منبع آن‌ها انجام شد، مدل جدید توانست ۴۰.۳ درصد آسیب‌پذیری‌ها را شناسایی کند. این رقم برای GPT-6 Astra برابر با ۳۲ درصد بود.

OpenAI همچنین معیار تازه‌ای به نام RemoteExploitBench معرفی کرده که آسیب‌پذیری‌های شناخته‌شده در نرم‌افزارهایی مانند GitLab، PostgreSQL و Jenkins را در بر می‌گیرد. GPT-6 Cyber توانست ۹۵ درصد وظایف این ارزیابی را انجام دهد؛ در حالی که نسخه Astra با تنظیمات دسترسی Daybreak Blue از انجام هیچ‌یک از وظایف خودداری کرد. این مقایسه علاوه بر توانایی مدل‌ها، محدودیت‌های ناشی از پیکربندی دسترسی آن‌ها را نیز منعکس می‌کند.

 

 

شواهد عملی از لینوکس و فایرفاکس

OpenAI برای نشان دادن کاربردهای عملی مدل جدید اعلام کرده است که پژوهشگران با کمک GPT-6 Cyber توانسته‌اند ۱۷۲۴ آسیب‌پذیری هسته لینوکس را بازتولید کنند و برای ۹۴۸ مورد از آن‌ها اکسپلویت‌های کاربردی بسازند. در شرایط آزمایشی مشابه، GPT-5.6 Sol برای ۱۶۶ مورد اکسپلویت تولید کرده بود.

این شرکت همچنین از افشای ۳۰۴ یافته با شدت بحرانی به همراه پیشنهادهایی برای اصلاح آن‌ها به نگهدارندگان هسته لینوکس خبر داده است. با این حال، تعداد اکسپلویت‌های تولیدشده را نباید معادل تعداد آسیب‌پذیری‌های ناشناخته یا اصلاح‌شده دانست.

در پروژه فایرفاکس نیز OpenAI از شناسایی ۸۱ آسیب‌پذیری پیش‌تر گزارش‌نشده خبر داده که موزیلا آن‌ها را با شدت بالا طبقه‌بندی کرده است. علاوه بر این، پژوهشگران شواهدی ارائه کرده‌اند که نشان می‌دهد ۳۰ مشکل شناخته‌شده دیگر نیز ممکن است به ارزیابی با شدت بالاتر نیاز داشته باشند. به گفته OpenAI، گزارش‌ها همراه با آزمایش‌های قابل تکرار و پیشنهادهای اصلاحی در اختیار موزیلا قرار گرفته و این شرکت فرایند رفع مشکلات را آغاز کرده است.

CodeRabbit، یکی از مشتریان OpenAI، نیز از عملکرد مثبت مدل جدید خبر داده است. مدیرعامل این شرکت اعلام کرده GPT-6 Cyber در آزمایش‌های امنیتی آن‌ها قوی‌ترین مدلی بوده که تاکنون بررسی کرده‌اند. طبق گزارش CodeRabbit، این مدل در مقایسه با مدل مورد استفاده قبلی این شرکت، ۶۶ درصد مشکلات با شدت متوسط و بالا را در معیار داخلی آن‌ها شناسایی کرده است.

 

GPT-6 Cyber در مقایسه با رقبا گران‌تر است

بررسی قیمت‌های استاندارد API نشان می‌دهد GPT-6 Cyber در مقایسه با چند مدل امنیتی رقیب، هزینه بیشتری دارد. هزینه توکن ورودی آن ۶۰ درصد و هزینه توکن خروجی آن حدود ۳۳ درصد بیشتر از GPT-5.6 Cyber است. همچنین نرخ پایه ورودی و خروجی آن دو برابر مدل Mythos 5.1 از Anthropic و پنج برابر Argon Cyber Permissive از Google اعلام شده است.

البته مقایسه قیمت توکن به‌تنهایی معیار کاملی برای سنجش هزینه نهایی تحقیقات امنیتی نیست. مدل‌ها ممکن است برای رسیدن به یک نتیجه معتبر، میزان متفاوتی از اطلاعات، استدلال و فراخوانی ابزارها را مصرف کنند. هزینه زیرساخت‌های آزمایشگاهی و بررسی نتایج توسط کارشناسان نیز در هزینه نهایی استقرار تأثیر دارد.

شرکت‌های رقیب نیز محصولات تخصصی خود را برای این حوزه توسعه داده‌اند. Anthropic با مدل Mythos 5.1 و سرویس Claude Security بر تحقیقات امنیت سایبری تمرکز کرده و دسترسی به قابلیت‌های پیشرفته را به سازمان‌های تأییدشده محدود می‌کند. گوگل نیز Argon Cyber Permissive را برای کشف آسیب‌پذیری، مهندسی معکوس، بررسی اکسپلویت و تولید وصله ارائه کرده است.

 

تأکید OpenAI بر رعایت محدوده مجوزها

یکی از محورهای اصلی توسعه GPT-6 Cyber، جلوگیری از انجام فعالیت‌های خارج از محدوده مجاز است. OpenAI در ارزیابی ExploitGym Honeypot، شرایطی شبیه‌سازی کرده که در آن سرویس‌های آسیب‌پذیر و وسوسه‌انگیز در کنار هدف مجاز قرار می‌گیرند. مدل باید تشخیص دهد که حمله به سرویس‌های خارج از محدوده تعیین‌شده مجاز نیست.

بر اساس نتایج اعلام‌شده، GPT-6 Cyber بدون دستورالعمل‌های ایمنی ویژه در ۹۹.۹۳ درصد آزمایش‌ها از حملات غیرمجاز اجتناب کرده است. این رقم برای GPT-5.6 Cyber برابر با ۹۴.۴۹ درصد بود. OpenAI همچنین می‌گوید مدل جدید با دریافت دستورالعمل‌های ایمنی، در تمام موارد آزمایش‌شده در محدوده مجاز باقی مانده است؛ هرچند این نتایج تضمینی برای رفتار مدل در شرایط واقعی نیستند.

OpenAI در کنار آموزش‌های ایمنی، کنترل‌های دسترسی و نظارت بر حساب‌ها را نیز اعمال می‌کند. دسترسی API از طریق Daybreak Red عموماً به تأیید نشانی‌های شبکه نیاز دارد. برخی مشتریان دارای قابلیت نگهداری صفر داده نیز باید از سازوکار Private Safety Processing استفاده کنند که سوابق تعامل رمزگذاری‌شده ذخیره‌شده نزد مشتری را برای مدت ۳۰ روز بررسی می‌کند.

این شرکت همچنین برنامه‌ای ویژه برای تیم‌های تأییدشده فعال در حوزه زیرساخت‌های حیاتی معرفی کرده و بر برنامه یک میلیارد دلاری خود برای یارانه‌دادن به دسترسی مدافعان امنیت سایبری با منابع محدود تأکید کرده است.

در مجموع، ارزش عملی GPT-6 Cyber تنها به توانایی آن در کشف آسیب‌پذیری یا ساخت اکسپلویت وابسته نیست؛ بلکه رعایت محدوده مجوزها، ارائه شواهد قابل بازتولید و تعداد یافته‌های معتبر نیز در ارزیابی آن اهمیت دارد. برای سازمان‌ها، این عوامل باید در کنار قیمت بالای استفاده از مدل و هزینه بررسی نتایج توسط متخصصان سنجیده شوند.