OpenAIs hackning-AI klarar 95 procent av exploitkedjor — standardmodellen bara 1,5

GPT-5.6-Cyber hittade en allvarlig säkerhetsbrist i Chromes V8 JavaScript-motor under interna tester – en som inte hade offentliggjorts. Den identifierade också brister i mobila operativsystem, databaser och kärnmjukvara, alla tidigare okända. OpenAIs nya modell är inte ett defensivt verktyg. Den är byggd för att hacka.

Modellen tränades på GPT-5.6-Sol, OpenAIs nuvarande generella modell, och tränades sedan om specifikt för offensivt säkerhetsarbete. I OpenAIs interna Cyber Capability Evaluation-riktmärke genomförde GPT-5.6-Cyber 95 % av exploit-kedjeförfrågningarna – uppgifter som omfattar behörighetsutökning, autentiseringskringgående och exekvering av godtycklig kod. Standardversionen av GPT-5.6 genomför 1,5 % av samma förfrågningar. Den tidigare specialiserade modellen, GPT-5.5-Cyber, uppnådde 57,3 %.

Det hoppet – från 57,3 % till 95 % i en generation – är den siffra som definierar denna lansering. Det innebär att gapet mellan vad en AI kan göra och vad en skicklig mänsklig angripare kan göra minskade med ungefär 40 procentenheter på mindre än ett år.

GPT-5.6-Cybers specifika förmågor inkluderar att identifiera kända sårbarheter, bygga exploit-kedjor från grunden och hitta zero-days: brister som ingen har dokumenterat eller åtgärdat än. Den sista förmågan är det tydligaste avsteget från alla tidigare AI-säkerhetsverktyg. Att hitta zero-days kräver specialiserad expertis och betydande tid. GPT-5.6-Cyber kan nu göra det på begäran.

OpenAI släpper inte modellen offentligt. Åtkomsten går via Daybreak Red, den högre nivån av företagets Daybreak cybersäkerhetsprogram. Initiala partners inkluderar Accenture, IBM, CrowdStrike, Cloudflare, Palo Alto Networks, Sophos, Capgemini, EY, KPMG och PwC – stora konsult- och säkerhetsföretag som kommer att använda modellen för att skanna kunders infrastruktur innan angripare hittar samma brister.

Vad åtkomstkontrollerna inte svarar på är den svårare frågan: OpenAI bestämmer nu vem som får använda en AI som kan hitta sårbarheter i vilken programvara som helst. Den granskade listan består av stora företag och toppkonsulter. Enskilda säkerhetsforskare, mindre team och akademiska institutioner ingår inte i den inledande utrullningen. Chrome V8-bristen som hittades under testning omfattas av samordnad offentliggöring med Google – företaget har inte sagt hur många andra sårbarheter modellen identifierade innan lanseringen.

OpenAI uppger att man planerar att utöka Daybreak Red-programmet till ytterligare granskade partners under de kommande månaderna.

För mjukvaruindustrin är matematiken brutal: om en AI kan skanna en kodbas efter zero-days med en slutförandegrad på 95 % kommer varje säkerhetsteam så småningom att behöva en – eller måste anta att motståndare redan har tillgång till en.

Taggar: cybersäkerhet, OpenAI, AI-modeller, Zero-day, Daybreak, GPT-5.6-Cyber