GPT-6 Cyber: قراءة الاختبارات والتحقق من الإصلاحات الأمنية

أعلنت OpenAI عن GPT-6 Cyber في 5 نوفمبر 2026. يبدأ الوصول عبر API وCodex لعملاء مختارين من Daybreak Red. السؤال العملي للفريق هو كيف يحوّل الاكتشاف إلى إصلاح خضع للمراجعة ووصل إلى المستخدمين.

ما الذي أُطلق

تصفه بطاقة النظام بأنه نسخة من GPT-6 Astra متخصصة في أعمال الأمن المصرح بها. الوصول مقيد. الإعلان لا يعني إتاحته لكل حساب API، ولذلك لا نقدم معرّف نموذج أو استدعاء SDK مبنيًا على التخمين.

كيف نقرأ الأرقام

ارتفع ExploitGym من 32.1% إلى 48.5%، أي 16.4 نقطة مئوية أو تحسن نسبي يقارب 51.1%. استغلال ثغرة محددة واكتشاف خلل مجهول مهمتان مختلفتان.

يسجل اختبار الويب دون الشيفرة المصدرية استدعاءً قدره 40.3% مقابل 32.0% لـAstra. لا يكشف ذلك عبء الإنذارات الكاذبة. يجب السؤال عن توزيع الأهداف وميزانية الأدوات والمحاولات والتدخل البشري وتكلفة كل اكتشاف مقبول. لم يُعِد هذا الموقع اختبارات المورّد بصورة مستقلة.

تتبّع أدلة Linux وFirefox

يفصل تقرير Linux بين 2,308 نتائج مرشحة و1,724 ثغرة أُعيد إنتاجها و948 استغلالًا ناجحًا لرفع الصلاحيات محليًا. الاشتباه أضعف من إثبات تجاوز حدود الصلاحيات. الرفع المحلي يفترض وصولًا محليًا سابقًا ولا يساوي تنفيذ شيفرة عن بُعد.

استهلكت الحملة أرصدة API بقيمة 1,213,430 دولارًا أمريكيًا، نحو 1,279 لكل استغلال محلي ناجح. هذه ليست تسعيرة المنتج ولا التكلفة البشرية الكاملة. يتيح تنبيه Firefox مراجعة المكونات والخطورة وروابط العيوب. تاريخه 27 أكتوبر يسبق إطلاق النموذج؛ الاكتشاف والإفصاح والإصلاح والإعلان مراحل زمنية منفصلة.

من جواب النموذج إلى الإصلاح

المخطط اقتراح من الكاتب وليس بنية رسمية. ثبّت المراجعة والبيئة أولًا. يقترح النموذج فرضيات وتصحيحات، بينما يعيد منفّذ مستقل إنتاج المشكلة ويفحص الإصلاح.

احتفظ بالمدخلات والسجلات والأوامر والفروق. يجب أن تفشل الحالة نفسها قبل التصحيح وتنجح بعده، مع اختبارات رجعية للسلوك السليم القريب. تعطيل ميزة قد يخفي الانهيار ويعطّل المنتج في الوقت نفسه.

فحص أدلة قابل للتشغيل

احفظ الشيفرة باسم evidence-gate.ts وشغّل bun run evidence-gate.ts. لا تتصل بالشبكة أو GPT-6 Cyber. تفحص سجلًا محليًا يتضمن commit والبيئة والنتائج قبل التصحيح وبعده.

type Finding = {
  id: string;
  commit: string;
  environment: string;
  before: number;
  after: number;
  regression: number;
  reviewer: string | null;
};

function readyForReview(f: Finding): boolean {
  return (
    /^[a-f0-9]{40}$/.test(f.commit) &&
    f.environment.trim().length > 0 &&
    f.before !== 0 &&
    f.after === 0 &&
    f.regression === 0
  );
}

const finding: Finding = {
  id: "LAB-001",
  commit: "a".repeat(40),
  environment: "isolated-vm / fixture-v1",
  before: 1,
  after: 0,
  regression: 0,
  reviewer: null,
};

if (!readyForReview(finding)) {
  throw new Error("Evidence incomplete");
}
console.log(
  JSON.stringify({
    id: finding.id,
    readyForReview: true,
    approved: finding.reviewer !== null,
  }),
);

يطبع المثال readyForReview: true وapproved: false. يجب أن تأتي رموز الخروج من منفّذ موثوق. هذا الفحص لا يثبت قابلية الاستغلال أو صحة التصحيح أو هوية المراجع؛ يلزم اعتماد موثّق وأدلة غير قابلة للتغيير. استبدل commit الافتراضي بالمراجعة المختبرة فعليًا.

فرض الحدود في طبقة التنفيذ

يذكر الإعلان التزامًا بالنطاق بنسبة 99.93% دون تعليمات النشر و100% معها. هذه ملاحظة ضمن اختبار وليست ضمانًا شاملًا. تصنف البطاقة القدرة السيبرانية بمستوى Critical.

اضبط تصريح الأهداف وخروج الشبكة وبيانات الاعتماد خارج النموذج. يحتاج المنفّذ إلى ميزانية محدودة وحالة قابلة للتخلص منها. تعليمات المستودع أو الصفحات الخارجية بيانات، وليست إذنًا جديدًا.

قياس التجربة الأولية

ابدأ بمستودع تملكه وقارن مراجعات وميزانيات متساوية. قس الاكتشافات الفريدة المقبولة وقابلية إعادة الإنتاج ووقت المراجعة وقبول التصحيحات والوقت حتى النشر. البلاغات المكررة تستهلك الموارد أيضًا.

أضف شيفرة مشبوهة غير قابلة للوصول وعيبًا أُصلح وتصحيحًا يخفي الانهيار وهدفًا غير مصرح به. عند نقص الدليل يجب الحفاظ على عدم اليقين والتوقف. أرى أن المعيار الأهم هو الزمن من اكتشاف قابل للتكرار إلى إصلاح منشور.

المراجع

استُخدم الذكاء الاصطناعي للمساعدة في الصياغة والترجمة. فُصلت حقائق المصادر عن المثال وتوصيات الكاتب.