GPT-6 Cyber: ölçümleri anlamak ve güvenlik yamalarını doğrulamak

OpenAI, GPT-6 Cyber modelini 5 Kasım 2026’da duyurdu. İlk API ve Codex erişimi seçili Daybreak Red müşterilerine açılıyor. Ekipler için mesele, bulguları incelenmiş ve kullanıcılara ulaştırılmış düzeltmelere dönüştürmek.

Ne yayımlandı

Sistem kartı, modeli izinli güvenlik çalışmalarına özel bir GPT-6 Astra türevi olarak tanımlıyor. Erişim sınırlı. Duyuru her API hesabının kullanabileceği anlamına gelmiyor; burada tahmini model kimliği veya SDK çağrısı verilmiyor.

Sayılar nasıl okunmalı

ExploitGym sonucu 32.1% seviyesinden 48.5% seviyesine çıkıyor: 16.4 yüzde puan ya da yaklaşık 51.1% göreli artış. Belirtilen bir açığı kullanmak ile bilinmeyen bir kusuru bulmak farklı işler.

Kaynak kodsuz web değerlendirmesi 40.3% yakalama oranı bildiriyor; Astra için 32.0%. Bu oran yanlış alarmların yükünü göstermez. Hedef dağılımı, araç bütçesi, tekrarlar, insan müdahalesi ve kabul edilen bulgu başına maliyet sorulmalı. Bu site üretici değerlendirmelerini bağımsız olarak tekrarlamadı.

Linux ve Firefox: kanıtı izlemek

Linux raporu 2,308 aday, dinamik olarak yeniden üretilmiş 1,724 açık ve çalışan 948 yerel yetki yükseltme istismarını ayırıyor. Şüphe ile gözlemlenen yetki sınırı ihlali aynı kanıt gücünde değil. Yerel yükseltme önceden yerel erişim gerektirir; uzaktan kod yürütme değildir.

Çalışma 1,213,430 ABD doları API kredisi tüketmiş; çalışan yerel istismar başına yaklaşık 1,279 dolar. Bu ürün fiyatı veya toplam iş gücü maliyeti değil. Firefox duyurusu bileşenleri, önem düzeylerini ve hata bağlantılarını sunuyor. 27 Ekim tarihi model duyurusundan önce: keşif, bildirim, düzeltme ve lansman ayrı kaydedilmeli.

Yanıttan düzeltmeye

Şema yazarın süreç önerisi; resmî OpenAI mimarisi değil. Önce sürüm ve ortam sabitlenir. Model hipotez ve yama önerir; ayrı yürütücü sorunu yeniden üretir ve düzeltmeyi denetler.

Girdi, günlükler, komutlar ve diff saklanmalı. Aynı örnek yamadan önce başarısız, sonra başarılı olmalı; yakındaki geçerli davranışlar da regresyon testinden geçmeli. İşlevi kapatmak çöküşü gizlerken ürünü bozabilir.

Çalıştırılabilir kanıt denetimi

Kodu evidence-gate.ts olarak kaydedip bun run evidence-gate.ts çalıştırın. Ağ veya GPT-6 Cyber çağrısı yapmaz. Commit, ortam ve yama öncesi-sonrası sonuçlarını içeren yerel kaydı denetler.

type Finding = {
  id: string;
  commit: string;
  environment: string;
  before: number;
  after: number;
  regression: number;
  reviewer: string | null;
};

function readyForReview(f: Finding): boolean {
  return (
    /^[a-f0-9]{40}$/.test(f.commit) &&
    f.environment.trim().length > 0 &&
    f.before !== 0 &&
    f.after === 0 &&
    f.regression === 0
  );
}

const finding: Finding = {
  id: "LAB-001",
  commit: "a".repeat(40),
  environment: "isolated-vm / fixture-v1",
  before: 1,
  after: 0,
  regression: 0,
  reviewer: null,
};

if (!readyForReview(finding)) {
  throw new Error("Evidence incomplete");
}
console.log(
  JSON.stringify({
    id: finding.id,
    readyForReview: true,
    approved: finding.reviewer !== null,
  }),
);

Örnek readyForReview: true ve approved: false verir. Çıkış kodları güvenilir yürütücüden gelmeli. Denetim istismar edilebilirliği, yama doğruluğunu veya inceleyen kişinin kimliğini kanıtlamaz; doğrulanmış onay ve değişmez kanıt gerekir. Örnek commit gerçek test sürümüyle değiştirilmelidir.

Sınırları yürütme katmanında uygulamak

Duyuru, dağıtım istemleri olmadan 99.93%, bunlarla 100% kapsam uyumu bildiriyor. Bu bir test gözlemi, evrensel garanti değil. Sistem kartı siber yeteneği Critical sınıfına koyuyor.

Hedef izni, ağ çıkışı ve kimlik bilgileri model dışında denetlenmeli. Yürütücü sınırlı bütçeli ve atılabilir durumda olmalı. Depo veya web sayfasındaki talimatlar veridir; yeni yetki sağlamaz.

Pilot çalışmada ne ölçülmeli

Kendi deponuzda eşit sürüm ve bütçelerle karşılaştırın. Kabul edilen benzersiz bulguları, yeniden üretilebilirliği, inceleme süresini, yama kabulünü ve dağıtıma kadar geçen zamanı ölçün. Tekrarlanan uyarılar da kaynak tüketir.

Erişilemeyen şüpheli kod, düzeltilmiş hata, çöküşü gizleyen yama ve izinsiz hedef örnekleri ekleyin. Kanıt yoksa sistem belirsizliği koruyup durmalı. Bence öncelik rapor sayısı değil, yeniden üretilebilir bulgudan dağıtılmış düzeltmeye geçen süre.

Kaynaklar

Yazım ve çeviride yapay zekâ desteği kullanıldı. Kaynak bilgileri, örnek ve yazar önerileri ayrıştırıldı.