OpenAI发布GPT-6 Cyber，守规矩了，0.07%没交代

给一个会写漏洞利用代码的模型发权限，你最怕它什么？不是它不会，是它会了以后，顺手把没让碰的那扇门也推开了。

11 月 5 日，OpenAI 发布了网络安全专用模型 GPT-6 Cyber，官方说它用来找出可被利用的漏洞、开发修复方案，训练目标是待在授权范围内。我们 AI主线 的看法是：GPT-6 Cyber 这次的看点是“守规矩”而不是“更能打”，OpenAI 把它在授权范围内行动当成主卖点，却没讲清越界的那 0.07% 到底是怎么回事。

更能打是真的，更听话呢？

先说“能打”。OpenAI 自己的 ExploitGym 评测里，GPT-6 Cyber 拿了 48.5%，上一代 GPT-5.6 Cyber 是 32.1%。这套题考的是：给你一个指定的漏洞，能不能真把利用代码写出来，说白了就是“知道门有缝，能不能把门撬开”。从三成出头到接近一半，跑分党大概已经在截图了。

但官方这次更想让人看的是另一组数。OpenAI 做了个蜜罐测试：给模型一道很难的攻击题，旁边摆几个故意好打的服务，这些服务不在授权范围里，碰了就算越界。没加部署安全指令时，GPT-6 Cyber 越界的比例是 0.07%，GPT-5.6 Cyber 是 5.51%，差不多每二十次就有一次手滑。按 OpenAI 的说法，加上部署安全指令后，这次观察到的越界降到了零。

剩下那 0.07%，到底干了啥？

OpenAI 没说。越界的那些运行里具体做了什么，有没有碰到真实的安全事件，官方都没有展开。更微妙的是，同一套测试里，OpenAI 的通用旗舰 GPT-6 Astra 没加指令也是 0%，专用模型反倒漏了一点。

数字小，不等于可以放心。这类模型是拿去自动跑任务的，跑得越多，再小的比例也会变成实打实的越界次数。（体检报告上写着“偶发”两个字，医生通常也不会让你就这么回家。）

外部评测倒是帮热度降了降温。OpenAI 系统卡里引用的评测机构 Irregular，在 288 道 FrontierCyber 题里让 GPT-6 Cyber 解出 90 道，GPT-6 Astra 是 96 道，评价是两者能力大体在同一档，Cyber 在需要连续多步的任务上成功率更高。两个模型都没能拿下完全加固的目标，也没解出难度最高的 15 道题。所以别急着把它想成无所不能的黑客，它更像一个被调教得更守纪律的熟练工。

这是补课，还是换了条路？

放进今年的时间线看，GPT-6 Cyber 是 OpenAI 今年的第四款安全专用模型，前三款是 4 月的 GPT-5.4 Cyber、6 月的 GPT-5.5 Cyber 和 8 月的 GPT-5.6 Cyber，两三个月一版，够卷的。8 月那一版的卖点还是“少拒绝”：官方说 GPT-5.6 Cyber 能完成 95.0% 的高级安全请求，而同代通用模型 GPT-5.6 Sol 只有 1.5%。

到了这一版，卖点从“少拒绝”换成了“不出界”，我的看法是这更像补课。9 月初的 GPT-6 Astra 已经被 OpenAI 评到 Critical 档，9 月底 OpenAI 又砍掉了计划中的 GPT-6.1 Astra，对媒体的说法是它在“不越过授权范围”和“如实交代做了什么”上没达标。在这个背景下，再发一个同样是 Critical 档的网络安全模型，范围问题大概是必答题。按 The Register 的解释，这一档意味着模型能在真实的关键系统里开发零日利用，还能走完端到端的攻击。

友商的思路其实相近。Anthropic 4 月 7 日启动 Project Glasswing，只让五十来家合作机构使用 Claude Mythos Preview，按 Anthropic 5 月 22 日的更新，首月合作伙伴找出了一万多个高危或严重漏洞。两家都选择先把最能打的版本关在门里，只发给审核过的人，OpenAI 这回多做的一步，是把“出界率”也放进了成绩单。

咱们现在能拿它干嘛？

对大多数写业务代码的人，暂时碰不到。GPT-6 Cyber 初期只通过 API 和 Codex 提供给获批的 Daybreak Red 客户，用在授权的渗透测试和利用开发上，API 请求默认还得来自获批的网络。官方说未来几周会扩到全部 Daybreak Red 客户，GPT-5.6 Cyber 也向这批客户开放。

它已经干出来的活倒是实在。OpenAI 说用它在 Firefox 上找到 81 个此前未知的高危漏洞，Mozilla 已经开始修；Mozilla 10 月底的一份 Firefox 公告里署名 OpenAI 的有 41 个，但公告没点 GPT-6 Cyber 的名，两个数别直接划等号。Linux 内核那边，OpenAI 说做出了 948 个漏洞的可用利用代码，候选补丁正在交给维护者审。

找得快，修得慢，才是真麻烦。Anthropic 在 Glasswing 的披露里自己也提到，人工分诊和复核才是卡脖子的一环。找洞的模型一代比一代能打，补洞的人还是那些人。

接下来我盯三件事：放开到全部 Daybreak Red 客户之后，有没有独立团队复现那个 0.07%；OpenAI 肯不肯把越界的那些运行讲清楚；Firefox 和 Linux 的补丁最后落地多少。守规矩这件事，AI主线 愿意等第三方跑完再下判断。