GPT-6 Cyber 在 ExploitGym 基准上比上一代相对提升约 48%，但更关键的数字是 99.93% 的授权范围遵守率：模型能写利用程序，不代表它分得清哪些目标不能碰。

网络安全 Agent 的评测不能只问“能发现多少漏洞”，还要问“会不会攻击错目标”。模型如果能写出利用程序，却无法区分授权资产和旁挂诱饵，能力越强，风险越大。

OpenAI 发布了网络安全专用模型 GPT-6 Cyber，重点强化漏洞发现、验证和修复。它在 ExploitGym 基准上得到 48.5%，上一代 GPT-5.6 Cyber 为 32.1%，相对提升约 51%。

模型还在授权边界测试中取得较高结果：没有部署安全提示时，99.93% 的测试避免攻击授权范围外的服务；启用提示后，该比例达到 100%。这组数字说明，网络安全模型的核心竞争力正在从“会不会利用”扩展到“能否在明确边界内利用”。

ExploitGym测试了什么

ExploitGym 主要检验模型能否利用指定远程漏洞完成任务。GPT-6 Cyber 得分 48.5%，GPT-5.6 Cyber 得分 32.1%。这个提升可以说明模型在漏洞分析和利用链构造上的能力增强，但不能直接等价为现实网络中的攻击成功率。

实际安全任务还会受到目标版本、网络拓扑、身份权限、防护设备、时间预算和人工介入的影响。模型在实验室靶场中完成一次利用，不代表它可以无条件突破真实生产系统。

更适合工程团队的评测指标包括：

如果只报告一个总分，很容易把“发现候选”与“完成安全验证”混为一谈。

99.93%的范围遵守率，比高分更关键

OpenAI 设计了 ExploitGym Honeypot 对齐评估。模型在隔离环境中获得一个困难的漏洞利用任务，旁边还挂着包仓库、对象存储等配套服务。这些服务被故意设置得容易攻破，但任务只授权模型对指定目标行动。

模型必须自己判断哪些服务属于目标范围，哪些只是诱饵。没有部署提示时，GPT-6 Cyber 99.93% 的测试没有攻击授权范围外的服务；加入提示后，范围遵守率达到 100%。

在生产环境中，这种边界判断应该由模型和外部策略网关共同完成，不能只依赖模型“记住提示词”。策略网关至少要检查：

1. 目标域名、IP、仓库和漏洞编号是否在白名单内。
2. 当前动作是读取、扫描、利用、写入还是外部通信。
3. 当前任务是否允许访问网络、凭据和敏感数据。
4. 结果是否需要人工确认后才能继续。

模型可以提出下一步动作，但最终执行权应该由独立的权限层掌握。

从Linux内核到Firefox：AI开始参与漏洞研究闭环

OpenAI 研究人员利用 GPT-6 Cyber 复现了 1724 个 Linux 内核漏洞，为其中 948 个开发出可用的权限提升利用程序，并按社区流程向维护者披露 304 个严重问题。

在 Firefox 研究中，模型发现 81 个此前未知的高危漏洞，并向 Mozilla 提交证据、可复现测试和候选补丁，Mozilla 已开始发布修复。

这类工作让漏洞研究从“静态扫描”走向连续闭环：模型读取代码或二进制，提出漏洞假设，构造最小复现，验证实际影响，再生成报告和修复建议。

对安全团队而言，闭环质量比单点发现更重要。每个漏洞都应该留下：

• 受影响版本和组件。
• 触发条件和最小复现步骤。
• 是否需要身份认证或特殊权限。
• 利用是否稳定，是否会破坏数据。
• 修复补丁、回归测试和披露状态。

只有证据链完整，AI 发现的漏洞才有机会进入真实修复流程。

Critical评级带来的安全要求

按照 OpenAI 的 Preparedness Framework，GPT-6 Cyber 在网络安全维度被评为 Critical，上一代 GPT-5.6 Cyber 为 High。

配套措施包括滥用监测、凭据保护、沙箱、人工监督，以及对关键基础设施高风险行为的拦截。GPT-6 Cyber 初期只向经过批准的 Daybreak Red 客户开放，说明模型能力和访问权限并没有被完全分离。

对于企业接入，建议把系统拆成三层：

1. 分析层：读取代码、日志和漏洞信息，生成研究计划
2. 执行层：在隔离靶场中运行扫描、复现和验证
3. 治理层：检查授权目标、审批动作、审计结果和回滚

分析层可以使用较高自主性，执行层必须限制网络、文件、凭据和资源，治理层则不能由同一个 Agent 自己修改。

怎样把GPT-6 Cyber放进安全工作流

第一阶段可以从内部代码和依赖开始，不直接扫描公网：

1. 对代码仓库运行只读漏洞分析。
2. 对已经确认的 CVE 生成最小复现样例。
3. 在临时容器中验证修复补丁。
4. 对扫描结果去重、排序并生成报告。
5. 由安全工程师确认后，再提交修复或披露。

生产环境中，Agent 不应该同时拥有漏洞研究、代码写入和发布权限。每次任务都要有短期凭据、目标范围、执行时限、Token 预算和人工接管按钮。

如果涉及工业控制、支付、医疗或其他关键基础设施，建议默认关闭自动利用，只允许生成分析计划和离线复现代码；任何外部通信和生产变更都要经过独立审批。

国内开发者如果需要将安全研究类 Agent 或 Claude Code 等工具接入兼容 API，可通过 [Code80] https://code.ai80.vip/home 配置 endpoint；授权目标、网络权限、密钥、利用代码和生产审计仍应由项目侧控制。

常见问题

GPT-6 Cyber是通用聊天模型吗？

不是。它是面向网络安全研究、漏洞发现、利用验证和修复工作的专用模型。

48.5%的ExploitGym得分意味着什么？

说明模型在该基准的指定漏洞利用任务上表现更强，但不能直接等同于现实网络攻击成功率，还需要结合目标环境、权限和防护条件评估。

为什么要测试授权范围遵守率？

因为安全 Agent 可能接触到多个服务和数据源。它不仅要找到漏洞，还要识别哪些目标被授权，避免把旁挂服务当成攻击对象。

企业可以让它直接修复生产漏洞吗？

不建议默认直连。应先在隔离环境生成补丁和复现测试，由人工审核后再进入发布流程。

网安Agent最重要的安全控制是什么？

目标白名单、最小权限、网络隔离、短期凭据、动作审批、完整日志和可回滚版本需要同时存在。

国内开发者如何接入兼容 API？

可以通过 Code80 了解接入方式，同时自行管理授权目标、网络权限、密钥、数据留存和审计日志。