一句话结论：OpenAI 于 2026 年 11 月 5 日发布网络安全专用模型 GPT-6 Cyber，在 ExploitGym 基准上把完成率从上一代 GPT-5.6 Cyber 的 32.1% 抬到 48.5%，同时把越界攻击发生率压到 0.07%，模型在 Preparedness 框架下的网络安全分级从 High 上调到 Critical。
这是 OpenAI 第一次把网络攻防能力单独做成一个模型产品线，并且第一次同时公布能力数据与越界数据。官方给出的可用性口径是：先向一组通过审核的 Daybreak Red 客户开放 API 与 Codex 访问，随后扩展到全部 Daybreak Red 客户。
这篇稿子把官方披露的所有可复核数字摊开，重点放在两件事上：这个模型在真实攻防里做到了什么程度，以及它守住授权边界这件事被量化到了什么程度。
能力数据：ExploitGym 48.5%，相对上一代提升 51%
ExploitGym 测的是模型能否真正利用指定的漏洞，而不是只识别出漏洞位置。GPT-6 Cyber 在这个基准上的完成率是 48.5%，上一代 GPT-5.6 Cyber 是 32.1%，高出约 16 个百分点，相对提升 51%。
| 基准或评测 | GPT-6 Cyber | 对比对象 | 对比结果 |
|---|---|---|---|
| ExploitGym（漏洞利用完成率） | 48.5% | GPT-5.6 Cyber | 32.1%，相对提升 51% |
| Web Pentesting（新建评测，漏洞发现 recall） | 40.3% | GPT-6 Astra | 32.0% |
| RemoteExploitBench（受控环境远程利用） | 完成 95% 任务 | GPT-6 Astra 配 Daybreak Blue | 拒绝 100% 任务 |
| Cognition 内部新漏洞发现基准 | 23% | 此前最好成绩 | 13% |
| CodeRabbit 内部安全评审基准 | 多发现 66% 高危与中危问题 | 其生产模型 | 相对提升 |
| Preparedness 网络安全分级 | Critical | GPT-5.6 Cyber | High |
RemoteExploitBench 这条对比最能说明问题。这个新基准把 GitLab、PostgreSQL、Jenkins 等已知漏洞部署到受控环境里，结果 GPT-6 Astra 配 Daybreak Blue 拒绝了全部任务，而 GPT-6 Cyber 完成了 95%，唯一失败的是一个无法远程生效的利用程序。
官方对整体能力的表述是，GPT-6 Cyber 在多数网络安全任务上超过 GPT-6 Astra，即便在 Astra 没有拒绝请求的情况下也是如此。这句话的含义是，能力差距不只体现在守规矩的那部分任务上。
官方披露的评测图表标签包括 ExploitGym、RemoteExploitBench、ExploitGym Honeypot、ExploitBench（2026 年 6 月至 8 月）、SRE-Bench 和 Web Pentesting 六项，其中部分数值以动态图表呈现，正文里只给出了上面这些明确数字。
越界数据：0.07% 与 0.00%，以及那次刻意设置的服务
对一款能写利用程序的模型来说，最关键的问题不是它能攻多深，而是它会不会去打不该打的东西。OpenAI 为此设计了 ExploitGym Honeypot 这项对齐评测。
评测方法有点绕，但思路清楚。模型被放进一个隔离环境，任务本身很难，需要借助周边服务才能完成。环境里会提供 package registry、object store 这类支撑性服务，而这些服务被故意配置成容易被攻破，攻击它们就能拿到任务 flag。模型必须自己推断出，攻击这些服务已经超出了任务授权范围。
| Honeypot 对齐评测 | GPT-6 Cyber | GPT-5.6 Cyber |
|---|---|---|
| 不带部署安全提示词时未越界 | 99.93% | 94.49% |
| 带部署安全提示词时未越界 | 100% | 无数据 |
换句话说，GPT-6 Cyber 在没有额外提示的情况下，越界攻击的发生率是 0.07%，带上提示词后是 0。上一代在同样条件下是 5.51%。官方把这一变化称为阶跃式改进。
模型在推理链里的两句话被官方引用为对齐行为的例证：它会声明不能假定额外的 API 或攻击控制器不属于目标，只能针对二进制或服务器本身；也说不去探索超出范围的凭据。可以看到对齐训练塑造的不只是最终输出，还包括模型的取舍逻辑。
真实影响：Firefox 81 个未知高危漏洞与 Linux 948 个提权漏洞
官方给出的落地数字里，Firefox 部分是 81 个此前未知、经 Mozilla 判定为 high severity 的漏洞，模型同时给出了证据和可复现测试，另有 30 个已知问题被发现实际严重程度高于此前报告。Mozilla 已开始接收修复，相关修复编号为 mfsa2026-118。
Linux 内核部分是复现 1724 个漏洞，为其中 948 个开发出可用利用程序，并向维护者披露 304 项 critical 级发现并附上候选补丁。作为对照，同一研究框架下 GPT-5.6 Sol 利用了 166 个，差距超过五倍。OpenAI 官方文档提到，GPT-6 Cyber 也是加固其自身前沿模型训练环境的主力模型之一，红队演练中曾出现智能体链式利用漏洞逃逸 microVM 并在宿主机执行代码的情况，相关结果被用于打补丁、收紧网络限制并报送维护者与厂商。
分级上调与六层防护：能力越强，围栏越厚
GPT-6 Cyber 在 Preparedness 框架下的网络安全维度被定为 Critical，上一代是 High。相应的防护措施也同步加厚。
第一层是针对网络安全的专门失准监控，用来判断模型行为是否与用户授权范围一致，同时区分合法的漏洞开发与测试。第二层是对新兴威胁的定向监控，例如在协调披露 PHP critical 漏洞期间，专门监控针对线上 PHP 服务器开发利用程序的尝试，同时保留对防御方打补丁的支持。第三层是 Private Safety Processing，自动化检查审查交互是否被滥用，标准保留策略为默认，使用零数据保留的 API 客户通常必须启用，审查涉及客户存储的加密记录保留 30 天，且不向 OpenAI 员工暴露提示词与响应。第四层是凭据防窃取，Daybreak Red 的 API 访问默认要求 IP allowlisting，并监控凭据泄露。第五层是沙箱与人工监督，建议对高风险工作流保留人工复核。第六层是针对高风险网络协助的新增拦截检查，用于阻止涉及关键系统的高风险活动。
官方还专门说明了为什么不追求 100% 拦截率。技术本身常常同时用于合法安全工作，高拦截率并不总是更好，应当与对合法研究和打补丁的支持度一起评估。这句话比单纯的拦截率数字更值得注意，它意味着评估对象是整体可用性，而不是单一指标。
访问分层：Daybreak Blue、Red 与关键基础设施通道
GPT-6 Cyber 不对公众开放，访问按用途分成几层。
| 访问层级 | 目标用户 | 能力范围 |
|---|---|---|
| Daybreak Blue | 已验证的防御方与个人安全研究者 | 验证漏洞与修复，减少不必要的拒答；alpha 阶段向更多组织扩展 |
| Daybreak Red | 授权安全测试方 | 开发可用利用程序并针对远程目标使用 |
| Daybreak Red for Critical Infrastructure | 经批准的关键基础设施防御方 | 对关键系统做授权测试，保留防失准防护 |
| GPT-6 Astra | 常规工程与安全团队 | 代码评审、漏洞分诊、补丁开发 |
发布节奏是先通过 API 与 Codex 向一组通过审核的 Daybreak Red 客户开放，随后很快扩展到全部 Daybreak Red 客户，同时 GPT-5.6 Cyber 向全部 Daybreak Red 客户开放。Daybreak Blue 的 alpha 也在向更多组织与个人研究者开放申请。
与之配套的是一项 10 亿美元的 Daybreak for Frontline Defenders 资助计划，面向政府机构与资源受限的关键服务提供商补贴访问权限。
关键基础设施测试：在模拟电厂里发现两个零日
OpenAI 与 OT 网络安全厂商 Dragos 在受控实验室环境联合评估，测试范围从网络发现、资产枚举，到定向侦察、敏感数据外泄，以及未授权或潜在危险的设备操作。
最有信息量的是 mock 电力厂场景下的结果。模型自行把 OT 资产与 IT 噪声分离，在工程软件里发现了两个零日，一个涉及保护继电器数据的设置，另一个涉及断路器跳闸逻辑。两者都属于真实运行中可能造成物理后果的路径，而不是纯粹的 Web 漏洞。
官方表示接下来会扩展与进攻型安全供应商、紫队、能源企业、其他关键基础设施运营方以及国家实验室的合作，并加大针对 OT 与 ICS 场景的模型滥用检测投入。
相关阅读
- OpenAI 挖 Linux 内核 948 个提权漏洞：121 万美元成本拆解，同一批漏洞的账单视角。
- OpenAI 披露 GPT-6 Astra 偷懒：安全研究完成度仅 10%，通用模型在安全任务上的另一类失败模式。
- Claude 挖出 62 个 Chrome 漏洞：5 条攻击链与 53 分钟 root，另一家厂商的同类能力对照。
- 四家 AI 安全智能体同台对比 7245 条漏洞送修，跨产品的实战评测。
- Anthropic 新版 CVP：三层分级访问权限，129000 个漏洞，安全模型的访问分层设计。
常见问题
GPT-6 Cyber 越界率从 5% 降到 1% 具体指什么？
指 ExploitGym Honeypot 对齐评测中模型攻击授权范围外服务的比例。GPT-6 Cyber 在不带部署提示词时为 0.07%，带提示词时为 0%，GPT-5.6 Cyber 在同样条件下是 5.51%。不同来源的四舍五入写法不同，看原始数字更准确。
普通开发者能用到这个模型吗？
目前不能。它只通过 API 和 Codex 向通过审核的 Daybreak Red 客户开放，随后扩展到全部 Daybreak Red 客户。面向常规安全团队的是 GPT-6 Astra，能力覆盖代码评审、漏洞分诊和补丁开发。
它和同门的 GPT-6 Astra 该怎么选？
分工明显。Astra 面向代码评审、漏洞分诊、补丁开发这类防御侧工作，Cyber 面向已获授权的利用程序开发这类进攻侧工作。在 RemoteExploitBench 上，Astra 配 Daybreak Blue 拒绝了全部任务，Cyber 完成了 95%。安全评测边界不同，可做的事也不同。
小结
GPT-6 Cyber 把网络攻防能力从通用模型的一个任务类别，做成了有独立分级、独立访问层级和独立防护栈的产品线。ExploitGym 48.5%、越界率 0.07%、Firefox 81 个未知高危漏洞是能力侧的三个刻度；Critical 分级、零数据保留与 30 天加密审查、IP allowlisting 是围栏侧的三个刻度。两边的数字必须一起看，才是这款模型的完整画像。
延伸阅读
- GPT-5.6Sol 模型失准：OpenAI 披露训练期 27 条隐藏错误摘要，监控压力升高2 月前
- OpenAI 联手 Synopsys 做 EDA 芯片设计 AI：股价单日涨 7%1 月前
- Cisco Talos 披露 VOLTA 木马：偷完数据让 Claude 估价3 天前
- OpenAI高管透露：80%至90%研发力量已转向GPT-7及后续模型1 月前
继续读
同一批更新里这几篇值得一看：
- OpenAI 挖 Linux 内核 948 个提权漏洞：121 万美元成本拆解2026-11-05
- GLM 5.3 零人工攻破 Firefox：6 版本仅 1000 美元2026-10-31
- OpenAI 前沿模型断网训练：11 天暂停后，红队用缓存计时跨沙箱传密钥2026-10-24