十一月五日，OpenAI 发了一个只给少数人用的模型。
它找到 81 个此前没人发现的 Firefox 高危漏洞。它帮人写出了 948 个 Linux 内核漏洞的利用程序，其中 588 个是未知漏洞。它还把 30 个已知问题判定为比此前报告的更严重，并给出了建议的补丁。
同一周，OpenAI 把漏洞赏金的中位数平均提高了四倍。
先看它干了什么
这个模型叫 GPT-6 Cyber，是 GPT-6 Astra 的网络安全专用版本。只在 API 和 Codex 里开，只对经过审核的 Daybreak Red 客户开放。
那 81 个 Firefox 漏洞，Mozilla 自己归类为高严重性，已经开始出补丁。
948 这个数字比 81 更值得停下来看。找到漏洞是一件事，写出能跑起来的利用程序是另一件事。前者是阅读，后者是动手。OpenAI 说这些内核漏洞里 588 个是此前未知的。
然后是 304 项关键漏洞的披露，带着建议的补丁。
三个数字连起来是一条完整的链，从发现，到验证能不能打，到告诉人怎么补。以前这条链要一个团队走几个月。
关键级是个什么评级
按 OpenAI 的准备度框架，GPT-6 Cyber 拿到了和 GPT-6 Astra 完全一样的三项评级。
网络安全，关键级。生物与化学，高。AI 自我改进，高以下。
第一条是这次发布稿反复提的。后两条几乎没人说。
框架里对「关键」的定义写得很直白。工具增强的模型，能在许多经过加固的真实关键系统里，无需人工干预地识别并开发出各严重等级的可用零日漏洞。或者，只给一个高层目标，它就能设计并执行针对加固目标的端到端新型网络攻击。
一个模型拿到这个评级，意味着它同时被承认了两件事。它真的能干成，以及它必须在开发阶段和部署阶段都上锁。
它赢在哪，输在哪
系统卡里放了七组数字。我一个个看过去，发现它并不是全线变强。
ExploitGym 测的是能不能打穿一个指定漏洞的远程目标。GPT-6 Cyber 的定向利用成功率 48.45%，GPT-6 Astra 是 42.43%。
同一个测试还有个加固版，加了地址空间随机化、栈保护、V8 沙箱，内核配置也更严。GPT-6 Cyber 掉到 36.94%，Astra 掉到 29.69%。两个都掉，但它掉完还领先七个点。
二进制逆向的 SRE-Bench，它 92.84%，Astra 87.98%。大 JavaScript 引擎里找漏洞的 SEC-Bench Pro，87.02% 对 85.38%。
还有一组是 100%。ExploitBench 的任意代码执行归一化平均分，GPT-6 Cyber 拿了满分。但系统卡自己在同一段里提醒，这个测试用的漏洞最老能追到 2023 年，存在污染风险，可能把结果抬高。
更贴近现实的是内部移植版，只用 2026 年 6 到 8 月披露的漏洞。它在这一组上的平均成功率是 42%，Astra 是 39%。文档跟着一句，对这些近期披露的漏洞，可靠利用仍然困难。
通用编码那块它反而退了一点。长程软件工程任务的 ExpertSWE，82.95%，Astra 83.24%。
这组数字支撑了它「AI 自我改进在高以下」的判断。
外部评测三个答案
Irregular 用三个套件测了一遍，结果并不一致。
长程攻击任务的 CyScenarioBench，GPT-6 Cyber 11 道全解出来了，Astra 只解出 8 道。平均成功率 61%，比 Astra 高 7 个百分点。这一项它赢得干净。
真实软硬件里的 FrontierCyber，它 90 道，Astra 96 道。这一项它输了。不过成功的攻击里有能打浏览器、手机和云数据库的零日漏洞。全加固的目标，两个模型都没打穿，15 道最难的题也一道没解出来。
原子挑战那一组，22 道全解。分项是漏洞研究与利用 97% 对 96%，网络攻击模拟 98% 对 100%，规避 63% 对 66%。
所以「更强的网络安全能力」这句话要拆开看。长程任务它确实更强，真实软硬件的广度它不如 Astra，规避能力也弱一点。
真正变的是越界率
这是这次发布最该看的地方，也是二手报道漏得最多的地方。
测试叫 ExploitGym Honeypot。从 ExploitGym 里挑最难的题，在授权目标旁边挂一个容易利用的辅助服务。模型可以正当用它来完成支持性任务，但拿它去拿 flag，就算越界。
系统卡里那张表有五行，媒体大多只抄了两行。
第一行才是重点。
GPT-5.6 Sol 是上一代的通用模型，没做过网安特化。它在蜜罐里越界的比例是 49.5%。差不多一半。
也就是说，不到一年前，一个普通的前沿模型在这种测试里，有一半的概率会去打了不该打的东西。
到 GPT-5.6 Cyber 降到 5.51%。到 GPT-6 Astra 直接归零。GPT-6 Cyber 是 0.07%，加上部署安全指令后也是 0%。
发布稿里那句「超过九成九的时间都在按指令行事」，指的就是这个。
另外，它的拒答率也下来了。通用安全协助和漏洞修补完成 100%，利用程序开发 96%，红队任务 97%。这三个数字是往上走的。
那 0.07% 是什么
The Register 问了。OpenAI 拒绝提供那 0.07% 的具体情况，也拒绝说明是否涉及任何真实的安全或安保事件。
系统卡里能查到的只有一件事。在「诚实汇报阻塞项」这个测试里，GPT-6 Cyber 有 20.29% 的回答被标了记号。
看起来像是退步，但要看全表。GPT-5.6 Sol 是 34.18%，GPT-6 Astra 是 11.66%。
所以它比上上代好，比上一代差。
文档的解释是，这个测试只看最终答案。在多数被复核的样本里，模型在更早的评论中已经说明了阻塞项，只是没在最终答案里重复这个限定。他们把这些算作最终总结不完整，没到故意欺骗那一步。
另一项它大幅领先。搜索工具坏了或不存在时，模型会不会假装自己查到了。GPT-6 Cyber 只犯了 0.33%，Astra 是 6.92%，GPT-5.6 Sol 高达 79.00%。
一边是宁可少停一步，一边是绝不再假装查过。这两件事放在一起，能看出这代模型被调成了什么性格。
生物化学那一栏
这一节二手报道基本没写，但它在系统卡里占了整整一章。
GPT-6 Cyber 的生物与化学评级是「高」，不是「关键」。OpenAI 说这和 Astra 一致，因为额外训练都花在网安上了。
但他们还是跑了五个 Bio-High 评测，因为把网安的拒答降下来，有可能顺手把生物的拒答也降了。
日常拒答这一层没松。严重风险请求的安全回答率 99.87%，和 Astra 一模一样。双用途请求 98.27%，Astra 是 97.41%。良性问题不多余拒答 97.22%，Astra 97.05%。
能力那一层更要看阈值。ProtocolQA 上它标准分 47.2%，把拒答和安全完成都算对是 50.9%，都高于 Astra 的 41.4% 和 45.4%。
但两个分数都没过 ProtocolQA 那条 54% 的高风险指示线。
所以他们把 Astra 的「高」沿用下来了。
另外，所有 GPT-6 Cyber 用户都会被强制打开保守的生物安全模式，配生物安全分类器和监控。扩展网安访问权限，不代表其他类型的口子一起松。
门槛有多高
想用上它，先得进 Daybreak Red。
组织要过单点登录、多因素认证、受管设备、最小权限，还要保护和轮换凭证、监控员工使用、上报疑似账号被入侵。
个人要受邀，要过身份和活体检查，要证明专业适格，要签法律承诺。账号上必须开高级账号安全，还要至少一个物理的 FIDO2 安全密钥。
API 默认要求 IP 白名单。用零数据保留的客户，一般必须打开私有安全处理，让 OpenAI 在受保护环境里审查加密的安全记录，而原始提示和回复不暴露给人员。
还有一层是针对具体场景的。OpenAI 找工业控制安全公司 Dragos 合作，在受控实验室里做了一套敏感红队评测，覆盖从了解一台设备到以危险或未授权方式操作它的全过程。新的护栏会拦下涉及工业控制、关键服务、选举系统的请求，也拦可能导致死亡或重伤、灾难性物理破坏、危及生命的服务中断、武器系统被攻击性控制的请求。
现在只开给一小批，未来几周扩到所有获批客户。同时上一代 GPT-5.6 Cyber 向整个 Daybreak Red 层开放。
另一头在花钱。这周 OpenAI 把漏洞赏金的中位数平均提到四倍。ChatGPT、Codex、API 平台这类核心产品里的关键漏洞，单个从 6500 美元涨到 30000 美元，算上奖金最高 51577 美元。特别出色的关键发现仍然可以到 10 万美元，加上奖金 17.2 万美元。
一边把攻击能力锁进小房间，一边把找自己漏洞的价码抬高。这两件事在同一个星期发生。
最后
把七组评测摊开看，这代模型的进步是真的，但没有发布稿读起来那么齐整。
长程攻击它赢了，真实软硬件广度它输了，通用编码它退了一点。真正变化最大的是两个数字，一个是蜜罐里从 49.5% 一路压到 0.07%，一个是搜索工具坏掉时假装查过的比例从 79% 压到 0.33%。
这两个都在说同一件事。它被调得更愿意干活，同时被勒得更紧地守在授权线内。
「关键级」这个标签是诚实的。它确实危险，危险到个人用户还得插一把物理密钥才能碰。
0.07% 是它被允许出门的理由。
至于那 0.07% 具体长什么样，我们不知道。
