OpenAI הציגה את GPT-6 Cyber למחקר אבטחה מורשה. הגישה הראשונית דרך API ו־Codex מוגבלת ללקוחות נבחרים ומאושרים של Daybreak Red; הרחבה ללקוחות Red נוספים מתוכננת בהמשך. זוהי השקה מוגבלת. הכרזת ההשקה.
לצוות אבטחה, ההחלטה הראשונה היא איזו עבודה ראויה לניסוי מבוקר ואילו ראיות יצדיקו הסתמכות על התוצאות. גם עוזר מחקר בעל יכולות משופרות זקוק למסלול ברור מממצא לתיקון שעבר סקירה ובדיקה.
קראו את התוצאות בהקשר
OpenAI מדווחת על 48.5% ב־ExploitGym לעומת 32.1% ל־GPT-5.6 Cyber, בבדיקת ניצול חולשות מוגדרות. הערכות הספק מתארות משימות מבוקרות, לא שיעור הצלחה במערכות שלכם. המדד שדווח.
כרטיס המערכת מ־5 בנובמבר מסווג את יכולת הסייבר של המודל כ־Critical במסגרת ההיערכות של OpenAI. הוא מציג גם מגבלות: Cyber נטה לעצור פחות מ־Astra במבחן אזהרות שבו היה נכון לעצור. פרטי המדידה עשויים להשתנות, ולכן ציונים מכרטיסים ישנים אינם בהכרח בני־השוואה.
זהו סיווג של יכולת המודל, לא דירוג חומרה של חולשה בתשתית שלכם. ציון טוב מצדיק לבחון כלי; הוא אינו מוכיח שממצא מסוים נכון או שתהליך ללא השגחה בטוח.
בדקו גישה וטיפול בנתונים
הכרטיס מתאר אימות זהות ודרישות ארגוניות, ובהן SSO, אימות רב־שלבי, התקנים מנוהלים וגישה בהרשאות מצומצמות. לקוחות API המשתמשים ב־Zero Data Retention נדרשים בדרך כלל ל־Private Safety Processing. בקרות הגישה.
גישת API ב־Daybreak Red מחייבת כברירת מחדל רשימת IP מורשית, עם חריגים מוגבלים. דרישת הגישה מהרשת.
תיעוד PSP של OpenAI מתאר רשומות בטיחות מוצפנות באחסון שבשליטת הלקוח, שנשמרות לפחות 30 ימים, ובדיקה אוטומטית בסביבת ריצה מוגנת החוסמת גישה אנושית. אותות בטיחות מוגבלים ומטא־נתונים תפעוליים יכולים לצאת מהסביבה. הפעלת PSP מחילה את המדיניות על כל תעבורת ה־API בפרויקט, ולא רק על מודלים המחייבים אותה.
הגדירו מה ניסוי מועיל צריך לספק
אלה בדיקות קבלה מוצעות, לא תוצאות מניסוי שביצענו:
- הגדירו קודם את ההחלטה. קבעו מי מתחזק את המערכת ויקבל או ידחה ממצא. הסכימו אילו ראיות דרושות לו לפני שצוברים תור ארוך של דיווחים.
- שמרו תיעוד שאפשר לשחזר. צרפו גרסה מושפעת, תנאי בדיקה, תוצאה שנצפתה והנחות שלא נפתרו. השאירו חומר סודי בערוץ הדיווח המאושר.
- הפרידו בין גילוי לסיום. עקבו בנפרד אחר דיווח, ממצא מאומת, תיקון מוצע ותיקון שנבדק. הצעת תיקון אינה סוגרת את קריאת השירות.
- סקרו את זרימת הנתונים. בקשו מהצוות האחראי לאשר את תצורת הפרויקט בפועל ואת אחריות השמירה לפני שליחת קוד קנייני או חומר חקירה.
שפטו ניסוי לפי איכות ההחלטות שהוא מאפשר והעבודה הדרושה לאימות הפלט, ולא רק לפי מספר הממצאים. תעדו כישלונות ותוצאות לא חד־משמעיות לצד הצלחות.