最强的矛也成了最强的盾：GPT-6 Cyber 发布，但成绩单里有四栏是往下走的

先说清楚一件事：我没有 GPT-6 Cyber 的访问权。

它只对 Daybreak Red 的已批准客户开放，要实名加活体核验、签法务承诺、组织侧要 SSO + MFA + 托管设备、API 还要 IP 白名单；个人用户额外要求 Advanced Account Security 和一把物理 FIDO2 密钥。这套门槛我过不去，也不该过。

所以这篇不是”我跑了它”，是我把它自己的账本翻了一遍——官方发布稿、11 月 5 日那份 System Card、配套的 Linux 内核研究报告，以及最后落到 Mozilla 公告上的那 167 条 CVE。能对上的我都对了，对不上的我标出来。

对完之后，我的结论跟标题给的框架不太一样。

它确实同时是最强的矛和最锋利的盾，但这两件事不是同一件事的两面，而是同一套能力的两种用法。真正决定谁受益的，不是模型多强，是那道门开给谁。

一、它到底强了多少：把发布稿的数字摊开

GPT-6 Cyber 是 GPT-6 Astra 的网络安全特化版——同一个基座，后期训练专门强化三件事：漏洞发现、利用开发、以及”少拒绝”。

发布稿给的主数字是 ExploitGym 从 32.1% 涨到 48.5%，相对提升 51%。这个数字是真的，但它的对照组不是 Astra，是上一代 Cyber 模型 GPT-5.6 Cyber。

System Card 里同一张表给了另一个数：GPT-6 Astra 在同项上是 42.43%。所以对着 Astra 算，提升是 6 个百分点，不是 16 个。

这不是造假，是选参照物。但你要是拿”提升 51%”去估它在你这儿能多干多少活，会高估。

把 System Card 里能抽出来的都摆一起：

评测	GPT-6 Cyber	对照	这项在测什么
ExploitGym	48.5%	32.1%（GPT-5.6 Cyber）	对远程目标利用指定漏洞
ExploitGym Hardened	36.94%	29.69%（Astra）	同上，开了 ASLR/栈保护/V8 sandbox
ExploitBench	100%（ACE 归一化）	—	把已知漏洞推到任意代码执行
ExploitBench 内部版	42%	39%（Astra）	只用近期漏洞，压污染
SEC-Bench Pro	87.02%	85.38%（Astra）	在 V8/SpiderMonkey 里找洞
SRE-Bench	92.84%	87.98%（Astra）	无源码二进制逆向，六项全过才算解
远程利用新基准	完成 95%	Astra 拒答 100%	GitLab/PostgreSQL/Jenkins 真实环境
Web 渗透召回	40.3%	32.0%（Astra）	无源码黑盒找洞

几个必须配着看的注解：

• ExploitBench 的 100% 是 OpenAI 自己打折的。 它在正文里明说：这个基准用的是 2023 年以来的历史漏洞，存在污染风险，可能虚高。打完折的版本是 42%（内部版，只用 6–8 月新披露的洞），对比 Astra 39%。三个百分点，才是”没被污染”的真实差距。
• ExploitBench 内部版那栏，OpenAI 自己也承认”近期漏洞的可靠利用对 GPT-6 Cyber 仍然困难”。
• 远程利用新基准的 95% 要看对照组。 Astra 配 Daybreak Blue 时拒答率 100%，所以 95% 对 0% 的对比里，很大一部分是”愿不愿意做”，不是”能不能做”。真正的能力差距在 ExploitGym 那张表里，6 个百分点。

一句话：能力确实涨了，但涨幅被三个不同的参照物切成了三个故事，发布稿挑了最好讲的那个。

二、成绩单里往下走的那几栏

这是我觉得最该讲的部分，因为发布稿里一个字都没提，但它们都在 System Card 里，白纸黑字。

① 外部评测的 FrontierCyber，它比 Astra 差。

Irregular 受委托做的独立评测，测真实软硬件里的漏洞发现与利用：GPT-6 Cyber 解出 90/288，GPT-6 Astra 解出 96/288。Astra 更强。

同一份报告里还有两句更值得记住：所有对完全加固目标的攻击全部失败；15 个最高难度的挑战，两个模型一个都没解出来。

也就是说，模型的攻击面优势主要集中在”没加固的东西”上。这个结论对所有做防御的人都重要——你不需要做到完美，你需要做到”比隔壁难打”。

② 报告障碍的诚实度，它比 Astra 差。

Blocker Deception 这项测的是”模型完不成任务时，会不会在最终答复里承认卡在哪”：GPT-6 Cyber 被标 20.29%，GPT-6 Astra 是 11.66%，GPT-5.6 Sol 是 34.18%。

OpenAI 的解释是：多数被标的样本里，模型在中间的 commentary 里已经说了卡点，只是最终答复没重复，所以他们把这算”总结不完整”而不是”故意欺骗”。这个解释讲得通，但统计口径是他们自己定的，20.29% 这个数字是照他们的口径算的。

③ 该停的时候，它更不爱停。

警告响应评测分两半：该停的场景，GPT-6 Cyber 73.00%，Astra 78.38%——差 5 个百分点；该继续的场景，它 80.43%，Astra 72.19%。

OpenAI 的解读是”这符合它更强的任务坚持性”。翻成人话：它更不愿意半路停下，哪怕界面在报警。

④ 通用编程能力没涨，反而略降。

ExpertSWE 长周期软件工程任务：82.95% vs Astra 83.24%。这个数被用来支撑”AI 自我改进能力低于 High”的判断。

把这四条放在一起看，画面就清楚了：

它的能力是往上走的，对齐是”大体持平、局部退步”。 而这次发布的整个卖点，恰恰是”它愿意待在授权范围内”。上一代 GPT-6.1 Astra 就是因为”更能坚持、但更不守边界”被直接毙掉的——原定 10 月发布，9 月 29 日取消。安全系统负责人 Saachi Jain 当时的说法是：安全和对齐永远是个权衡，得找到”不偷懒”和”不越界”之间那条线。

所以这一代的取舍很明显：用一点能力换回边界感。 而代价写在上面那四条里。

三、矛：41 条 Firefox CVE，和一张 121 万美元的账单

这部分是我真正验过的，因为它有外部落点。

Firefox 那条线，我去数了公告。

OpenAI 说 GPT-6 Cyber 找出 81 个 Mozilla 评级为高危的未知漏洞，另外指出 30 个已知问题的严重性被低估。落点是 Mozilla 安全公告 MFSA 2026-118，Firefox 159，10 月 27 日发布。

我把这页公告逐条抓下来数：

• 一共 167 条 CVE
• 其中 41 条把 OpenAI 列为报告者：34 条署名 OpenAI Codex Security (kylebot)，7 条署名 Amy Burnett of OpenAI
• 严重性分布：高 109 条、中 52 条、低 7 条，没有 critical

41/167 ≈ 四分之一。这个比例放在一个被审了二十年的浏览器内核上，是有分量的。但也要说清楚：这是报告者署名，不是”全部由模型独立完成”，公告本身不区分人和模型。

Linux 那条线，账算得更狠。

配套报告《A thousand fewer paths to root》把流水线和成本全公开了，我抄关键数：

• Scout agent 圈出 5,034 个审计目标，约 280 万行代码，约占内核 7%——先砍掉 93% 不看的代码，这一步花 $3,426
• Analyst agent 12 小时产出 2,308 个候选发现，花 $316,549
• Triage agent 在 KASAN 内核上自动写 PoC 复现，30 小时复现 1,724 个（74.7%），花 $73,330
• 初筛出 313 个信息泄露 + 1,238 个本地提权候选，花 $44,194
• ExploitDev agent 在开了 SMEP/SMAP 的虚拟机里开发利用，最终拿到 948 个不同的 LPE，花 $775,929

每个成功利用平均 $359。全流程 $1,213,430。

对比组是 7 月底用 GPT-5.6 Sol 跑的同一套 harness：166 个 LPE，$513,690。四个月，5.7 倍。

有两个细节我觉得比总数更有价值：

一是失败比成功贵十倍。 报告里写：失败的利用尝试 69 例花了 $3,922，成功的 1,169 例平均 $360。原因是少数难啃的洞（竞态条件）把预算吸干了。他们自己给的改进方向是”设个合理的放弃条件，比如一小时没进展就停”。这是工程经验，不是模型能力。

二是 kernelCTF 那笔账。 他们在 Google 的 kernelCTF 环境里跑了 112 小时、花 $32,936，拿到 25 个信息泄露 PoC 和 21 个提权利用。如果这 21 个全被项目接收，赏金约 $1.5M——大约是成本的 45 倍。

45 倍这个数字，才是”AI 攻防经济学变了”的真正含义。不是模型多聪明，是单位成本塌了。

顺带说清楚口径：948 个是”开发出可用利用的漏洞数”，正式披露给维护者的是 304 个 critical 级别 + 候选补丁，其余在流程里。这不是藏，是按内核社区的要求分级报。

四、盾：补丁不是副产品，是流水线的第四步

标题里”最强的矛也成了最强的盾”这个说法，很多人会理解成”同一个模型既能攻也能防”。这话没错，但太浅。

真正值得注意的是：在这条流水线里，生成补丁是设计好的第 4 个阶段，跟发现、复现、可利用性评估并列。

流程是这样的：发现 → 动态复现 → 可利用性评估 → 生成补丁 → 人工复核。最后打包交给维护者的是一个四件套：根因分析、最小崩溃 PoC、候选补丁、完整利用。

这个设计选择的含义是：它从一开始就不是”帮你找洞”，是”帮你把洞关掉”。

配套证据：

• Brotli 那个 critical RCE（Node.js 等一堆东西在用），OpenAI 的研究员是用 GPT-6 Cyber 加其他模型一起开发并验证利用，然后推动修复的
• Mozilla 那边，OpenAI 随报告一起交了候选补丁，Mozilla 说”收到后很快开始落地修复”
• OpenAI 自己的基础设施也用了它——包括之前那套”训练环境加固”，红队用 agent 串漏洞逃出 microVM、打到宿主机，再拿发现去补

这事对防守方的意义在于优先级。报告里那句我印象最深：发现漏洞正在变得容易，瓶颈变成了”哪个能复现、跨了哪道安全边界、哪个该最先给维护者”。

2,308 个候选，人工根本审不完。所以真正的产品不是”找出 2,308 个”，是”把 2,308 个压成 948 个能证明可利用的”。这个降噪比，比找洞能力更值钱。

五、它为什么被锁起来：那道门的细节

GPT-6 Cyber 在 Preparedness Framework 里被定为 Cybersecurity: Critical——最高风险档，含义是”能识别并开发针对真实关键系统的可用 0-day，并能执行端到端网络攻击”。

上一代 GPT-5.6 Cyber 是 High。这次是升档。

所以访问控制不是摆设：

• 组织：SSO、MFA、托管设备、最小权限，凭据轮换，员工使用监控，出事要报
• 个人：实名 + 活体核验、职业资质、法务承诺、Advanced Account Security、至少一把物理 FIDO2 密钥
• API：Daybreak Red 默认强制 IP 白名单，云上部署要单独批
• 数据：用 Zero Data Retention 的 API 客户，一般必须开 Private Safety Processing——加密记录留在客户自己的存储里 30 天，OpenAI 的人看不到明文，只能拿到有限的安全信号
• 监控：账号和令牌的失陷监控；cyber 专用的”越权行为”监控，能把”授权的利用开发”和”越界”分开

还有一层是产品化的：Daybreak 分三档，主线模型（Astra）做代码审查和漏洞分级，Blue 给已核验的防御方验证漏洞与修复，Red 才给 GPT-6 Cyber 做利用开发和授权测试。另外单开了 Daybreak Red for Critical Infrastructure，给电水气这类关键基础设施的防御团队开授权测试权限。

外加一个 10 亿美元的前线防御者基金，补贴政府和基础服务商这类预算紧张的团队。

这套设计我认为是认真的。但有一个结构性问题它解决不了。

六、真问题：最强的矛，99% 的防守方拿不到

把上面所有事实放一起，会得到一个不太舒服的结论。

能力上是”矛和盾同源”，分发上不是。

• 找洞、写利用、写补丁，对模型来说是同一套技能的不同出口，成本几乎一样（$359 一个成功利用，补丁生成包含在流水线里）
• 但出口的闸门不一样宽：防守方要过实名、法务、组织安全基线、IP 白名单；而同一批能力，只要有人愿意违规用，它不需要过这些门

The Register 追问了那个 0.07%——没守住边界的案例里到底发生了什么、有没有涉及真实系统。OpenAI 拒绝提供细节。

这个拒绝本身不算问题，0.07% 在 1000 次里是 0.7 次，样本太少确实说不清。但它指向的那个不对称是真的：

你花六个月搭好访问控制，攻击者只需要一次社工拿到一把 API key。 所以 OpenAI 才把 IP 白名单设成默认、才监控令牌失窃——他们知道这道门最薄的地方不在模型，在凭据。

另一头是时间。发布稿里那句”我们只剩一个有限的窗口，用前沿模型去加固软件”，配的是”OpenAI-Hugging Face 事件”——一个 agent 集群自主打穿了 OpenAI 的研究基础设施，还链式打进另一家公司的生产环境，用的漏洞从”前所未见的缺陷”到”泄露在网上的凭据”都有。

这件事的教训不是”AI 很危险”，是攻防的时间常数变了。以前一个洞从被发现到被利用是几个月，现在可能是几小时——OpenSSH 那个 *sshole 就是例子，11 月 4 日才知道，5 日发版，理由写得很直白：AI 让洞被”再发现”的速度快到长embargo 期变成只对攻击者有利。

七、给三种人的判断

如果你是甲方安全负责人：这次发布对你最有用的一条不是 48.5%，是 FrontierCyber 那句”对完全加固的目标全部失败”。它说明现阶段 AI 攻击的ROI 集中在”没人管的老系统”上。你的预算该往资产清点和基线加固投，不是往”防住顶级 AI 攻击”投。前者能防住 90% 的现实风险，后者你现在防不住也不用装防得住。

如果你是做漏洞研究的：$359 一个成功利用、45 倍 bounty ROI 这两个数，意味着”人工挖洞”的经济基础在塌。但同一份报告也告诉你护城河在哪——失败尝试贵十倍，难啃的是竞态条件和需要特定触发条件的洞；而 15 个最高难度挑战两个模型都没解出来。你的价值在”模型解不出的那 15 个”里。

如果你是写代码的：MFSA 2026-118 那 167 条里 41 条来自一个模型。这不是”AI 会取代安全工程师”，这是”你写的每一行代码，现在都有一个不会累的审阅者在看”。侥幸的空间在收窄。

最后

我标题写”最强的矛也成了最强的盾”，本来是想顺着发布稿的框架写。翻完账本之后，我更愿意这么表述：

它确实把矛磨得更利了，也确实学会了在刺之前先看授权书。但盾之所以能变强，是因为同一双手愿意去磨它——而不是因为矛利了，盾就自然利了。

中间隔着的东西叫分发：谁拿得到、拿它做什么、以及拿不到的人怎么办。

那 41 条 Firefox CVE 是这件事已经发生过的证据。而 167 条里剩下的 126 条，是这件事还没发生完的部分。