一款大模型，能在经过多年安全审查、被无数白帽子和自动化模糊测试工具反复碾压的 Firefox 浏览器里，一口气挖出 81 个此前从未曝光的高危漏洞。
这不是安全圈对“未来 AI 能力”的预测，而是 OpenAI 刚刚交出的实战成绩单。
2026 年 11 月 5 日，OpenAI 正式发布网络安全专用模型 GPT-6 Cyber。官方披露的两组数字最为刺眼：Firefox 81 个新漏洞，Linux 内核 948 条可实际运行的提权路径。前者让 Mozilla 启动修复并发布补丁，后者把上一代模型的漏洞利用开发能力拉开 5 倍以上。在检验模型能否针对指定漏洞在远程目标上完整执行利用流程的 ExploitGym 基准测试中，GPT-6 Cyber 拿到 48.5%，上一代 GPT-5.6 Cyber 是 32.1%，相对提升约 51%。
但真正值得警惕的不是“AI 会挖洞”，而是 AI 挖洞的成本和速度正在被重定价。当一款模型能规模化产出可运行的提权利用程序时，攻防两端的规则都要重写。
两份让安全圈失语的成绩单
GPT-6 Cyber 不是通用模型套上一层“安全模式”，而是专为漏洞发现、可利用性验证、攻击路径分析与安全修复训练的专用模型。OpenAI 在官方博客中披露的两组数据，直接把这条赛道的天花板往上顶了一大截。
浏览器战场。Firefox 是 Mozilla 长期维护的开源项目，代码常年暴露在安全研究者、模糊测试和自动化检测工具的目光之下。即便如此，GPT-6 Cyber 仍在一轮研究中发现 81 个此前未知、被 Mozilla 归类为高危级别的安全漏洞。模型还顺手翻了 30 个已知问题的旧案卷，拿出证据证明它们的严重程度可能被低估。OpenAI 把发现、可复现测试和候选补丁一并交给 Mozilla，后者已经开始修复，部分补丁已经发布。
操作系统战场。在 Linux 内核的测试中，GPT-6 Cyber 动态复现了 1724 个漏洞，并为其中 948 个开发出可以实际运行的提权利用程序。作为对照，上一代 GPT-5.6 Sol 在同等条件下只完成了 166 个。5 倍以上的差距，不是“更聪明一点”，而是从“能看懂代码”到“能动手利用”的代际差。OpenAI 已向内核维护者披露了 304 个关键发现，并附上候选补丁。
基准测试同样没有掉链子。在 ExploitGym 测试中，GPT-6 Cyber 拿到 48.5%，较 GPT-5.6 Cyber 的 32.1% 相对提升约 51%，绝对值拉开 16.4 个百分点。在另一项面向远程漏洞利用的评估 RemoteExploitBench 中，新模型完成了 95% 的测试任务。在更接近真实黑盒场景的 Web 渗透测试里，它的漏洞召回率达到 40.3%，比 GPT-6 Astra 的 32.0% 高出 8.3 个百分点。需要说明的是，这项对比是在 Astra 没有被限制执行任务的前提下取得的。
为什么是现在：AI 安全从“辅助审查”跨进“自主攻防”
过去几年，大模型在安全领域的角色一直是“副驾驶”：读代码、标风险、写补丁建议。这类工作有价值，但离真正的攻防还有距离。真正的门槛在于利用开发。把一个可疑的内存错误变成可以稳定执行、能拿到权限的 exploit，需要理解编译器行为、内核内存布局、缓解机制绕过路径，一步错就全盘崩。这也是为什么过去 AI 安全工具大多停留在“风险提示”层面。
GPT-6 Cyber 的意义在于，它第一次在规模化测试里跨过了这道门槛。948 个可运行提权利用程序，意味着模型不再只是“指出这里可能有问题”，而是能独立走完“发现、复现、利用、修复建议”的完整闭环。对防御方来说，这意味着漏洞从“被发现”到“被验证可利用”的时间被大幅压缩；对攻击方来说，这意味着高质量 exploit 的获取门槛被削平了一大截。
Firefox 杰出工程师 Brian Grinstead 在 OpenAI 发布文章里说了一句很克制但信息量很大的话：Firefox 进入 2026 年时已经是受到高度审查和加固的代码库之一。换句话说，这不是一个漏洞遍地的草台班子项目，而是被全球安全社区反复打磨过的成熟代码库。在这样的项目里还能持续挖出新的高危问题，说明前沿模型已经能在传统安全流程的盲区里稳定产出。
这也是 OpenAI 自己判断的窗口期。公司称，前沿模型正进入“用 AI 保护软件”的关键阶段，未来将扩大 Daybreak 计划覆盖面，帮助各类组织、独立研究人员和开源维护者开展漏洞研究、代码审查与补丁开发。
最强的矛，必须关进最严的笼子
能力越强，失控的代价越大。一个能自主开发提权利用程序的模型，如果落入恶意攻击者手中，等于把高级攻击团队的技术门槛直接削平。OpenAI 比谁都清楚这一点，所以这次把管控级别拉到了最高档。
在 Preparedness Framework（准备框架）下，GPT-6 Cyber 的网络安全能力评级被正式定为 Critical（关键级），上一代是 High。这是公司内部对模型滥用风险的最高级别标注。评级上调不是形式，它直接触发更严格的部署限制和监控要求。
管控手段也相应加码。在操作范围边界测试中，即便没有额外部署安全提示，模型在 99.93% 的测试里也完全没有尝试攻击授权范围之外的服务；加上安全提示后，这一比例达到 100%。从模型的思维链日志能看到，它已经内化了边界意识：会主动判断“只能针对指定的二进制文件或服务器”，主动排除“超出范围的凭据”。这种近乎完美的合规表现，说明边界控制不是靠事后拦截，而是被写进了模型的推理过程。
开放策略上，OpenAI 选择了极度克制的灰度。GPT-6 Cyber 目前尚未向公众全面开放，首批仅通过 API 和 Codex 面向经过严格审核的 Daybreak Red 客户，并配套滥用监测、凭证保护、沙箱隔离、人工监督，以及对电力、水处理设施和工业控制系统等关键基础设施高风险操作的访问限制。公司计划根据安全评估进展逐步扩大开放范围。
这套分级机制折射出大模型厂商的现实矛盾：安全模型越强，越能帮防御方提前堵洞，但也越可能降低攻击者的入门成本。如何验证用户资质、判断授权边界、监测异常使用，正在成为模型部署本身的一部分，而不是事后补丁。
竞争被点燃，开源生态进入“AI 审计”新常态
GPT-6 Cyber 的发布节点耐人寻味。就在约一周前，Anthropic 限量发布了自家安全工具 Mythos，并在操作系统、网页浏览器及其他软件中发现了数以千计的重大漏洞。两家头部厂商在网安 AI 上的贴身肉搏，把这场竞赛从“谁能聊天”推到了“谁能攻破真实系统”。对大模型厂商而言，安全能力不再是合规成本，而是可以拿来赢单的核心卖点。
竞争的直接受益者是开源生态。思科、Palo Alto Networks、CodeRabbit 等企业已经把 GPT-6 Cyber 用于漏洞研究、安全审查及相关防御工作。对独立维护者和中小团队来说，过去只有大厂安全团队才负担得起的深度审计，正在变成可获取的公共服务。OpenAI 明确表示，未来将扩大 Daybreak 计划覆盖面，帮助各类组织、独立研究人员和开源维护者开展漏洞研究、代码审查与补丁开发。
但这也会带来新的马太效应。能拿到模型访问权限的团队，软件质量会加速甩开拿不到的团队；而模型厂商对“谁有资格用”的裁量权，会无形中决定哪些项目先被保护。开源世界向来信奉“众人之眼让漏洞无处遁形”，但当这双眼睛变成需要审批才能借用的 AI 时，漏洞披露的节奏和优先级也要重新排队。
AI 挖洞时代的真正赢家
GPT-6 Cyber 交出的是一份攻防两端的分水岭式成绩单。对防御方，它意味着漏洞从“被发现”到“被修复”的周期会被大幅压缩，Mozilla 和 Linux 内核维护者这类开源守门人已经最先吃到红利：81 个 Firefox 高危漏洞和 304 个已向内核维护者披露的关键发现，都是实打实的修复进度。中期看，企业安全团队会把这类模型纳入日常审计流程，漏洞响应从“季度扫描”变成“持续 AI 审计”。
对攻击方，它意味着高质量 exploit 的获取成本正在快速下降。OpenAI 在公告里说了一句很冷静的话：在先进人工智能出现之前，数字基础设施多年来就已经存在漏洞，而威胁行为者正在尝试新颖的 AI 驱动方法。这句话的另一面是，防御者同样可以用 AI 跑在威胁行为者前面，前提是动作够快。
长期看，真正的赢家不是某个模型，而是那个能最快把 AI 挖洞能力制度化、规模化、并关进合规笼子的组织。GPT-6 Cyber 把 81 个 Firefox 高危漏洞摆到台面上，其实是在问整个行业一个问题：你的代码库，经得起 AI 审几轮？
AI 最强的矛已经铸成，现在的问题是：最强的盾，能不能跑得比矛快。在这场攻防赛跑里，慢一步的往往不是技术，而是那些还没把 AI 审计写进流程的人。
快报