GPT-6 Cyber 刚发布：漏洞挖掘成本降到千美元

导语：11 月 5 日，OpenAI 刚发布网络安全专用模型 GPT-6 Cyber，首批只向审核通过的 Daybreak Red 客户提供。官方数据是三个：在 Firefox 中发现 81 个此前未知的高危漏洞，在 Linux 内核上批量生成 948 条可用的本地提权利用链，单次运行 API 成本 121.3 万美元。这三个数字背后是运行机制和准入安排，中国安全模型在同一张参照系里的位置也需要重新校准。

一、这次发布实际交付了什么

GPT-6 Cyber 是 GPT-6 Astra 的网络安全分支，配套发布了系统卡，写明训练方式、评测设置和访问限制。目前不面向公众开放，只能通过 API 和 Codex 接入 Daybreak Red 层级的授权客户。Daybreak 是 OpenAI 今年 5 月推出的分级计划，面向漏洞利用开发和授权安全测试。

Firefox 一侧，OpenAI 研究人员提交了 81 个此前未知、被 Mozilla 判定为高危的漏洞，同时指出另有 30 个已知问题的实际严重性此前被低估，Mozilla 已开始发布修复。Linux 内核一侧，模型在受控流水线中复现 1,724 个漏洞，为其中 948 个生成了可用的本地提权利用链，948 个里有 588 个此前未被公开。已向内核维护者披露 304 条关键发现，并附上候选补丁。

“948 条提权路径”指的是本地提权，攻击者需要先在机器上拿到一个低权限账户。它不等于从公网直接接管任意 Linux 服务器。但对以服务进程身份运行、缺少容器隔离的企业环境来说，这个前提条件不构成实质门槛。

有一组数字在发布通稿里不显眼但含义明确：OpenAI 同周把漏洞赏金的中位区间整体提高约四倍，ChatGPT、Codex 和 API 平台的严重漏洞最高给到 3 万美元，含奖励约 5.16 万美元，此前是 6500 美元；特别严重的最高 10 万美元，含奖励约 17.2 万美元。一个模型和一个赏金市场同时加码，说明白帽研究者的注意力正在变成需要竞价争夺的资源。

二、千美元是怎么算出来的

OpenAI 这次同步公开了运行的成本构成。10 月中旬的一次运行由 scout、analyst、triage、exploit development 几级智能体串行完成。

scout 划定 5,034 个审计目标，约 280 万行代码，占一个 4,000 万行内核的 7%。analyst 在 12 小时内产出 2,308 条候选发现。triage 编写让内核崩溃的程序，在开启 KASAN 的隔离虚拟机里跑了 30 小时，复现 1,724 条，确认率 74.7%；未确认的候选中，3.1% 源于模型推理错误，其余卡在难以按需触发的竞态条件上。exploit development 阶段在开启 SMEP、SMAP、KASLR、HARDENED_USERCOPY 的标准桌面发行版上，开发出 1,169 条可用提权利用和 291 条信息泄露 PoC，按根因归并为 948 个不同漏洞。全程只有末尾的人工复核环节。

各阶段的 API 花费：scout 3,426 美元，analyst 316,549 美元，validation 73,330 美元，screening 44,194 美元，exploit development 775,929 美元，合计 1,213,430 美元。折合每个去重漏洞约 1,279 美元，单条成功利用约 359 美元，失败案例平均 3,922 美元。

OpenAI 自己把这个数字和漏洞赏金市场放在一起比：Pwn2Own 和 TyphoonPWN 历史上为一个 Linux 内核提权漏洞开出的价格在 2 万到 7 万美元区间，对应估值 1,890 万到 6,630 万美元，”大约是我们流水线成本的 16 到 55 倍”。同一套流水线打到 Google 加固版 kernelCTF 环境上，112 小时、3.3 万美元产出 21 条提权，而 kernelCTF 全年才接受了 26 个确认的 0day 提权。

时间序列上的对比更直接。6 月用 GPT-5.5-Cyber 是 24 个漏洞，7 月换 GPT-5.6 Sol 是 166 个、51.3 万美元（每个约 3,095 美元），10 月换成尚未命名的网络安全模型变成 948 个。三个月里漏洞数量涨了约 5.7 倍，总支出涨了约 2.4 倍，单位成本降了约六成。而且 10 月这轮面对的是被上游硬化过三个月的内核，目标更难。

漏洞发现这件事第一次有了可以复算的边际成本曲线。过去一个内核提权漏洞的人力成本以周和月计算，现在被压到千美元级别。这条曲线刚刚被 OpenAI 用一张 121 万美元的账单摆到台面上。

三、”不越界”是发布重点，也是产品定位

OpenAI 在这次发布里花了不少篇幅讲模型的边界行为。ExploitGym Honeypot 测试在授权目标旁边放一个容易攻破的辅助服务，考察模型会不会顺手攻击它。GPT-6 Cyber 越界比例 0.07%，前代 GPT-5.6 Cyber 是 5.51%；加上部署侧安全提示后，模型 100% 停在范围内。基准成绩上，ExploitGym 得分 48.5%（前代 32.1%，GPT-6 Astra 42.4%），RemoteExploitBench 完成 95% 的远程任务，而 Astra 拒绝了全部任务。

OpenAI 的网络安全准备度框架把 GPT-6 Cyber 的网络能力定级为 Critical，前代是 High。这个定级意味着保障措施要从开发阶段延伸到部署阶段，配套要求包括单点登录、多因素认证、托管设备、最小权限、API 默认 IP 白名单。

能力定级最高，开放范围最窄，这是本次发布最需要留意的一组参数。落地方式不是全民开放也不是彻底禁止，而是把准入变成一条需要身份核验、组织承诺和使用限制的商业通道。Daybreak Blue 面向防御性验证，Daybreak Red 面向利用开发，后者要求企业级审批。OpenAI 还为关键基础设施防守方单独设了组别，对工业控制系统加了额外检查，并给资源有限的防守方留了 10 亿美元规模的资助计划。

OpenAI 的另一条线是 Patch the Planet，6 月 22 日启动，与 Trail of Bits、HackerOne 等合作，为开源维护者提供免费的安全咨询、漏洞验证和补丁支持。此前一轮 PHP 关键漏洞的协调披露就是这套机制跑出来的：OpenAI 团队用 GPT-5.6 Sol 发现了其中一个严重漏洞，Wiz 独立报告了同一批两个漏洞，PHP 维护者保留修复和发布决策权。Trail of Bits CEO Dan Guido 对这套计划的定位是”让开源软件跑在 AI 挖洞工具前面”。

漏洞数据在这里是受控资产。谁先拿到、谁先决定披露节奏、谁承担补丁质量责任，决定了这轮博弈里的议价权。

四、对防守方的冲击

用 SWOT 看当前的行业位置。

优势在防守侧。发现能力出现跃升，维护者拿到报告和候选补丁的速度远超人工流程。工业安全公司 Dragos 在模拟电厂环境上测试时，模型在管理继电保护数据的工程软件中找出两个 0day，其首席 AI 官 Rob T. Lee 的判断是”攻击前侦察和漏洞研究所需的技能门槛正在下降”。

机会在工具链侧。围绕模型、算力、沙箱、补丁流水线的配套环节，都会形成新的采购需求。

劣势和威胁也清楚。修复端的产能已经落后。OpenAI 自己的 Patch the Planet 仪表盘显示已修复漏洞不足 25%，Noma Security 的 Chris Hughes 认为发现效率提升只会拉大这个缺口。漏洞供给的增速跑在补丁产能前面，积压本身会变成新的攻击面。另一侧是能力扩散，同等模型一旦落到攻击者手里，攻击成本曲线会朝相反方向被拉平，”仅限授权客户”是当前的缓冲，不是长期解法。

对中小企业的直接影响是防守资源错配。多数企业没有内核级安全研究能力，只能被动接受上游的补丁节奏。如果普通 Web 资产因为模型存在而抬高被扫描频率，边际防护成本会先上升，收益要很久才显现。提权门槛降低是全局事件，成本却按企业规模分摊。

五、对中国模型和安全生态的影响

GPT-6 Cyber 对国内厂商的直接威胁有限——Daybreak Red 的准入门槛、OpenAI 服务的地域与合规限制，中国企业短期内拿不到这个模型。但参照系一旦建立，压力就落在别的三个位置上。

准入路径完全不同

中国推动 AI 安全能力的方式，以公开测试和众测为主。9 月 14 日济南国家网络安全宣传周开幕式上发布的”2026 年人工智能技术赋能网络安全应用测试结果”，设置了 8 个测试场景，面向社会公开报名，151 家单位的 251 个团队参加，32 个团队取得较好成绩。测试环境由华为提供昇腾软硬件。场景 2″网络系统与源代码漏洞智能挖掘”里，取得较好成绩的是奇安信网神和杭州安恒两家的团队。

9 月 15 日，CNCERT 发布人工智能大模型安全众测结果：动员 2467 名白帽子，对国内 25 家 AI 厂商的 54 款大模型及智能体应用产品做漏洞测试，累计发现 873 个漏洞，其中大模型和智能体应用特有漏洞 608 个，传统漏洞 265 个，通报的典型风险包括提示注入、信息泄露、不当输出、代理权限滥用、目标劫持、非预期代码执行。

对比 OpenAI 的做法，差别是清楚的。OpenAI 是把能力锁进一个身份核验通道，附上合同限制和使用规范，向少数具备资质的研究机构输出；国内是把能力向全行业开放验证，用测试结果和众测排名来筛选和推广。

两条路线各有代价。OpenAI 那条的问题在第二节已经说过：能力被关起来，补丁产能跟不上发现产能。Patch the Planet 实际上是让一家 AI 公司替开源社区承担安全支持，中国目前没有同类主体在做这件事——谁为 openEuler、OpenHarmony 这类国产开源项目提供同规模的免费漏洞验证服务，是个空白。

国内这条路线的问题是能力扩散更快、更难收口。608 个 AI 特有漏洞、提示注入和代理权限滥用已经出现在众测结果里，而拥有大规模自动化利用能力的主体远不止拿到授权的那些。

算力和成本账对不上

OpenAI 的 121.3 万美元是在可以随手调用大规模算力的前提下花掉的。这个数字背后是完整的 GPU 供给、成熟的推理框架和自动化的 harness 工程。OpenAI 自己也承认，”充分的 harness 工程可以在每个阶段显著降低成本”，这些数字是上限而非下限。

放到国内算力条件下，同样的流水线能跑多少、能跑多便宜、能不能复现那 74.7% 的确认率，都是未经验证的工程问题。国产算力一侧的进展是实的：华为 9 月发布昇腾 960 超节点，CANN 全面开源，DeepSeek 的昇腾版本把底层从 CUDA 迁移到 CANN，重写了两百多个算子并开源了通信与计算组件。工具链在收敛，但让智能体连续跑几十小时做内核级审计的稳定性，和训练推理是两种要求。

可以确定的结论有两个。一是国内做同类能力时，单位成本大概率高于 OpenAI 的公开数字，这会影响赏金定价和商业模式的可行性。二是差距主要不在模型智商，而在 harness 工程、并行沙箱环境和补丁验证工具链，这是投入就能追的部分。

国产开源生态的修补产能是短板

Linux 内核那次运行给了 948 个不同漏洞，OpenAI 送出的补丁和报告是几百条量级，剩余部分通过 Patch the Planet 合作方陆续发出。这还是全球最有钱、最有社区规模的开源项目。

国产开源生态的规模要小得多。openEuler 社区 2026 年 6 月单月发布安全公告 275 个，修复漏洞 129 个，其中 Critical 16 个、High 57 个。这个月产量已经算社区的高峰区间。如果 AI 把发现能力拉高五到六倍，openEuler、OpenHarmony、各类信创基础软件的漏洞供给会先于修补产能失控。

社区规模也是一个约束。openEuler 截至 2026 年 5 月底累计用户超过 711 万，开发者 2.7 万。在这样的维护者基数上批量处理 AI 产出的漏洞报告，每个报告需要的人工确认时间会成为硬瓶颈——模型一次交 948 份报告，维护者一周只能过 50 份，剩下的会排队，排队的报告在等待期里就是活的风险。

国内已经有这个方向的应对动作。openEuler 是较早完成与 OSV 生态端到端对接的 Linux 发行版之一，安全公告能以标准格式进入主流开源安全工具链。这类标准化是把 AI 报告转成可机器处理数据的前提，方向对，但速度要跟上模型产出。

厂商的商业模式站得住，生态位还不存在

国内安全厂商的产品化能力不弱。奇安信用 QAX-GPT 安全大模型做 AISOC 闭环，配套”AI 加特林”自动化渗透测试系统，能在数分钟内把 CVE 公告转成大批量实战化验证攻击；安恒信息的恒脑 AI 代码审计智能体是国家级测试里场景 2 唯二入选企业之一，AI 安服数字员工覆盖渗透测试、应急响应、代码审计等场景；启明星辰 2026 年交付 AI 项目 35 个，AI 版客单价从 20 万元翻倍到 40 到 50 万元区间。IDC 预计 2030 年中国 AI 安全市场规模达 340 亿元，五年复合增长率超过 50%。

问题出在形态差异上。GPT-6 Cyber 是把发现能力卖给全世界的开源维护者和授权防守方，产出是公共品式的补丁和披露；国内主流是卖产品给政企客户，产出是项目收入和交付合同。前者在商业上不成立，除非有像 Patch the Planet 那样持续投入的第三方机制；后者在商业上成立，但产出的是私有服务，不是生态位。

还有一处机会容易被忽略。全球开源维护者，包括中国的 openEuler、OpenHarmony 社区，需要的不是模型本身，而是一套能跑漏洞挖掘流水线的工程能力、算力和验证工具。国内厂商如果把这套能力做成可输出的平台，绕开模型层的直接对抗，在开源治理这条线上有位置可占。OpenAI 用 Trail of Bits 和 HackerOne 做这件事，国内对应的位置目前是空的。

双向风险

能力扩散在中国已经发生，而且不是通过专用模型。众测活动里 873 个漏洞、其中 608 个 AI 特有漏洞，说明提示注入、代理权限滥用这类问题在国产智能体产品上大量存在。配合国产开源组件在政企系统里的渗透率，以及 AI 写代码导致的漏洞生命周期压缩，奇安信 CERT 的 2026 年中报告已经判断全球漏洞态势进入”AI 深度博弈”阶段。

双向风险的现实版本因此是：国内在防御侧提能力的同时，攻击侧的工具门槛同步下降。一个 5.16 万美元的严重漏洞赏金在国内同样有吸引力，一个能自动把 CVE 转成验证攻击的智能体对防守方和攻击方同样可用。这不是道德判断，是经济学。

六、可以立刻做的三件事

对国内企业而言，第一，把”未打补丁的低权限账户”当成事实上的 root 来管理。OpenAI 在研究结论里写得很直接：在一台没更新到最新补丁的机器上拥有一个低权限账户，对资源充足的攻击者而言等同于 root。特权账户隔离、容器边界、凭据轮换，这些过去按年做的动作需要按季做。

第二，量一下自己的补丁流水线吞吐量，而不是再看扫描器报了多少漏洞。AI 会替发现环节补上差值，瓶颈在确认、测试、分发、验证这四段是否跑得通。买扫描器之前，先算清楚一天能出多少个可上线版本。

第三，按国产开源生态的实际节奏做预案，不要按 OpenAI 的数字做推演。openEuler 社区单月修复 129 个漏洞是可用的参照基准，超过这个量级的发现结果，短期内不会有足够的维护者接得住，需要提前约定披露和排队机制。

七、普通用户能感知到什么

Firefox 的 81 个漏洞直接对应终端用户，能做的只有把浏览器更新到最新版本，不要长期停留在旧版。企业侧则是暴露在公网的浏览器类资产，暴露窗口会被压缩到以天计。

有一条插曲值得记一下。上周 OpenAI 告知 Daybreak Blue 成员，将使用个人账户数据改进模型，该做法在社区引发反弹，OpenAI 随后表示客户仍可选择退出数据共享。模型需要尽可能多的真实数据来获得漏洞挖掘能力，同时数据用于训练需要用户同意，这两件事之间的张力不会消失，只会在每一轮模型迭代里被重新触发。