OpenAI ha llançat GPT-6 Cyber, un model dirigit a la investigació autoritzada de ciberseguretat, amb accés inicial a través dels API i Codex per als clients aprovats de Daybreak Red. L'empresa classifica el model com a crític en ciberseguretat segons el seu marc de preparació, situant el llançament en una categoria diferent de la d'una actualització rutinària del model.

OpenAI diu que GPT-6 Cyber ​​va identificar 81 vulnerabilitats de Firefox d'alta gravetat desconegudes i va desenvolupar explotacions de treball per a 948 vulnerabilitats de Linux en investigacions controlades. Aquests resultats s'han informat per l'empresa i no s'han reproduït de manera independent als materials revisats, però indiquen per què el model s'ofereix sota un règim d'accés dissenyat per a treballs de seguretat verificat en lloc de per al desenvolupament d'ús general.

Un model restringit amb API accés

El llançament és important per als desenvolupadors perquè GPT-6 no es mostra a un producte cibernètic ni es demostra en una investigació interna. Es mostra com a model API, amb una finestra de context de 1.050.000 fitxes i una sortida màxima de 128.000 fitxes. El preu estàndard és de 20 $ per milió de fitxes d'entrada i 100 $ per milió de testimonis de sortida.

Aquesta combinació de context llarg, capacitat de sortida alta i preus elevats apunta a càrregues de treball especialitzades: anàlisi de la base de codis, triatge de vulnerabilitats, validació d'explotacions en entorns autoritzats i altres tasques de seguretat on es pugui justificar el cost d'un model capaç. És poc probable que funcioni com un model predeterminat econòmic per al trànsit d'aplicacions normal.

Authorization passa a formar part de l'encaminament

El canvi pràctic per a les plataformes API és que la selecció de models ja no es pot tractar només com un problema de catàleg i de preus. L'accés depèn de l'aprovació del client i el cas d'ús permès és important. Una passarel·la que serveixi aquesta classe de model hauria de preservar l'abast d'autorització entre els comptes de clients, les claus API i les aplicacions posteriors.

Per a una passarel·la multi-model API per a equips, això podria significar comprovacions d'elegibilitat per separat, verificació d'identitat, registres de llistes d'auditoria i credencials immutables de llistes d'auditoria específiques del proveïdor. Les regles d'encaminament haurien de distingir una avaluació defensiva aprovada d'una sol·licitud sense restriccions per generar o posar en funcionament el codi d'explotació. La passarel·la també necessita un mode d'error clar quan no s'aprova un client, en lloc de tornar silenciosament a un altre model amb propietats de seguretat substancialment diferents.

Per què la versió augmenta la barra del pla de control

L'accés al model de seguretat crea requisits operatius més enllà de la limitació de velocitat normal. És possible que els proveïdors i els distribuïdors hagin de registrar qui va autoritzar una càrrega de treball, quin client i aplicació la va iniciar, quines eines o fitxers s'han exposat i si la sol·licitud es va mantenir dins de l'abast aprovat. La supervisió d'abús i la suspensió ràpida s'han de dissenyar al servei en lloc d'afegir-se després d'un incident.

Aquests requisits també afecten les operacions comercials. Amb 100 dòlars per milió de fitxes de sortida, un flux de treball de seguretat de llarga durada pot generar despeses importants i difícils de predir. Els equips que utilitzin Model Gate o una altra passarel·la es beneficiaran dels controls de despesa de l'AI API per als equips que apliquen pressupostos, portes d'aprovació i alertes específiques del model en lloc de dependre només dels límits de tota l'organització. Els registres d'ús han de conservar tant el model sol·licitat com el context d'autorització perquè les revisions de seguretat es puguin conciliar amb les factures dels proveïdors.

El que encara no està clar

OpenAI no ha revelat als materials revisats la rapidesa amb què les organitzacions individuals poden obtenir accés, quins límits de tarifes s'apliquen o com es prenen les decisions d'aprovació a la pràctica.Els recomptes de vulnerabilitats informats i els resultats de referència també s'han de tractar com a reclamacions del proveïdor fins que hi hagi avaluacions independents disponibles.

De moment, GPT-6 Cyber ​​s'entén millor com una opció d'encaminament restringida i d'alt cost per al treball de seguretat autoritzat. La seva importància va més enllà del model en si: les passarel·les API, els distribuïdors i els plans de control de l'empresa hauran de fer complir cada cop més l'elegibilitat, el propòsit i la suspensió d'emergència en el moment de la sol·licitud, no només reenviar les API trucades compatibles.