OpenAI je objavio GPT-6 Cyber, model namijenjen ovlaštenom istraživanju kibernetičke sigurnosti, s početnim pristupom putem API i Codex za odobrene korisnike Daybreak Reda. Tvrtka klasificira model kao kritičan u kibernetičkoj sigurnosti prema svom Okviru pripravnosti, stavljajući izdanje u drugu kategoriju od rutinskog osvježavanja modela.
OpenAI kaže GPT-6 Cyber je identificirao 81 prethodno nepoznatu ranjivost Firefoxa visoke ozbiljnosti i razvio operativne eksploatacije za 948 Linux ranjivosti u kontroliranom istraživanju. O tim je rezultatima izvijestila tvrtka i oni nisu neovisno reproducirani u pregledanim materijalima, ali pokazuju zašto se model nudi pod režimom pristupa osmišljenom za provjerene sigurnosne poslove, a ne za razvoj opće namjene.
Ograničeni model s API pristupom
Izdanje je važno programerima jer GPT-6 Cyber nije ograničen na demonstraciju istraživanja ili interni proizvod. Naveden je kao API model, s kontekstnim prozorom od 1.050.000 tokena i maksimalnim izlazom od 128.000 tokena. Standardna cijena je 20 USD za milijun ulaznih tokena i 100 USD za milijun izlaznih tokena.
Ta kombinacija dugog konteksta, velikog izlaznog kapaciteta i povišenih cijena upućuje na specijalizirana radna opterećenja: analiza baze koda, trijaža ranjivosti, provjera iskorištavanja u ovlaštenim okruženjima i drugi sigurnosni zadaci gdje se trošak sposobnog modela može opravdati. Malo je vjerojatno da će funkcionirati kao ekonomičan zadani model za uobičajeni promet aplikacija.
Authorization postaje dio usmjeravanja
Praktična promjena za API platforme je da se izbor modela više ne može tretirati samo kao problem kataloga i cijena. Pristup ovisi o odobrenju korisnika, a dopušteni slučaj upotrebe je bitan. Pristupnik koji opslužuje ovu klasu modela trebao bi očuvati opseg autorizacije preko korisničkih računa, API ključeva i nizvodnih aplikacija.
Za višemodelni API pristupnik za timove, to bi moglo značiti zasebne provjere prihvatljivosti, provjeru identiteta, vjerodajnice specifične za pružatelja usluga, popis dopuštenih IP adresa i nepromjenjive revizijske zapise za zahtjeve. Pravila usmjeravanja trebala bi razlikovati odobrenu obrambenu procjenu od neograničenog zahtjeva za generiranje ili operacionalizaciju eksploatacijskog koda. Pristupniku je također potreban jasan način kvara kada korisnik nije odobren, umjesto tihog vraćanja na drugi model s materijalno drugačijim sigurnosnim svojstvima.
Zašto izdanje podiže ljestvicu kontrolne razine
Pristup sigurnosnom modelu stvara operativne zahtjeve izvan uobičajenog ograničenja brzine. Dobavljači i preprodavači će možda trebati zabilježiti tko je autorizirao radno opterećenje, koji korisnik i aplikacija su ga pokrenuli, koji su alati ili datoteke bili izloženi i je li zahtjev ostao unutar odobrenog opsega. Praćenje zlouporabe i brza obustava trebali bi biti osmišljeni u usluzi, a ne dodati nakon incidenta.
Ovi zahtjevi također utječu na komercijalne operacije. Sa 100 USD po milijunu izlaznih tokena, dugotrajni sigurnosni tijek rada može stvoriti značajnu i teško predvidljivu potrošnju. Timovi koji koriste Model Gate ili neki drugi pristupnik imali bi koristi od AI API kontrola potrošnje za timove koji primjenjuju proračune specifične za model, prolaze za odobrenje i upozorenja umjesto oslanjanja samo na ograničenja na razini cijele organizacije. Evidencija korištenja trebala bi zadržati i traženi model i kontekst autorizacije kako bi se sigurnosni pregledi mogli uskladiti s fakturama pružatelja usluga.
Ono što ostaje nejasno
OpenAI nije otkrilo u pregledanim materijalima koliko brzo pojedinačne organizacije mogu dobiti pristup, koja se ograničenja stope primjenjuju ili kako se odluke o odobrenju donose u praksi.Prijavljeni broj ranjivosti i svi rezultati usporedbe također bi se trebali tretirati kao tvrdnje dobavljača dok ne budu dostupne neovisne procjene.
Za sada, GPT-6 Cyber se najbolje može shvatiti kao ograničena, skupa opcija usmjeravanja za ovlašteni sigurnosni rad. Njegovo značenje nadilazi sam model: API pristupnici, preprodavači i kontrolne razine poduzeća sve će više morati provoditi prihvatljivost, svrhu i hitnu obustavu u trenutku zahtjeva, a ne samo prosljeđivati kompatibilne API pozive.