OpenAI je izdal GPT-6 Cyber, model, namenjen pooblaščenim raziskavam kibernetske varnosti, z začetnim dostopom prek API in Codex za odobrene stranke Daybreak Red. Podjetje klasificira model kot kritičen pri kibernetski varnosti v okviru svojega ogrodja pripravljenosti, s čimer izdajo uvršča v drugo kategorijo od rutinske osvežitve modela.

OpenAI pravi GPT-6 Cyber ​​je identificiral 81 prej neznanih zelo resnih ranljivosti Firefoxa in razvil delujoče izkoriščanje za 948 ranljivosti Linuxa v nadzorovani raziskavi. O teh rezultatih poroča podjetje in niso bili neodvisno reproducirani v pregledanem gradivu, vendar kažejo, zakaj je model ponujen v okviru režima dostopa, zasnovanega za preverjeno varnostno delo, namesto splošnega razvoja.

Omejen model z API dostopom

Izdaja je pomembna za razvijalce, ker GPT-6 Cyber ​​ni omejen na predstavitev raziskave ali notranji izdelek. Naveden je kot model API s kontekstnim oknom 1.050.000 žetonov in največjim izhodom 128.000 žetonov. Standardna cena je 20 USD na milijon vhodnih žetonov in 100 USD na milijon izhodnih žetonov.

Ta kombinacija dolgega konteksta, visoke izhodne zmogljivosti in višjih cen kaže na specializirane delovne obremenitve: analizo kodne baze, triažo ranljivosti, preverjanje izkoriščanja v pooblaščenih okoljih in druge varnostne naloge, kjer je mogoče upravičiti stroške zmogljivega modela. Malo verjetno je, da bo deloval kot ekonomičen privzeti model za običajen promet aplikacij.

Authorization postane del usmerjanja

Praktična sprememba za API platforme je, da izbire modela ni več mogoče obravnavati le kot problem kataloga in cen. Dostop je odvisen od odobritve stranke in dovoljen primer uporabe je pomemben. Prehod, ki služi temu razredu modela, bi moral ohraniti obseg avtorizacije v računih strank, API ključih in nadaljnjih aplikacijah.

Za večmodelni API prehod za ekipe bi to lahko pomenilo ločena preverjanja primernosti, preverjanje identitete, poverilnice, specifične za ponudnika, sezname dovoljenih IP in nespremenljive revizijske zapise za zahteve. Pravila usmerjanja morajo razlikovati odobreno obrambno oceno od neomejene zahteve za ustvarjanje ali operacionalizacijo kode izkoriščanja. Prehod potrebuje tudi jasen način napake, ko stranka ni odobrena, namesto da se tiho vrne k drugemu modelu z bistveno drugačnimi varnostnimi lastnostmi.

Zakaj izdaja dviguje vrstico nadzorne ravnine

Dostop do varnostnega modela ustvarja operativne zahteve, ki presegajo običajne omejitve hitrosti. Ponudniki in preprodajalci bodo morda morali zabeležiti, kdo je odobril delovno obremenitev, katera stranka in aplikacija sta jo sprožili, katera orodja ali datoteke so bile izpostavljene in ali je zahteva ostala v odobrenem obsegu. Spremljanje zlorabe in hitra prekinitev bi morala biti zasnovana v storitvi, namesto da bi ju dodali po incidentu.

Te zahteve vplivajo tudi na komercialne operacije. Pri 100 USD na milijon izhodnih žetonov lahko dolgotrajen varnostni potek dela povzroči znatno in težko predvidljivo porabo. Ekipe, ki uporabljajo Model Gate ali drug prehod, bi imele koristi od AI API nadzora porabe za ekipe, ki uporabljajo proračune, specifične za model, prehode za odobritev in opozorila, namesto da bi se zanašali samo na omejitve celotne organizacije. Zapisi o uporabi bi morali ohraniti tako zahtevani model kot avtorizacijski kontekst, da je varnostne preglede mogoče uskladiti z računi ponudnika.

Kar ostaja nejasno

OpenAI v pregledanem gradivu ni razkrilo, kako hitro lahko posamezne organizacije pridobijo dostop, kakšne omejitve stopenj veljajo ali kako se v praksi sprejemajo odločitve o odobritvi.Sporočeno število ranljivosti in morebitne primerjalne rezultate je treba prav tako obravnavati kot trditve prodajalca, dokler ne bodo na voljo neodvisne ocene.

Zaenkrat GPT-6 Cyber ​​najbolje razumemo kot omejeno, drago možnost usmerjanja za pooblaščeno varnostno delo. Njegov pomen presega sam model: prehodi API, preprodajalci in nadzorne ravni podjetij bodo morali vse pogosteje uveljavljati upravičenost, namen in začasno prekinitev v času zahteve, ne le posredovati združljivih API klicev.