OpenAI 推出网络安全模型 ChatGPT Cyber，TechCrunch 追问防护方是否够用

初创公司Charge Robotics的首席技术官兼联合创始人马克斯·贾斯蒂奇（Max Justicz）利用一个OpenAI模型发现了一个严重漏洞，该漏洞一旦被利用，可能让黑客控制运行Ubuntu的服务器。Ubuntu是一款被广泛使用的开源Linux操作系统。

贾斯蒂奇出于业余爱好对网络安全感兴趣，此前曾在同一代码库中发现过一个漏洞。他告诉TechCrunch，他是通过这家AI公司的Daybreak Blue项目，使用7月发布的GPT 5.6 Sol发现这个问题的。Daybreak Blue是一项让网络安全防御者能够使用强大前沿模型的计划。

“我实际上只是把ChatGPT对准同一批代码，然后说‘我之前发现过这个漏洞，它几年前已被修复，请找出同样严重或更严重的漏洞’，结果它两小时后就带着这个漏洞回来了，”贾斯蒂奇说。“它极其复杂，人类很难发现，但它确实有效！”

他将该问题报告给了Debian项目，该项目维护相关软件，并发布了修复该漏洞的补丁。目前尚无已知的漏洞被利用的证据。尽管如此，他如此轻易地发现该漏洞表明，在潜在漏洞利用方面，我们看到的只是冰山一角——即便是新手黑客，也能借助AI模型加以利用。

“我只能想象，如果有更多时间并能使用限制更少的模型，人们能做出什么事。我们应该预料到，未来几个月会发现并利用一些极其疯狂的漏洞，”贾斯蒂奇在讨论其发现的社交媒体帖子中写道。“这对这里的大多数人来说可能显而易见，但目前存在着巨大的先发优势：拿一些尚未被审计的代码或二进制文件，直接让一个强大的AI模型去分析。”

OpenAI似乎已经注意到了这一点。今天，这家AI巨头宣布了一款专注于网络安全的新模型ChatGPT Cyber，将向网络安全计划Daybreak Red的最高层级用户开放。Daybreak Red为攻击性网络安全研究人员提供漏洞搜寻和开发工具。昨天，OpenAI表示，同一模型已被用于扫描Linux内核中的漏洞并准备补丁，发现了948个潜在问题。OpenAI还在网页浏览器Firefox中发现了81个“新型”漏洞。

“我们的目标是大幅扩展Daybreak，将先进的安全研究带给各种规模的组织、独立研究人员和开源维护者，”这家前沿实验室在一份声明中表示。

OpenAI坚持认为，在AI模型变得更擅长黑客攻击、也更容易获取之前，负责保护数字基础设施的人们采取行动的时间窗口很窄。然而，对网络防御者来说，这可能感觉像是前沿实验室释放出了堆积如山的新工作，远超他们的资源。贾斯蒂奇说，他个人花费了约5000美元用于订阅和token，以发现若干漏洞利用。

除了Daybreak的模型访问权限外，OpenAI还宣布了一项10亿美元的倡议，以支持该计划中从事电网或供水系统等关键基础设施工作的网络安全专业人员。

Daybreak计划本身也受到批评。贾斯蒂奇指出，这家前沿实验室最近似乎“削弱”了Daybreak Blue，使其在发现漏洞方面变得不那么有用。一方面，限制潜在恶意行为者的访问可能是好事——贾斯蒂奇说他只是上传了一张驾照照片就加入了该计划。另一方面，网络安全专业人士表示，如果他们不能使用前沿技术，而恶意行为者却可以部署移除了防护栏的开放权重模型，他们就等于被绑住了一只手。

尽管如此，OpenAI表示，只有“数千名”网络安全专业人员参与了Daybreak计划，而潜在黑客的数量则要多得多。

目前尚不清楚前沿实验室是否在这一问题上投入了足够的资源。OpenAI技术团队研究员埃里克·华莱士（Eric Wallace）表示，“我们现在正将大量前沿算力用于发现和修补开源代码库中的漏洞，完全是无偿的。”

但Linux漏洞排查耗资120万美元，这明显低于该公司为寻找流体力学一个著名问题的潜在解决方案而投入的约600万美元token支出。

如果修补世界所依赖的数字基础设施的时间窗口很窄，那么可能需要更大的紧迫感。