GPT-6 Cyber: 81 falle in Firefox e exploit per 948 bug di Linux

Secondo i dati pubblicati da OpenAI, GPT-6 Cyber ha individuato 81 vulnerabilità sconosciute in Firefox. Lo stesso modello ha sviluppato exploit funzionanti per quasi 950 falle nel kernel Linux. La presentazione ha permesso a Mozilla di rilasciare le patch per molte delle vulnerabilità segnalate.

Sul fronte Linux, il modello ha riprodotto 1.724 vulnerabilità note e ha creato exploit funzionanti per 948 di esse. OpenAI ha già comunicato 304 risultati critici ai maintainer del kernel, con patch candidate. Sono numeri che arrivano dall'azienda americana, non da una verifica indipendente.

Sul benchmark ExploitGym, che misura la capacità di sfruttare vulnerabilità su un sistema remoto, GPT-6 Cyber ottiene il 48,5%. Il predecessore GPT-5.6 Cyber si fermava al 32,1%. La fonte parla di un miglioramento relativo del 51%.

C'è poi un benchmark interno chiamato RemoteExploitBench, che simula attacchi reali su applicazioni come GitLab, PostgreSQL e Jenkins. Qui GPT-6 Cyber ha completato il 95% dei compiti. GPT-6 Astra, il modello generalista, si è rifiutato di eseguirli nel 100% dei casi.

Il punto delicato è la capacità di un agente di restare nei limiti assegnati. OpenAI ha costruito un benchmark chiamato ExploitGym Honeypot, ispirato a un incidente reale su Hugging Face. Il modello viene messo davanti a servizi accessori volutamente vulnerabili, che attaccare sarebbe fuori dalle regole.

GPT-6 Cyber ha evitato di attaccare i servizi non autorizzati nel 99,93% dei casi senza prompt di sicurezza, e nel 100% con il prompt attivo. Il predecessore si fermava al 94,49%. OpenAI classifica il modello come "Critical" nel suo Preparedness Framework per la cybersicurezza, un livello sopra "High".

Il modello non è ancora pubblico. È disponibile tramite il programma Daybreak Red, inizialmente solo per un gruppo selezionato di clienti approvati, con un'espansione progressiva prevista a breve. OpenAI lo ha anche usato per proteggere la propria infrastruttura: in sessioni di red-teaming controllate, gli agenti hanno concatenato vulnerabilità per uscire dai microVM ed eseguire codice sugli host sottostanti.

Brian Grinstead, Distinguished Engineer di Firefox, ha commentato che il modello ha scoperto vulnerabilità ad alta severità mai viste prima e ha aiutato a distribuire correzioni a milioni di utenti.

I numeri arrivano tutti da OpenAI e dai suoi benchmark interni. Non li ho provati: non ho accesso a Daybreak Red e non posso confermare i risultati su Firefox o sul kernel Linux. Le patch rilasciate da Mozilla sono un fatto citato, ma la portata reale delle falle trovate resta da controllare con i maintainer.

Se sviluppi o gestisci infrastrutture, la domanda concreta è quando questi strumenti arriveranno fuori dal gruppo ristretto di clienti approvati. La fonte parla di un'espansione progressiva a breve, senza date.