Пентест WEB: практический курс для начинающих
В OpenAI представили специализированную модель GPT-5.6-Cyber, предназначенную для поиска уязвимостей, проведения пентестов и реагирования на инциденты. По словам разработчиков, в отличие от обычной GPT-5.6 Sol, новая модель реже отказывается выполнять потенциально опасные dual-use-задачи, включая разработку эксплоитов и построение цепочек атак.
GPT-5.6-Cyber построена на базе GPT-5.6 Sol и продолжает линейку, начатую моделью GPT-5.5-Cyber. Сообщается, что новинку дополнительно обучили искать 0-day-уязвимости, создавать цепочки эксплоитов, обходить аутентификацию и повышать привилегии.
Для оценки числа отказов специалисты OpenAI разработали внутренний тест Advanced Cybersecurity Completion Rate, и GPT-5.6-Cyber выполнила 95% запросов, связанных со сложными ИБ-задачами. Для сравнения, GPT-5.6 Sol справилась лишь с 1,5%, GPT-5.6 Sol в рамках Daybreak Blue — с 2%, а предыдущая модель GPT-5.5-Cyber — с 57,3%.
В бенчмарке ExploitGym новая модель тоже обошла GPT-5.6 Sol и GPT-5.5-Cyber.
Также в компании отмечают, что новинка лучше обнаруживает новые уязвимости и точнее оценивает их серьезность. При этом в задачах без жестко заданного сценария, где нужно самостоятельно изучить репозиторий, подготовить рабочий PoC-эксплоит и подробный отчет, обычная GPT-5.6 Sol пока показывает лучшие результаты. В OpenAI связывают это с тем, что Cyber-версия модели склонна давать более короткие отчеты.
Сообщается, что одной из реальных находок GPT-5.6-Cyber стала уязвимость CVE-2026-15903 (8,8 балла по шкале CVSS), затрагивавшая браузерный JavaScript-движок V8. Этот баг представляет собой проблему out-of-bounds чтения и записи, позволяя удаленному атакующему выполнить произвольный код внутри песочницы через специально подготовленную HTML-страницу. Также модель обнаружила вторую уязвимость, которую можно было объединить с CVE-2026-15903 для побега из песочницы V8. Инженеры Google устранили эти проблемы в середине июля 2026 года.
Помимо этого, GPT-5.6-Cyber обнаружила как минимум пять уязвимостей в неназванной популярной мобильной ОС (включая цепочку для локального повышения привилегий), три критических бага в популярной СУБД (один из которых позволял добиться удаленного выполнения кода) и более 400 проблем повышения привилегий в ядре некой ОС.
В OpenAI заявляют, что эта модель не предназначена для свободного доступа. Дело в том, что GPT-5.6-Cyber имеет уровень доступа Daybreak Red и предоставляется только доверенным партнерам компании, которые занимаются санкционированным поиском уязвимостей и тестированием защиты. В частности, доступ к модели уже получили специалисты Accenture, Akamai, Cisco, Cloudflare, CrowdStrike, Fortinet, IBM, Palo Alto Networks, PwC, Sophos и других компаний.
Параллельно с этим в OpenAI создали новый уровень доступа Daybreak Blue, позволяющий пользоваться передовыми моделями (например, GPT-5.6 Sol), которые адаптированы для защитных ИБ-задач и имеют ослабленные ограничения. В компании признают, что такие модели несут дополнительные риски, однако разработчики полагают, что Daybreak Blue поможет защитникам быстрее находить и исправлять уязвимости до того, как ими воспользуются атакующие.
