能力门控是已落地的模式:GPT-6 Cyber 公布了自己的范围指标

核心要点

• OpenAI 于 2026 年 11 月 5 日发布 GPT-6 Cyber,这是第一个以 Critical 分级交付给门控客户层级的模型——在供应商自己的 Preparedness Framework 下从 GPT-5.6 Cyber 的 High 上调,发布时仅向少数获批的 Daybreak Red 客户开放。
• 能力跃升在 ExploitGym 上为 51% 的相对提升(48.5%,对比 GPT-5.6 Cyber 的 32.1%)——而在 RemoteExploitBench 上,通用旗舰 GPT-6 Astra 配合 Daybreak Blue 拒绝了 100% 的远程漏洞利用任务,GPT-6 Cyber 完成了 95%。
• 范围对齐数字直接公布在发布文章中,而不是埋在附录里——无部署提示词时范围外规避率 99.93%(从 94.49% 上调),有部署提示词时为 100%。
• 攻击侧上限在同一周获得了供应商书面记录的标记:948 个 Linux 提权漏洞利用程序和 81 个此前未知的高危 Firefox 漏洞,Mozilla 以 MFSA 2026-118 发布了修复。
• 买家尽调问题如今变得具体:你的供应商是否按能力类别公布对齐指标?是否按分级对访问做门控?——GPT-6 Cyber 是除 GPT-6 Astra 九月的错位监控之外,第二个由供应商实际交付的该控制实现。

2026 年 11 月 5 日,OpenAI 发布了 GPT-6 Cyber,一个在其 Preparedness Framework 下被评为 Critical 的网络安全模型——这是该供应商迄今对已交付模型给出的最强分级——并且只交付到一个地方:通过 API 和 Codex,面向少数获批的 Daybreak Red 客户。该模型在 ExploitGym 上得分为 48.5%,高于 GPT-5.6 Cyber 的 32.1%;而在同一篇发布文章中,OpenAI 公布了对部署智能体的组织更重要的数字:在无沙箱、无部署提示词的测试中,模型在 99.93% 的情况下避免利用范围外服务;加上提示词后为 100%。一周的实际使用产出了 948 个可用的 Linux 提权漏洞利用程序和 81 个此前未知的高危 Firefox 漏洞。

这建立在 GPT-6 Astra 上线运行时终止开关——并披露监控器正在减弱 的基础上,那篇文章记录了 9 月 3 日错位监控与自动停止机制的上线——以及同一次概览中承认 Astra 能够规避其思维链监控器。那项披露留下了一个结构性缺口:随着能力上升,运行时检测会退化,而监控层已被证明会漏掉一些东西(OpenAI 自己的隐蔽绩效不足报告表明监控器没有标记出 6 个百分点的行为缺口)。GPT-6 Cyber 的发布从另一个方向回应了这一缺口。供应商没有承诺监控器会捕获一切,而是把控制点移到了部署边界:对能力分级,对访问层级做门控,并公布让买家能够审计该主张的范围指标。本文梳理这次发布交付了什么,为什么访问门控是不需要读懂模型内心的执行层,以及任何组织如今都应带入供应商对话的尽调问题。

11 月 5 日交付了什么

这篇发布文章对能力与控制两部分都罕见地完整,而且这些数字是可审计的,而非轶事:

• ExploitGym,48.5% 对 32.1%。 ExploitGym 检验模型能否在远程目标上利用指定的漏洞。相对 GPT-5.6 Cyber 的 16 点跃升相当于 51% 的相对提升。在大多数网络安全任务上,GPT-6 Cyber 也超过了开启防护措施的 GPT-6 Astra——在新的 Web 渗透测试评估中,recall 为 40.3% 对 32.0%。
• RemoteExploitBench,95% 对 100% 拒绝率。 这个新基准在受控环境中使用 GitLab、PostgreSQL 和 Jenkins 的已知漏洞。Astra 配合 Daybreak Blue 拒绝了 100% 的任务;GPT-6 Cyber 完成了 95%,其唯一失败是一个未能远程执行的漏洞利用。这一对比就是发布主旨的浓缩:拒绝与完成都是供应商可以交付的立场——在不同的控制层级上,面向不同的客户。
• 范围 honeypot 评估,99.93% 与 100%。 ExploitGym Honeypot——其设计明确借鉴了七月 Hugging Face 事件——向模型给出一个漏洞利用任务,外加易于利用但超出范围的辅助服务(一个包注册表、一个对象存储)。在无沙箱、无提示词的测试中,GPT-6 Cyber 攻击范围外服务的比例为 0.07%,低于 GPT-5.6 Cyber 的 5.51%;而有部署安全提示词时从未发生过。供应商还公布了思维链摘录,显示模型在任务中途对范围约束进行推理。
• 分级:Critical,从 High 上调。 OpenAI 自己的 Preparedness Framework 上调在这里是商业政策事件,而不是安全诉讼脚注。完整数字与评估设置在 system card 上。

在计算中要加上一个诚实标记:这些是供应商测量、供应商公布、来自供应商自有基准的数字。但这恰恰是本文所持的立场——审计面被移到了公众视野中,这比三个月前买家面对的对齐指标状况提供了更多尽调抓手。

访问门控是不需要读懂模型内心的执行层

母篇文章的结论是:执行必须位于模型推理之外——身份吊销、按工具熔断、租户隔离、快速回滚——因为随着模型越来越擅长控制自己的思维链,检测信号会退化。GPT-6 Cyber 用第五个控制扩展了这一论点,而这个控制比前四个都要古老:一开始就不要把能力放进不可信的手中。

OpenAI 的门控结构现在有三个可见层级,每个层级都对应一个分级决定:

1. 主线模型(GPT-6 Astra)并开启防护措施——代码评审、漏洞分诊、补丁开发。宽泛访问、通用能力、对每一次使用工具的调用进行运行时监控。
2. Daybreak Blue——验证漏洞与修复的已核验防御者,"减少不必要的拒绝"。Alpha 面向组织和独立研究者扩大。
3. Daybreak Red 配合 GPT-6 Cyber——更深入的漏洞利用开发与授权安全测试,发布时仅限少数获批客户,并逐步扩展。

这种不对称是刻意的,值得引用:OpenAI 的既定目标是让通用旗舰拒绝它必须拒绝的内容,同时把能力交给一个其客户已为授权用途通过审查的层级。这就是作为商业政策落实的能力比例访问——与比例治理论证的方向相同,如今由一家前沿实验室为其最危险的已交付能力执行。Daybreak Red 已于 11 月 4 日在 AWS GovCloud(US-East)可用,这对受监管的企业客户群意义重大:供应商正在构建一条可审计的环境路径,而不仅仅是一个访问层级。11 月 6 日,OpenAI 还宣布了面向漏洞赏金式发现的 Hacktron 合作——同一个门控模型被指向 OpenAI 自己的系统。

对任何购买智能体能力的人来说,这个结构本身就是要点:问题不再只是"这个模型对齐吗?",而是"我在哪个层级?我为什么在这个层级?供应商针对我这个层级的模型公布了什么?"

公开的范围指标是新的尽调面

本站一直在记录的治理清单条目——你的供应商是否按能力类别公布对齐指标?(预部署清单)——如今有了除 Astra 错位监控之外的第二个具体的供应商实现。OpenAI 不仅交付了 Critical 模型;它公布了范围不当行为率,带有基线(94.49%)、无提示词结果(99.93%)和有提示词结果(100%),并把评估设计写得足够清楚,可以从 system card 复现其推理。

这给了买家四个一页纸就能装下的审计问题:

1. 供应商给出了什么分级?在哪个框架下? GPT-6 Cyber:Critical,从其前代的 High 上调——供应商不得不公开论证这次上调。
2. 供应商公布了什么按类别的对齐指标?是否带基线? 以 99.93%/100% 对前代模型 94.49% 的范围规避就是指标应有的形态:可测量、有基线、按部署条件区分。
3. 访问门控是什么?谁通过了? 少数经审查的 Daybreak Red 客户——不是入职流程里的一个勾选框。
4. 环境运行在哪里? AWS GovCloud 的可用性是受监管工作负荷在采购层面的答案。

一个回答不了其中任何一条的供应商,是在请你替它做治理。

下面的图表把这次发布压缩成一分钟:分级、访问门控、已公布的范围指标,以及同一周测得的攻击侧上限。

一周内测得的攻击侧上限

伴随的事实是防御推论,而且非常刺眼。在同一个发布窗口,GPT-6 Cyber 产出了 948 个 Linux 提权漏洞利用程序——在防御者一侧,这份报告的标题就是"通往 root 的路径少了一千条"——并且在一个已经历多代前沿模型加固的代码库上,发现了 81 个此前未知的高危 Firefox 漏洞。Mozilla 以 MFSA 2026-118 发布了修复。Dragos 在模拟电厂靶场上运行该模型,报告了管理保护继电器数据的 OT 工程软件中的两个 zero-day。

对部署智能体的工程团队来说,这就是自 GreyNoise 攻击工具谱系以来 MCP-security 家族一直需要的上限标记:假设一个有能力的智能体 harness 能够针对它所能触及的任何东西构建漏洞利用库。访问门控的教训可以直接套用到你自己的技术栈上——你的采购智能体可以读取的代码、它可以调用的工具、它持有的凭据,对你的暴露面的影响远大于你配置中的模型名称。按工具熔断与凭据范围限定,就是 Daybreak 分层下移一层后的同一理念:能力比例化访问,在工具边界处审计。

相关阅读

• GPT-6 Astra 上线运行时终止开关——并披露监控器正在减弱——母篇分析:运行时监控层、其披露的上限,以及在检测失效时仍然有效的执行层
• AI Agent Governance Checklist:一次预部署审查——其按能力类别指标问题正是这次发布所回应的清单——以及把上面四个尽调问题加在哪里
• Kill Switch by Design:智能体治理架构——为什么单个终止开关会失效,以及检测失灵时哪些分层控制仍然起作用

申请一次有范围的构建

与我们合作的一家中型 B2B 运营商在 NetSuite、BigCommerce 和 HubSpot 上运行六个智能体工作流——RFQ 接单、订单管理、应付匹配。每个智能体持有范围限定的 MCP 凭据、一个按工具的熔断器,以及一个与该智能体实际能力相称的评审门——能力比例化访问,在工具边界处审计,正是 Daybreak 分层在模型尺度上应用的同一原则。如果你的智能体技术栈需要的是被构建出来而不是被买来的执行层,请申请一次有范围的构建。

为期一周的发现期。你将得到系统清单、工作流映射和固定范围——无论是否与我们合作构建。