OpenAI paleido GPT-5.5-Cyber — AI, kuris pats randa ir lopo spragas

OpenAI birželio 22 d. oficialiai išleido GPT-5.5-Cyber — kibernetinio saugumo modelį, kurį pati bendrovė vadina „stipriausiu iki šiol modeliu spragoms aptikti ir padėti jas užlopyti". Tai dalis platesnės iniciatyvos Daybreak, kurią OpenAI paskelbė prieš mėnesį. Naujasis modelis geba ne tik rasti pažeidžiamumus dideliuose kodų masyvuose, bet ir patvirtinti juos kontroliuojamoje aplinkoje bei sukurti ir ištestuoti pataisas.

Tai svarbus posūkis: dirbtinis intelektas nustoja būti vien įrankiu spragoms ieškoti ir tampa pilnu gynybos ciklo dalyviu — nuo aptikimo iki pataisos.

Kas yra GPT-5.5-Cyber

GPT-5.5-Cyber yra specializuota GPT-5.5 versija, sutelkta į vieną užduotį — programinės įrangos saugumą. Pasak OpenAI, modelis gali „išlaikyti gilesnę analizę per didelius kodų masyvus", aptikti saugumo problemas, jas patvirtinti izoliuotoje aplinkoje ir sukurti bei ištestuoti pataisas.

Praktiškai tai reiškia, kad modelis nesustoja ties pranešimu „čia gali būti spraga". Jis bando ją atkurti, įvertina rimtumą, nurodo, kuriose kodo vietose problema, pateikia įrodymus ir pasiūlo konkrečią pataisą peržiūrai. Žmogus lieka sprendimų grandinėje — modelis paruošia darbą, bet galutinį žodį dėl pataisos diegimo taria inžinierius.

Skaičiai: kuo GPT-5.5-Cyber pranašesnis

OpenAI teigia, kad GPT-5.5-Cyber pasiekia geriausius rezultatus trijuose pagrindiniuose kibernetinio saugumo testuose, lyginant su įprastu GPT-5.5:

• CyberGym: 85,6 % (GPT-5.5 — 81,8 %)
• ExploitGym: 39,5 % (GPT-5.5 — 25,95 %)
• SEC-bench Pro: 69,8 % (GPT-5.5 — 63,1 %)

Didžiausias šuolis matomas ExploitGym teste, kuris vertina gebėjimą realiai išnaudoti pažeidžiamumą — čia rezultatas pašoko nuo maždaug 26 % iki beveik 40 %. Tai rodo, kad modelis vis geriau supranta ne tik teorinę spragą, bet ir tai, kaip ji veiktų praktikoje.

Codex Security ir „Patch the Planet"

Kartu su modeliu OpenAI atnaujino Codex Security papildinį. Juo galima atlikti gilius kodo skenavimus arba peržiūrėti tik naujausius pakeitimus, generuoti ataskaitas su spragų rimtumu, paveiktomis kodo vietomis, patvirtinimo įrodymais ir taisymo gairėmis, atsekti atakų kelius ir kurti grėsmių modelius. Papildinys taip pat gali triažuoti jau esamus radinius iš skenerių, pranešimų ar „bug-bounty" ataskaitų ir masiškai generuoti pataisas, kad organizacijos greičiau uždarytų susikaupusį spragų atsilikimą.

Lygiagrečiai OpenAI kartu su saugumo bendrove Trail of Bits paleido iniciatyvą „Patch the Planet", skirtą atvirojo kodo projektams apsaugoti. Tarp pirmųjų dalyvių — cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, Go projektas, freenginx, Python ir python.org. Tikslas — padėti šių kritinių, dažnai savanorių prižiūrimų projektų komandoms peržiūrėti ir patvirtinti radinius, sukurti pataisas bei testus.

Ką Daybreak jau rado

OpenAI teigia, kad Daybreak iniciatyva jau padėjo aptikti nemažai realių spragų įvairiose operacinėse sistemose ir naršyklėse:

• 8 branduolio atminties nutekėjimo PoC ir 24 vietinio privilegijų eskalavimo išnaudojimai Linux branduolyje;
• 23 metų senumo „use-after-free" spraga OpenBSD branduolio System V semaforų realizacijoje;
• 34 pažeidžiamumai ir 7 privilegijų eskalavimo PoC FreeBSD sistemoje;
• 6 spragos dnsmasq paslaugoje;
• DoS technika „HTTP/2 Bomb", paveikianti pagrindines HTTP/2 realizacijas — NGINX, Apache, IIS ir Pingora;
• 5 išnaudojamos spragos Google Chrome V8 variklyje, 10 Apple Safari spragų ir „WebAssembly" pažeidžiamumas Mozilla Firefox.

Šis sąrašas iliustruoja, kodėl tema tokia jautri: tos pačios galimybės, kurios padeda gynėjams, gali pasitarnauti ir užpuolikams.

Prieiga tik patikrintiems gynėjams

OpenAI sąmoningai riboja prieigą prie galingiausių galimybių. GPT-5.5-Cyber prieinamas tik per „Trusted Access for Cyber" — tapatybe ir pasitikėjimu grįstą programą, kuria siekiama užtikrinti, kad pažangūs įrankiai patektų į tinkamas rankas, t. y. patikrintiems gynėjams, dirbantiems gynybinį darbą.

Daugumai komandų OpenAI rekomenduoja pradėti nuo įprasto GPT-5.5 su „Trusted Access" ir Codex Security. Be to, veikia Daybreak Cyber Partner programa, per kurią galimybės pasiekia organizacijas per saugumo gigantų produktus — tarp partnerių minimi Cisco, CrowdStrike, Palo Alto Networks, Cloudflare, Fortinet, IBM, Okta, SentinelOne, Wiz ir Zscaler.

Dvigubas ašmuo: gynyba ir grėsmė

Saugumo ekspertai pabrėžia, kad pažangūs modeliai spartina ne tik gynybą. „Ribotos techninės kompetencijos grėsmės subjektai gali naudoti viešai prieinamus AI modelius piktavališkiems tikslams", — dar gegužę įspėjo Kanados kibernetinio saugumo centras. Australijos, Kanados, Naujosios Zelandijos, JK ir JAV žvalgybos agentūros perspėjo, kad pažangūs modeliai gali padidinti kibernetinių grėsmių greitį, mastą ir sudėtingumą bei sutrumpinti langą tarp spragos aptikimo ir jos išnaudojimo. Anot jų, „terminas matuojamas ne metais, o mėnesiais".

Būtent todėl pasikeitė ir pati problema. Anksčiau sunkiausia buvo rasti pažeidžiamumus — dabar, kai modeliai juos randa masiškai, kliūtis persikėlė į jų lopymą. Programų prižiūrėtojai skęsta vis didėjančiame patvirtintinų ir taisytinų klaidų sraute. GPT-5.5-Cyber ir „Patch the Planet" kaip tik ir bando atstatyti pusiausvyrą gynėjų pusėje.

Ką tai reiškia Lietuvos verslui

Lietuvos įmonėms kibernetinis saugumas jau seniai nebėra „didelių korporacijų" rūpestis — NIS2 reikalavimai, tiekimo grandinės atakos ir vis dažnesni incidentai liečia ir mažas komandas. Daugumoje Lietuvos įmonių IT ir saugumą prižiūri vos keli žmonės, todėl įrankis, kuris padeda greičiau triažuoti ir užlopyti spragas, gali realiai sumažinti riziką.

Svarbu suprasti ir ribas: GPT-5.5-Cyber kol kas prieinamas tik patikrintoms organizacijoms, o jo galia veikia abiem kryptimis. Praktinė išvada Lietuvos verslui — neatidėliotini pagrindai: reguliarus atnaujinimas, spragų valdymo procesas ir pasiruošimas tam, kad atakos vystysis greičiau nei anksčiau. AI gynyboje yra galingas pagalbininkas, bet tik tada, kai pamatai jau sutvarkyti.

DUK

Kas yra GPT-5.5-Cyber?

Tai specializuota OpenAI GPT-5.5 versija, skirta kibernetiniam saugumui. Ji aptinka spragas dideliuose kodų masyvuose, patvirtina jas kontroliuojamoje aplinkoje ir kuria bei testuoja pataisas.

Ar bet kas gali ja naudotis?

Ne. Prieiga ribota ir teikiama tik per „Trusted Access for Cyber" programą patikrintoms gynybos organizacijoms, taip pat per partnerių (Cisco, Cloudflare, CrowdStrike, Palo Alto Networks ir kt.) produktus.

Kuo GPT-5.5-Cyber pranašesnis už įprastą GPT-5.5?

Saugumo testuose jis lenkia įprastą modelį: CyberGym 85,6 % prieš 81,8 %, ExploitGym 39,5 % prieš 25,95 %, SEC-bench Pro 69,8 % prieš 63,1 %.

Ar AI, randantis spragas, nėra pavojingas?

Tos pačios galimybės gali pasitarnauti ir užpuolikams, todėl OpenAI riboja prieigą ir palieka žmogų sprendimų grandinėje. Žvalgybos agentūros įspėja, kad atakos spartės, todėl gynybos pagrindai tampa dar svarbesni.