588 חולשות חדשות ב-Linux kernel: GPT-6 Cyber חושף, ו-OpenAI מכפילה פי 4 את ה-bug bounties

GPT-6 Cyber הוא מודל ה-agent של OpenAI שנבנה לעבודת אבטחה, גם התקפית וגם הגנתית. OpenAI מדרגת אותו 'Critical' ביכולות cybersecurity. המודל מצא 948 exploits בקרנל של Linux, ו-588 מהם לא היו מוכרים קודם. לדברי Greg Brockman, הוא כבר עוזר להגן על הקרנל של Linux, על Firefox ועל פרויקטים קריטיים נוספים.

טענת הבטיחות המרכזית היא משמעת בגבולות הגזרה. OpenAI אומרת שאימנה את המודל להישאר בתוך כללי ההתקשרות (rules of engagement) שהמפעיל מגדיר, ו-The Register סיכם את ההשקה בכותרת 'הפעם הוא נשאר בתוך הכללים'. לצד המודל, OpenAI פתחה את Daybreak Red ללקוחות מאושרים ב-AWS GovCloud (US-East), ומצהירה שנתוני ה-inference שם לא משמשים לאימון.

במקביל OpenAI העלתה משמעותית את תוכנית ה-bug bounty:

- באג קריטי ב-ChatGPT, ב-Codex או ב-API Platform מזכה עכשיו בעד 30,000 דולר, או 51,577 דולר עם בונוסים, לעומת 6,500 דולר קודם.

- ממצאים יוצאי דופן יכולים להגיע עד 172 אלף דולר.

ההשקה היא חלק משבוע עמוס בתחום ה-cyber: Mistral הדגימה את Large 4 מתקן CVE ב-Django, וה-Frontier Model Forum הציע מסגרת משותפת לדירוג jailbreaks.

הספקנים לא שותקים. מפתחים מתוסכלים מהגישה המוגבלת, ומשתמש ב-HN בשם TuxSH שאל מה הטעם לעכב את Daybreak Blue 'כשחולשות CVE עם השפעה גבוהה מתפרסמות כמה פעמים בשבוע'. אחרים מציינים שאף גורם בלתי תלוי לא אימת את ה-guardrails של כללי ההתקשרות. ושרשור פופולרי ב-r/OpenAI שמופנה למתחזקי הקרנל מצביע על המחיר האנושי: מתחזקי open-source צריכים עכשיו למיין מבול של באגים שה-AI מוצא.