اوپن‌ای‌آی (OpenAI) روز ۵ نوامبر ۲۰۲۶ (۱۴ آبان ۱۴۰۵) مدل GPT-6 Cyber را معرفی کرد؛ مدلی که برای پژوهش امنیت سایبری ساخته شده و کارش پیدا کردن آسیب‌پذیری، بررسی اثر آن و کمک به ساختن وصله است. این خبر برای مدیرانی مهم است که امنیت سایبری را فقط کار تیم فنی می‌دانند.
در این مقاله می‌خوانید GPT-6 Cyber چیست، اوپن‌ای‌آی چه عددهایی درباره آن منتشر کرده، دسترسی به آن چطور محدود شده و یک مدیر از همین حالا چه کارهای ساده‌ای برای امنیت سایبری شرکتش می‌تواند انجام دهد. همه عددها از صفحه رسمی معرفی این مدل آمده است.
GPT-6 Cyber چیست؟
GPT-6 Cyber مدل تخصصی اوپن‌ای‌آی برای پژوهشگران امنیت است. طبق صفحه رسمی، این مدل آموزش دیده تا آسیب‌پذیری‌های قابل بهره‌برداری مخرب را پیدا و تایید کند و در همان حال از محدوده‌ای که پژوهشگر تعیین کرده بیرون نرود. نسخه قبلی آن GPT-5.6 Cyber بود.
نکته مهم این است که این مدل یک ابزار عمومی برای همه کاربران چت جی پی تی (ChatGPT) نیست. اوپن‌ای‌آی آن را بخشی از برنامه‌ای به نام دی‌بریک (Daybreak) معرفی کرده که برای مدافعان و تیم‌های امنیت سایبری طراحی شده است.
تفاوت با مدل‌های معمولی
مدل‌های عمومی مثل GPT-6 Astra طبق گفته اوپن‌ای‌آی در بازبینی کد، اولویت‌بندی آسیب‌پذیری و ساختن وصله کمک می‌کنند. GPT-6 Cyber یک قدم جلوتر است و برای آزمون‌های مجاز و عمیق‌تر امنیتی ساخته شده؛ کارهایی که مدل عمومی معمولا رد می‌کند.
اوپن‌ای‌آی دو مسیر را از هم جدا کرده است. دی‌بریک بلو (Daybreak Blue) به مدافعان تاییدشده کمک می‌کند آسیب‌پذیری‌ها و اصلاح‌ها را با ردهای بی‌مورد کمتر بررسی کنند. دی‌بریک رد (Daybreak Red) برای آزمون‌های مجاز و عمیق‌تر امنیت سایبری با GPT-6 Cyber است.
اوپن‌ای‌آی این مدل را در چارچوب آمادگی (Preparedness Framework) خودش در سطح «بحرانی» (Critical) برای امنیت سایبری طبقه‌بندی کرده است. نسخه قبلی در سطح «بالا» بود. این طبقه‌بندی درباره توانایی بالقوه مدل در چارچوب خود شرکت است، نه نشانه ناامن بودن همه کاربردهای آن. برای مدیر، این یعنی ابزارهای امنیت سایبری با هوش مصنوعی دیگر فقط دستیار نوشتن گزارش نیستند.
تمرکز روی ماندن در محدوده مجاز
یکی از نگرانی‌های اصلی درباره ایجنت‌های امنیتی این است که از کار تعیین‌شده بیرون بروند و به سرویس‌هایی دست بزنند که اجازه‌اش را نداشته‌اند. اوپن‌ای‌آی می‌گوید روی همین مساله آموزش ویژه داده است: ماندن در محدوده، رعایت محدودیت‌ها و گزارش دقیق کار.
در یک آزمون جداگانه، این مدل بدون دستور ایمنی هنگام استقرار در ۹۹.۹۳ درصد موارد از حمله به سرویس‌های خارج از محدوده خودداری کرد؛ این عدد برای نسخه قبلی ۹۴.۴۹ درصد بود. با دستور ایمنی، طبق گزارش اوپن‌ای‌آی، مدل در ۱۰۰ درصد موارد در محدوده ماند.
اوپن‌ای‌آی چه نتایجی را گزارش کرده است؟
عددهای این بخش ادعای خود اوپن‌ای‌آی در صفحه معرفی است و هنوز ارزیابی مستقل جداگانه‌ای از آن‌ها در این مقاله بررسی نشده است. با این حال، برای فهم مسیر حرکت ابزارهای امنیت سایبری مفیدند.
دو دسته نتیجه منتشر شده است: نتایج آزمون‌های استاندارد و نتایج کار روی نرم‌افزارهای واقعی. دسته دوم برای مدیران ملموس‌تر است، چون نشان می‌دهد این ابزارها در نرم‌افزارهایی که هر روز استفاده می‌کنیم چه پیدا کرده‌اند.
آزمون‌های استاندارد
در آزمون اکسپلویت‌جیم (ExploitGym) که می‌سنجد مدل می‌تواند یک آسیب‌پذیری مشخص را عملا به کار بگیرد یا نه، GPT-6 Cyber امتیاز ۴۸.۵ درصد گرفته است. نسخه قبلی ۳۲.۱ درصد گرفته بود. اوپن‌ای‌آی این را ۵۱ درصد بهبود نسبی می‌نامد.
در آزمون تازه‌ای برای پیدا کردن آسیب‌پذیری در برنامه‌های تحت وب، بدون دسترسی به کد منبع، این مدل ۴۰.۳ درصد آسیب‌پذیری‌ها را پیدا کرده است. این عدد برای GPT-6 Astra برابر ۳۲ درصد بوده است.
فایرفاکس و لینوکس
مهم‌ترین عدد درباره مرورگر فایرفاکس (Firefox) است. به گفته اوپن‌ای‌آی، GPT-6 Cyber در یک دوره پژوهش برای ۸۱ آسیب‌پذیری تازه که موزیلا (Mozilla) آن‌ها را «شدید» طبقه‌بندی کرده، شواهد و آزمون‌های قابل تکرار ساخت. این ادعا درباره همان دوره پژوهش است، نه کل وضعیت امنیتی فایرفاکس. همچنین نشان داد ۳۰ مشکل شناخته‌شده دیگر شدیدتر از گزارش قبلی‌اند.
اوپن‌ای‌آی می‌گوید یافته‌ها همراه وصله‌های پیشنهادی به موزیلا گزارش شد و موزیلا کمی بعد از دریافت گزارش‌ها، اعمال اصلاح‌ها را شروع کرد. یعنی خروجی کار فقط یک فهرست ایراد نبود؛ پیشنهاد اصلاح هم داشت و تصمیم نهایی با تیم سازنده نرم‌افزار بود.
در هسته لینوکس (Linux) هم طبق همین گزارش، مدل ۱۷۲۴ آسیب‌پذیری را بازسازی کرد. اوپن‌ای‌آی می‌گوید طبق راهنمای جامعه لینوکس، ۳۰۴ یافته بحرانی را همراه وصله‌های پیشنهادی به نگهدارندگان گزارش کرده و رفع بقیه در جریان است.
دسترسی به GPT-6 Cyber چطور کنترل می‌شود؟
ابزاری که می‌تواند ضعف نرم‌افزار را پیدا کند، در دست اشتباه خطرناک است. برای همین بخش دسترسی این خبر برای مدیران همان‌قدر مهم است که بخش توانایی. اوپن‌ای‌آی تاکید کرده این مدل را با محافظ‌های بیشتر عرضه می‌کند.
طبق صفحه رسمی، GPT-6 Cyber در ابتدا فقط از طریق API و کدکس (Codex) و فقط برای گروهی منتخب از مشتریان تاییدشده دی‌بریک رد (Daybreak Red) در دسترس است. اوپن‌ای‌آی می‌گوید به‌زودی و به‌تدریج دسترسی را به همه مشتریان دی‌بریک رد گسترش می‌دهد، اما زمان دقیقی اعلام نکرده است.
محافظ‌هایی که اعلام شده
اوپن‌ای‌آی چند لایه محافظ برای این مدل معرفی کرده است. این‌ها را از صفحه رسمی می‌آوریم، نه از تجربه مستقل:
- پایش اینکه کارهای مدل با مجوز کاربر هم‌خوان باشد.
- الزام فهرست مجاز آی‌پی (IP allowlisting) برای دسترسی API دی‌بریک رد به‌صورت پیش‌فرض، با استثناهای محدود.
- پایش حساب‌ها برای لو رفتن اطلاعات ورود.
- مسدود کردن فعالیت پرخطر علیه زیرساخت‌های حیاتی مثل نیروگاه و تصفیه آب.
- توصیه به محیط ایزوله (sandbox)، بازبینی کارها و نظارت انسانی در کارهای پرخطر.
نقش نظارت انسانی
آخرین مورد فهرست بالا برای هر کسب‌وکار درس روشنی دارد. خود اوپن‌ای‌آی هم توصیه می‌کند کارهای پرخطر زیر نظر انسان و در محیط جدا انجام شود. ابزار پیشنهاد می‌دهد؛ تیم امنیت بررسی و تصمیم می‌گیرد.
در نمونه فایرفاکس هم همین الگو دیده می‌شود: مدل شواهد و وصله پیشنهادی ساخت، اما گزارش به موزیلا رفت و موزیلا فرایند بررسی و اعمال اصلاح‌ها را بر عهده داشت. این همان چیزی است که در نکات کاربردی از کتاب رهبر هوش مصنوعی‌محور هم آمده: انتخاب و پاسخ‌گویی با مدیر می‌ماند.
این خبر برای امنیت سایبری کسب‌وکار شما چه معنایی دارد؟
برای کسب‌وکاری که به GPT-6 Cyber دسترسی ندارد، پیام این خبر روشن است: نتایج گزارش‌شده نشان می‌دهد توان ابزارها در پیدا کردن ضعف نرم‌افزارها بیشتر شده است. وقتی ابزارها در کدهای پرآزمون مثل فایرفاکس ده‌ها مورد تازه پیدا می‌کنند، نرم‌افزارهای کوچک‌تر هم بی‌خطر نیستند و امنیت سایبری باید در فهرست کارهای مدیریتی بماند.
از طرف دیگر، همین ابزارها به مدافعان کمک می‌کنند. اوپن‌ای‌آی هم نوشته هدفش رساندن پژوهش پیشرفته امنیت سایبری به سازمان‌های همه اندازه‌ها، پژوهشگران مستقل و نگهدارندگان نرم‌افزار متن‌باز است.
اوپن‌ای‌آی از برنامه کمک‌هزینه یک میلیارد دلاری دی‌بریک برای مدافعان خط مقدم (Daybreak for Frontline Defenders) هم خبر داده که به دسترسی تیم‌های کم‌منابع، مثل سازمان‌های دولتی و ارایه‌دهندگان خدمات ضروری، کمک مالی می‌دهد. پس سوال مدیر این نیست که از ترس دست نگه دارد؛ سوال این است که آماده باشد.
به‌روزرسانی را جدی بگیرید
وقتی سازنده‌ای مثل موزیلا وصله منتشر می‌کند، ارزش آن فقط وقتی به شما می‌رسد که نصبش کنید. اگر مرورگرها، سیستم‌عامل‌ها، افزونه‌های سایت و نرم‌افزارهای شرکت با تاخیر به‌روز می‌شوند، ساده‌ترین قدم امنیت سایبری را از دست داده‌اید.
یک نفر را مسوول به‌روزرسانی کنید و یک فهرست کوتاه از نرم‌افزارهای اصلی بسازید. لازم نیست کار پیچیده باشد؛ مهم این است که کسی آن را دنبال کند و تاخیرها دیده شوند. ماهی یک بار مرور همین فهرست در جلسه مدیریت، امنیت سایبری را از حالت کار فراموش‌شده بیرون می‌آورد. این مرور جای نصب سریع وصله‌های مهم را نمی‌گیرد؛ اصلاح‌های فوری نباید تا جلسه بعدی بمانند.
از تامین‌کننده‌ها سوال بپرسید
اگر سایت، فروشگاه آنلاین یا نرم‌افزار حسابداری شما را شرکت دیگری نگه می‌دارد، از آن‌ها بپرسید آسیب‌پذیری‌ها را چطور بررسی می‌کنند و وصله‌ها را با چه سرعتی اعمال می‌کنند. اگر از هوش مصنوعی در بازبینی کد استفاده می‌کنند، بپرسید چه کسی خروجی آن را تایید می‌کند.
جواب «همه‌چیز را ابزار خودکار انجام می‌دهد» کافی نیست. همان‌طور که اوپن‌ای‌آی خودش نظارت انسانی را توصیه می‌کند، تامین‌کننده شما هم باید نشان دهد انسانی مسوول بررسی نهایی است. پاسخ روشن به این سوال‌ها بخشی از ارزیابی امنیت سایبری هر قرارداد است.
برای استفاده از هوش مصنوعی در امنیت مرز بگذارید
اگر تیم فنی شما از ابزارهای هوش مصنوعی برای بازبینی کد یا بررسی امنیت سایبری استفاده می‌کند، سه چیز را مکتوب کنید: کدام سیستم‌ها مجاز به بررسی‌اند، چه داده‌ای نباید وارد ابزار شود و چه کسی تغییر نهایی را تایید می‌کند.
این همان منطق «ماندن در محدوده» است که اوپن‌ای‌آی روی آن تاکید کرده؛ با این تفاوت که در شرکت شما، این محدوده را خود شما تعیین می‌کنید. آزمون امنیتی روی سیستمی که مالکش نیستید یا اجازه‌اش را ندارید، حتی با نیت خوب، کار درستی نیست.
آماده پاسخ به گزارش باشید
وقتی پیدا کردن ضعف سریع‌تر می‌شود، احتمال اینکه کسی ایرادی در سایت یا محصول شما گزارش کند هم بیشتر می‌شود. یک راه ارتباطی روشن برای دریافت گزارش امنیتی داشته باشید و مشخص کنید چه کسی آن را بررسی می‌کند. یک نشانی ایمیل اختصاصی و یک مسوول مشخص، یک راه ساده برای شروع سامان دادن به دریافت گزارش‌های امنیت سایبری است.
مثال موزیلا نشان می‌دهد پاسخ سریع و همکاری با گزارش‌دهنده چه ارزشی دارد. کسب‌وکاری که گزارش امنیتی را نادیده بگیرد، فرصت اصلاح را پیش از حمله از دست می‌دهد.
جمع‌بندی
GPT-6 Cyber که اوپن‌ای‌آی روز ۵ نوامبر ۲۰۲۶ معرفی کرد، نشان می‌دهد هوش مصنوعی در امنیت سایبری از نوشتن گزارش جلوتر رفته و به پیدا کردن و تایید آسیب‌پذیری و پیشنهاد وصله رسیده است. عددهای فایرفاکس و لینوکس ادعای خود اوپن‌ای‌آی است و ارزش دنبال کردن دارد.
پیام اصلی برای مدیر ساده است: دسترسی به این مدل محدود و کنترل‌شده است، اما نتایج گزارش‌شده از افزایش توان کشف ضعف‌ها خبر می‌دهد. به‌روزرسانی منظم، سوال از تامین‌کننده‌ها، مرزگذاری برای ابزارهای هوش مصنوعی و آمادگی برای گزارش امنیتی، چهار قدمی است که از همین هفته می‌شود برداشت.
برای خواندن جزییات کامل، صفحه رسمی معرفی GPT-6 Cyber در سایت اوپن‌ای‌آی را ببینید.