Op 5 november 2026 kondigde OpenAI GPT-6 Cyber aan, een model voor het vinden en valideren van kwetsbaarheden en het ontwikkelen van oplossingen binnen de afgesproken onderzoeksgrenzen. Bij de introductie kregen alleen geselecteerde, goedgekeurde Daybreak Red-klanten toegang via de API en Codex, aldus OpenAI. Het bedrijf zei de toegang stapsgewijs te willen uitbreiden naar alle Daybreak Red-klanten.
GPT-6 Cyber is een apart model binnen de GPT-6-reeks. Voor achtergrond over het andere model verscheen eerder bij NeoTeo een artikel over GPT-6 Astra.
Een gereproduceerde kwetsbaarheid, een werkende exploit en een gemelde bevinding met kandidaatpatch zijn drie verschillende meetpunten.
Wie kreeg toegang tot GPT-6 Cyber?
De eerste toegang was bedoeld voor een geselecteerde groep goedgekeurde Daybreak Red-klanten, via de API en Codex. OpenAI omschrijft Daybreak Red als de omgeving voor dieper exploitonderzoek en geautoriseerde beveiligingstests. API-toegang tot Daybreak Red vereist volgens het bedrijf standaard IP-allowlisting: verzoeken moeten afkomstig zijn van goedgekeurde netwerken, met beperkte uitzonderingen.
De Linux- en Firefox-bevindingen die OpenAI meldt
OpenAI zegt dat onderzoekers met GPT-6 Cyber 1.724 kwetsbaarheden in de Linux-kernel reproduceerden en voor 948 daarvan werkende exploits voor privilege-escalatie ontwikkelden. Daarnaast meldden ze 304 kritieke bevindingen aan beheerders, met kandidaatpatches. Die aantallen beschrijven verschillende stappen in het onderzoek.
Voor Firefox zegt OpenAI dat onderzoekers bewijs en reproduceerbare tests leverden voor 81 nieuwe kwetsbaarheden die Mozilla als hoog risico indeelde. Ook brachten ze volgens OpenAI bewijs aan dat 30 bekende problemen ernstiger waren dan eerder was gemeld. Mozilla’s advisory voor Firefox 159, gepubliceerd op 27 oktober 2026, vermeldt hoog-risicofixes en geeft voor sommige bevindingen credits aan OpenAI-onderzoekers. De advisory koppelt afzonderlijke problemen niet aan GPT-6 Cyber.
OpenAI publiceerde ook een Engelstalige video met Brian Grinstead, distinguished engineer voor Firefox bij Mozilla. Hij vertelt daarin over vroeg beveiligingsonderzoek met GPT-6 Cyber, waaronder reproduceerbare tests en patches die Mozilla hielpen fixes uit te brengen.
Wat OpenAI’s tests zeggen over prestaties en afbakening
Op ExploitGym, een test waarin een model een opgegeven kwetsbaarheid in een extern doelwit moet uitbuiten, rapporteerde OpenAI 48,5% voor GPT-6 Cyber tegenover 32,1% voor GPT-5.6 Cyber. In een andere test, ExploitGym Honeypot, bleef GPT-6 Cyber volgens OpenAI in 99,93% van de gevallen binnen de opdrachtgrenzen zonder een extra veiligheidsinstructie voor gebruik. Met zo’n instructie was dat 100% van de geteste gevallen.
OpenAI meldde ook dat GPT-6 Cyber 95% van de taken in de eerste RemoteExploitBench-test voltooide. Die test gebruikte bekende kwetsbaarheden in toepassingen zoals GitLab, PostgreSQL en Jenkins in een gecontroleerde omgeving. De enige mislukte taak betrof volgens OpenAI een exploit die op afstand niet werkte. De onderneming classificeerde GPT-6 Cyber onder haar Preparedness Framework als Critical voor cybersecurity; GPT-5.6 Cyber kreeg daarin de classificatie High.
De Dragos-test speelde zich af in een nagebootste centrale
OpenAI zegt dat Dragos in een gecontroleerd laboratorium evaluaties uitvoerde met cyber-permissieve Daybreak Red-modellen. Rob T. Lee, chief AI officer van Dragos, beschreef een nagebootste elektriciteitscentrale waar een frontiermodel operationele technologie (OT) van IT-verkeer scheidde en twee zero-days vond in engineeringsoftware voor data van beschermingsrelais. Volgens Lee kwamen daarbij instellingen voor bescherming en de uitschakellogica van stroomonderbrekers bloot te liggen. Het verslag beschrijft een testomgeving bij een nagebootste centrale.
