OpenAI chính thức giới thiệu GPT-6 Cyber, mô hình trí tuệ nhân tạo chuyên phát hiện, khai thác và hỗ trợ khắc phục lỗ hổng bảo mật. Khả năng tìm ra hàng trăm điểm yếu trong những phần mềm đã được kiểm tra kỹ lưỡng cho thấy AI đang thay đổi cách nghiên cứu an ninh mạng, đồng thời đặt ra thách thức mới khi tin tặc cũng có thể tận dụng công nghệ tương tự.
Trong công bố ngày 5/11/2026, OpenAI cho biết GPT-6 Cyber được huấn luyện chuyên sâu cho các tác vụ an ninh mạng, từ phân tích mã nguồn, xác định lỗ hổng đến phát triển mã khai thác (exploit) để kiểm chứng mức độ nguy hiểm. Hãng xếp mô hình này vào mức Critical, cấp độ năng lực an ninh mạng cao nhất theo khung đánh giá Preparedness Framework.
GPT-6 Cyber có thể phát hiện và khai thác hàng trăm lỗ hổng bảo mật
Trong quá trình thử nghiệm, OpenAI sử dụng GPT-6 Cyber để tái hiện thành công 1,724 lỗ hổng trong nhân Linux, đồng thời phát triển mã khai thác hoạt động được đối với 948 lỗ hổng leo thang đặc quyền. Hãng đã thông báo 304 phát hiện nghiêm trọng cho những đơn vị duy trì phần mềm, kèm theo các bản vá đề xuất.
Đối với Firefox, GPT-6 Cyber phát hiện 81 lỗ hổng mới được Mozilla đánh giá ở mức nghiêm trọng cao. Mô hình còn xác định thêm 30 lỗ hổng đã biết có mức độ nguy hiểm lớn hơn đánh giá trước đó. Những phát hiện được chuyển đến Mozilla cùng các bản vá đề xuất, trong đó nhiều lỗi đã được khắc phục.
Kết quả trên bài kiểm thử ExploitGym cũng cho thấy sự tiến bộ về khả năng khai thác lỗ hổng. GPT-6 Cyber đạt tỷ lệ thành công 48.5%, so với 32.1% của GPT-5.6 Cyber. Trên RemoteExploitBench, mô hình hoàn thành 95% nhiệm vụ khai thác lỗ hổng từ xa trong môi trường thử nghiệm có kiểm soát.
Khả năng này không còn giới hạn ở những mô hình AI chuyên biệt. Theo TechCrunch, Max Justicz, đồng sáng lập kiêm Giám đốc công nghệ Charge Robotics, đã sử dụng GPT-5.6 Sol thông qua chương trình Daybreak Blue để tìm ra một lỗ hổng nghiêm trọng liên quan đến các máy chủ Ubuntu.
Justicz cung cấp mã nguồn và yêu cầu AI tìm những lỗi có mức độ nghiêm trọng tương đương hoặc cao hơn một lỗ hổng từng được phát hiện trước đó. Sau khoảng 2 giờ, mô hình đưa ra kết quả. Lỗ hổng sau đó được báo cáo cho Debian Project và đã được khắc phục, dù chưa có bằng chứng cho thấy lỗi từng bị khai thác trong thực tế.
Đáng chú ý, Justicz cho biết đã chi khoảng 5,000 USD cho các gói đăng ký và token AI để tìm ra nhiều lỗ hổng bảo mật. Trường hợp này cho thấy những công việc vốn đòi hỏi kinh nghiệm chuyên sâu và nhiều thời gian phân tích đang có thể được thực hiện nhanh hơn đáng kể với sự hỗ trợ của AI.
Cuộc đua bảo mật khi AI cũng có thể trở thành công cụ của tin tặc
OpenAI hiện chỉ cung cấp GPT-6 Cyber cho một nhóm khách hàng được phê duyệt trong chương trình Daybreak Red, thông qua API và Codex. Đây là cấp truy cập dành cho những tổ chức thực hiện nghiên cứu bảo mật chuyên sâu, bao gồm kiểm thử xâm nhập và phát triển mã khai thác trong phạm vi được cấp phép.
Để hạn chế nguy cơ lạm dụng, OpenAI triển khai các biện pháp kiểm soát quyền truy cập, giám sát hoạt động có nguy cơ vượt quá phạm vi được cho phép và hạn chế kết nối API từ những địa chỉ IP chưa được phê duyệt. Trong bài kiểm thử ExploitGym Honeypot, GPT-6 Cyber tuân thủ phạm vi nhiệm vụ ở 99.93% trường hợp khi chưa có hướng dẫn an toàn bổ sung và đạt 100% khi áp dụng hướng dẫn này.
Tuy nhiên, việc giới hạn quyền truy cập cũng tạo ra một vấn đề khác. Các chuyên gia bảo mật hợp pháp có thể gặp khó khăn khi tiếp cận những mô hình mạnh nhất, trong khi tin tặc vẫn có khả năng khai thác các mô hình AI có trọng số công khai đã bị loại bỏ cơ chế bảo vệ.
Ngay cả khi AI giúp phát hiện lỗ hổng nhanh hơn, quá trình xác minh, phát triển bản vá và triển khai cập nhật vẫn phụ thuộc đáng kể vào nguồn lực của các nhóm phát triển phần mềm. Điều này đặc biệt đáng lo ngại với những dự án mã nguồn mở được duy trì bởi các nhóm nhỏ nhưng đóng vai trò quan trọng trong hạ tầng công nghệ toàn cầu.
OpenAI đang mở rộng chương trình Daybreak nhằm đưa các công cụ bảo mật tiên tiến đến nhiều tổ chức và nhà nghiên cứu hơn. Hãng cũng công bố sáng kiến hỗ trợ trị giá 1 tỷ USD dành cho những đơn vị bảo vệ cơ sở hạ tầng trọng yếu, bao gồm hệ thống điện và nước.
Dù vậy, quy mô đầu tư vào việc tìm kiếm và xử lý lỗ hổng vẫn là vấn đề được đặt ra. Theo TechCrunch, chiến dịch kiểm tra nhân Linux của OpenAI tiêu tốn khoảng 1.2 triệu USD, thấp hơn đáng kể so với khoản chi phí tính toán khoảng 6 triệu USD mà hãng từng dành cho việc tìm lời giải của một bài toán nổi tiếng trong lĩnh vực cơ học chất lưu.
Sự xuất hiện của GPT-6 Cyber đánh dấu bước tiến đáng kể trong khả năng tự động hóa nghiên cứu an ninh mạng. Khi AI có thể tìm ra và khai thác lỗ hổng với tốc độ ngày càng cao, lợi thế của các chuyên gia bảo mật sẽ phụ thuộc nhiều hơn vào khả năng xác minh và triển khai bản vá trước khi những điểm yếu tương tự bị tin tặc phát hiện và lợi dụng.
