948 个提权漏洞，30 小时扫完：GPT-6 Cyber 把 Linux 内核翻了个底朝天

2026 年 11 月 5 日，OpenAI 发布基于 GPT-6 Astra 的网络安全专用模型 GPT-6 Cyber，并把安全评级直接拉到最高档 Critical。在 10 月中旬的一场 30 小时自动化测试里，它从 Linux 内核里挖出 948 个可用的本地提权漏洞（其中 588 个此前未知），还顺手给 Firefox 找了 81 个未知高危漏洞。算下来每个可用漏洞的 API 成本只要 1279 美元，而截至报道时，这批漏洞修复的比例还不到 25%。

大家平时总觉得 Linux 内核经过全球顶尖程序员几十年审视，早就固若金汤。

实际上，2026 年 11 月 5 日（周四）发布的 GPT-6 Cyber 只跑了大约 30 个小时，就从内核里顺手拧出了 948 个能直接拿走 root 权限的可用武器。

更让人睡不着觉的地方在于，这批漏洞里目前修好的连四分之一都不到，而算力成本折合下来，造出一把提权武器只需要 1279 美元。

30 个小时，一套五阶段管线把内核筛了一遍

事情发生在 2026 年 10 月中旬。OpenAI 把基于 GPT-6 Astra 打造的网络安全专用模型 GPT-6 Cyber 放进了测试场，并在 11 月 5 日同日发布了系统卡。别去 ChatGPT 网页端找它，这东西压根不面向公众开放聊天，它的定位从一开始就写得很死：授权渗透测试、漏洞发现、防御安全运营。

在这场大约 30 小时的自动化运行里，五阶段管线盯上了 Linux 内核。它没做全量盲扫，只挑了约 5034 处安全相关位置下手，这部分代码差不多占内核总量的 7%。

接下来的漏斗转化率，我第一眼看到时以为自己看错了小数点。管线从 5034 处位置里标记出 2308 个可疑点，接着拉起沙箱逐一真刀真枪去撞，生生复现出 1724 个真实漏洞。到最后一步，模型自己动手写利用代码，交出了 948 个可用的本地提权（LPE）exploit。

这 948 个能直接跑通的提权工具里，有 588 个此前从来没人知道。另外据 daily.dev 报道，管线还顺手做出了 291 个信息泄露的验证代码（PoC）。

我们平时习惯了安全研究员熬几个通宵盯一段驱动代码，两三个月憋出一篇分析文章。现在机器用一天零六个小时，只扫了 7% 的地盘，就把几百个未知漏洞连带利用工具一起打包摆在桌面上。

1279 美元买一个提权漏洞，这笔账怎么算

很多人觉得跑这种级别的模型肯定贵得离谱。账单确实不小，整场战役烧掉了大约 121.343 万美元的 API 积分。

但你要把 121.343 万美元除以 948 个可用 exploit，单价立刻掉到了约 1279 美元。

1279 美元在安全圈能买到什么？去看看 Pwn2Own 或者 TyphoonPWN 这类顶级黑客大赛的历史赏金，一个成体系的漏洞利用链，标价在 2 万到 7 万美元之间。按这个行情折算，GPT-6 Cyber 在 30 小时里挖出来的这批货，黑市或赏金池里的账面价值在 1890 万至 6630 万美元之间。

我也帮大家盯了一眼平时调用 API 的水牌价。据 VentureBeat 报道（经 Medium 汇总），GPT-6 Cyber 的 API 定价定在输入 20 美元/百万 token、输出 100 美元/百万 token，缓存输入则是 2 美元。跟自家的上一代 GPT-5.6 Cyber 比，输入贵了约 60%，输出贵了约 33%。

如果放到整个行业里比价，OpenAI 这次把镰刀磨得挺快。同样据 VentureBeat 报道，这个价格刚好达到 Anthropic Mythos 5.1（输入 10 美元/输出 50 美元）的两倍，更是 Google Argon Cyber Permissive（输入 4 美元/输出 20 美元）的整整五倍。

哪怕顶着五倍的高价，单次提权漏洞的产出成本依然被压在 1279 美元。以前需要养一整个高薪安全团队干一年的活，现在变成了一张可以精准核算投入产出比的显卡电费单。

从 166 到 948，四个月翻了五倍多

大家以为模型能力到了 2026 年已经开始撞墙放缓，实际上在垂直的漏洞挖掘上，斜率陡得吓人。

往前倒推三个多月，今年 7 月份的时候，OpenAI 拿上一代 GPT-5.6 Sol 在完全相同的条件下跑过一回。当时花了 51.369 万美元，只做出 166 个可用 exploit。

从 7 月到 10 月中旬，总花费涨到原来的约 2.4 倍，但端出来的可用武器数量直接翻了 5 倍多。在公开基准测试 ExploitGym 上，前代 GPT-5.6 Cyber 的得分停在 32.1%，而 GPT-6 Cyber 跨到了 48.5%。

这种能力跃升把 OpenAI 自己也吓得够呛。他们内部的 Preparedness Framework（准备度框架）此前一直把模型的网络安全能力停在 High 这一档，这次随着 GPT-6 Cyber 发布，评级直接拉到了最高档 Critical。

为了防止通用模型被人拿去干坏事，OpenAI 把日常模型和专用模型切得很开。据 LinkedIn 汇总报道，在 RemoteExploitBench 测试里，通用底座 GPT-6 Astra 拒绝了 100% 的任务，一个字都不肯多写；而换成专门解开束缚的 GPT-6 Cyber，任务完成率直接飙到 95%。

那怎么管住这头完成了 95% 攻击任务的怪兽？同样据该汇总报道，在蜜罐测试中，如果不加安全提示，GPT-6 Cyber 在 99.93% 的情况下不会去碰授权范围外的服务；一旦加上安全提示，遵守红线的比例达到 100%。

因为拿到了 Critical 评级，你我有钱也买不到它的调用权限。这个模型只向 Daybreak Red 计划里获批的客户开放，通过 API 与 Codex 接入使用。OpenAI 同步推出了面向关键基础设施的 Daybreak Red，并且已经把服务搬上了 AWS GovCloud（美国东部）。

与此同时，OpenAI 在 11 月 2 日悄悄干了另一件事：把自家漏洞赏金的中位数平均翻了约 4 倍。以前给 ChatGPT、Codex、API 平台交一个严重漏洞，最高也就拿 6500 美元；现在严重漏洞最高给到 3 万美元，算上额外奖励能拿 51577 美元。如果是特别严重的发现，基础赏金最高 10 万美元，含奖励最高能领走 17.2 万美元。他们自己心里最清楚，外面的攻击者手里的工具也在升级，不撒重金根本守不住防线。

为什么你手里的电脑和服务器也在这场风暴里

看到这里，很多写业务代码的开发者或者普通桌面用户会觉得，这都是内核维护者和国家关键基础设施操心的事，跟自己那台跑着小网站的云主机没啥关系。

真这么想就太天真了。948 个漏洞全部属于本地提权（LPE）。这意味着只要攻击者通过随便什么低级弱口令、过期的 Web 插件或者钓鱼脚本，在你没打补丁的系统里拿到一个权限最低的普通访客账号，他就能立刻调起现成的提权工具，一秒钟变成系统的最高管理员 root。在几十万行自动化攻击代码面前，一个没更新内核的普通权限账号，直接等于交出整台机器。

就算你不碰 Linux 服务器，你每天上网总要用浏览器吧。OpenAI 用同一套能力顺手扫了一遍 Firefox，直接揪出了 81 个此前未知的高危漏洞。好消息是 Mozilla 已经开始动手修复了，坏消息是你如果习惯性关掉浏览器自动更新，现在随便点开一个恶意网页都可能中招。

开发环境同样是个筛子。据 Medium 在 11 月 6 日的汇总报道，就在同一周，一个被篡改的 Claude Code 扩展混进了软件供应链，波及了最多 5000 名 Cursor 用户。你看，前面有大模型批量制造系统级漏洞，后面有被污染的编辑器插件直接往程序员电脑里投毒。

OpenAI 在发布时直接放话警告：防守方能独占这类模型的时间窗口非常有限，攻击者迟早会拿到类似的能力。他们还把一场网络安全主题直播定在了 11 月 12 日，估计到时候还会有更多让人坐不住的细节放出来。

诚实的冷水：修好的不到四分之一，补丁未必进得了上游

账面上的数字看着威风八面，但作为常年跟开源社区打交道的人，我必须往这盆火里泼几瓢冷水。发现漏洞和修好漏洞之间，隔着十万八千里。

据 Noma Security 的 Chris Hughes 指出，截至报道出来的时候，这批被发现的漏洞里，真正完成修复的还不到 25%。也就是说，超过四分之三的漏洞目前还处在没打上正式补丁的状态。

更麻烦的是验证问题。据 daily.dev 报道，OpenAI 既没有向外披露这 948 个漏洞的具体验证细节，也没有说明模型生成的补丁到底有没有被 Linux 内核上游接受。熟悉 Linux 内核邮件列表脾气的人都知道，维护者们对 AI 生成的代码向来极其挑剔，一个能在沙箱里挡住攻击的补丁，未必符合内核的架构规范，直接被退回或者搁置是家常便饭。

我们手头能看到的进展相当有限。据 LinkedIn 的一份汇总报道，在 10 天的扫描期内，有 61 个已报告的提权漏洞已经在上游完成修复，43 个有了暂存补丁，还有 299 个进入了公开讨论阶段。把这几个数字加起来，离 948 的总数依然差着一大截。这也是为什么我现在看任何未打补丁的生产环境都觉得后背发凉。

五家死对头同一天坐下来定规矩

就在 GPT-6 Cyber 发布的 2026 年 11 月 5 日同一天，平时在算力、价格和人才上掐得死去活来的五家巨头——OpenAI、Anthropic、Google DeepMind、微软、亚马逊，突然通过前沿模型论坛（Frontier Model Forum）联合发布了《越狱评级框架》1.0 版。

大家平时看惯了他们互相发公关稿拆台，但在“有人通过越狱把安全模型变成黑客武器”这件事上，五家公司显然感到了同一种恐惧。

这个框架专门用来给一次成功的网络越狱打分。它设了四个维度，每个维度从 0 到 3 分：能力增益、能力范围、部署难易、发现难易。四个分数合在一起，最终归入五个风险档位：Negligible（可忽略）、Low、Medium、High、Critical。

里头有一条很硬的规矩：如果“能力增益”这一项得 0 分，不管其他几项多高，直接判为 Negligible。怎么算有没有增益？框架把基线定在了 2026 年 10 月最强的公开模型上，可以用 ExploitBench、ExploitGym 这类基准去量。换句话说，如果你费尽心机越狱了一个受限模型，结果它写出来的攻击代码还不如 10 月份市面上随便就能调的公开模型强，那就根本不值得拉响警报。

这份框架自称目前只是初步版本，公开征求意见一直持续到 2026 年 12 月 21 日。巨头们急着在 11 月初把这个粗线条的尺子扔出来，恰恰说明水面下的越狱尝试已经频繁到了必须统一报警标准的地步。

这周你该动手的几件事

既然那 61 个已进上游的补丁和 Mozilla 的修复已经在路上，抱怨没用，动手更新才是正经事。我把这周大家要做的自查分成两档，你可以直接照着做。

如果你是普通桌面用户或写代码的开发者：

第一件事，立刻去把 Firefox 浏览器更新到最新版本，重启浏览器让那 81 个高危漏洞的修复生效。

第二件事，如果你在用 Cursor 或者 VS Code 这类编辑器，马上打开扩展列表，挨个检查你装过的辅助编程插件，特别是名字里带 Claude Code 的扩展，核对发布者签名和安装来源，发现不对劲立刻卸载并重置你的 API 密钥。

如果你是管着 Debian 或 Ubuntu 服务器的管理员：

别拖到下个月的维护窗口了，今天就把内核版本和待更新的安全包查一遍。下面这几行命令可以直接复制进终端跑起来，用来看当前内核、拉取最新安全源并升级系统和浏览器：

# 1. 查看当前正在运行的 Linux 内核版本和发行版信息
uname -sr
lsb_release -a

# 2. 更新软件源并专门筛选查看是否有内核与 Firefox 相关的更新包
sudo apt update
apt list --upgradable | grep -E "linux-image|linux-headers|firefox"

# 3. 执行系统安全更新（包含最新上游下放的内核补丁与浏览器更新）
sudo apt full-upgrade -y

# 4. 检查系统是否因为更新了内核而需要重启生效
if [ -f /var/run/reboot-required ]; then
    echo "警告：内核或关键组件已更新，请尽快安排重启服务器！"
    cat /var/run/reboot-required.pkgs
else
    echo "当前无需重启。"
fi

花五分钟跑完这几行命令并重启一下机器，总比等别人用 1279 美元成本训出来的自动化脚本替你接管服务器要划算得多。

来源

• https://www.theregister.com/security/2026/11/05/openai-releases-gpt-6-cyber-and-promises-this-one-stays-within-rules-of-engagement/5307855
• https://daily.dev/posts/openai-says-its-cyber-model-patched-948-linux-kernel-privilege-escalation-bugs-in-one-run-joeov8zrh
• https://www.frontiermodelforum.org/updates/introducing-the-fmf-jailbreak-rating-framework-for-frontier-cyber-threats/
• https://aibriefing.dev/story/3e93342c42d6/
• https://www.ma-no.org/en/security/gpt-6-cyber-finds-948-exploits-in-the-linux-kernel