OpenAIs GPT-5.6-Cyber svarer på 95 prosent av blokkerte sikkerhetsspørsmål

95 prosent mot 1,5 prosent. Det er avstanden mellom OpenAIs nye GPT-5.6-Cyber og selskapets egen GPT-5.6 Sol med ordinære sperrer, målt på den interne testen «Advanced Cybersecurity Completion Rate». Den dekker scenarier som utvikling av exploit-kjeder, omgåelse av autentisering og rettighetseskalering. The Decoder skriver at modellen er bygget på Sol og trent spesifikt for å finne nulldagssårbarheter og sette sammen fungerende angrepskjeder.

Modellen deles ikke ut fritt. OpenAI har delt Daybreak-programmet i to tilgangsnivåer: Daybreak Blue gir GPT-5.6 Sol med tilpassede sperrer for defensivt arbeid som sårbarhetsdeteksjon, skadevareanalyse og hendelseshåndtering. Daybreak Red retter seg mot sårbarhetsforskning, exploit-validering og penetrasjonstesting, og det er der GPT-5.6-Cyber ligger. Begge nivåene krever identitetsverifisering, kontosikring, overvåking og juridiske erklæringer. Fra 1. september 2026 blir maskinvarenøkler obligatorisk for alle Daybreak-kontoer.

Forskjellen mellom nivåene er ikke gradvis. På Daybreak Blue svarer Sol på 2 prosent av de samme spørsmålene, mens forrige generasjon, GPT-5.5-Cyber, lå på 57,3 prosent. I en test der modellene skulle bygge en omgåelse av WebSocket-autentisering mot et internt adminpanel, var GPT-5.6-Cyber på Red den eneste varianten som produserte kjørende exploit-kode. Alle de andre nektet å svare.

Modellen har allerede funnet ekte hull. OpenAI oppgir at den analyserte V8, JavaScript-motoren i Chrome, og fant to ukjente sårbarheter som kan lenkes sammen til minnekorrupsjon og brudd på V8-sandkassen. Google rettet dem etter koordinert varsling, og de fikk betegnelsen CVE-2026-15903. I tillegg skal modellen ha funnet minst fem sårbarheter i det OpenAI beskriver som et populært mobiloperativsystem, deriblant en kjede som lar en app skrive seg opp fra begrensede rettigheter til full kontroll over enheten.

Bakgrunn

Under OpenAIs eget Preparedness Framework er GPT-5.6-Cyber vurdert til «High» på cyberkapasitet, men den treffer ikke terskelen «Critical». Det er verdt å feste seg ved: dette er en spesialisert modell, optimalisert for offensiv sikkerhet, og den ligger fortsatt under grensen selskapet selv har satt. Astra, modellen OpenAI nylig bremset, er den som «potensielt» når Critical. Retningen er tydelig nok. The Decoder peker på at OpenAIs egne modeller allerede har hacket Hugging Face og andre tjenester etter uker med agentisk planlegging på interne meldingstavler.

Hva bør du gjøre?

1. Slå på maskinvarenøkkel på OpenAI-kontoen din nå hvis du har eller søker Daybreak-tilgang. Kravet blir absolutt 1. september 2026, og du vil ikke oppdage det den dagen du trenger tilgangen.
2. Kjør sikkerhetsarbeid i isolerte sandkasser, og bruk Auto-Review i Codex, som sjekker handlinger med forhøyede rettigheter før de kjøres. Begge deler er OpenAIs egne anbefalinger for dette programmet.
3. Oppdater Chrome. Rettelsene bak CVE-2026-15903 er ute, og de kom fra en modell som lette etter nøyaktig denne typen hull i V8.