GPT-6.1 Sol Kini Menjadi Mesin Keamanan CodeRabbit — Apa yang Sebenarnya Anda Dapatkan dari Penawaran Pemindaian Gratis $1M

CodeRabbit menanggung hingga $5,000 untuk tinjauan keamanan AI per organisasi, dan jendelanya ditutup pada 23:59:59 PST tanggal 8 November 2026. Model yang digunakannya untuk menjalankan pekerjaan itu adalah GPT-6.1 Sol, yang dirilis OpenAI pada 29 September — ini bukan berita peluncuran, dan usia model itu adalah hal yang paling tidak menarik tentangnya. Yang berubah antara 23 dan 26 Oktober lebih sempit dan lebih berdampak: sebuah perusahaan tinjauan kode dengan jangkauan perusahaan yang nyata menempatkan model itu di pusat produk keamanan, menerbitkan alur kerja di sekitarnya, dan menetapkan tenggat waktu untuk membiarkan orang luar mencobanya.

Tiga dokumen terbit dalam rentang empat hari. Posting blog CodeRabbit sendiri pada 24 Oktober, kisah pelanggan OpenAI pada 26 Oktober, dan rilis Business Wire pada hari yang sama yang mengumumkan komitmen pemindaian gratis sekaligus masuknya CodeRabbit ke Daybreak Defense Network milik OpenAI. Dibaca bersama-sama, ketiganya menggambarkan pola penerapan yang layak dipahami bahkan jika Anda tidak pernah membeli salah satu produk itu. Dibaca terpisah, semuanya hanyalah pemasaran. Pekerjaan yang berguna adalah memisahkan keduanya.

Apa yang sebenarnya dibangun CodeRabbit seputar GPT-6.1 Sol

Studi kasus OpenAI spesifik tentang penempatan, yang merupakan bagian yang penting: GPT-6.1 Sol dijelaskan sebagai model utama dalam agen keamanan CodeRabbit, yang bekerja bersama model-model frontier lain dan pemindai yang sudah dijalankan pelanggan. Ini tidak disajikan sebagai pengganti analisis statis. Postingan CodeRabbit sendiri sedikit lebih jauh, mengatakan CodeRabbit Secure menggunakan "GPT 6.1 Sol dan model GPT Cyber" — sebuah tumpukan, bukan satu panggilan.

Produk ini memiliki tiga lapisan, dan itu benar-benar pekerjaan yang berbeda:

• Tinjauan PR — membaca setiap perubahan saat perubahan itu masuk, di dalam alur tinjauan normal.

• Deep Scan — memetakan seluruh repositori alih-alih satu diff, melacak bagaimana komponen dan dependensi saling berinteraksi.

• CodeRabbit Secure — memperluas hal itu ke repositori yang tertaut, sehingga celah pada pustaka autentikasi bersama memperlihatkan radius dampaknya di setiap layanan yang mengimpornya.

Rekayasa yang menarik ada di ujung rantai. Untuk temuan yang dipilih pengguna, CodeRabbit mencoba memverifikasi kemungkinan eksploitasi dengan mengeksekusinya terhadap masalah tersebut di sandbox terisolasi — secara eksplisit bukan produksi — dan mengembalikan salah satu dari tiga status: Tereproduksi, Tidak tereproduksi, atau Tidak konklusif. Hanya temuan yang didukung yang berubah menjadi usulan perbaikan, yang disampaikan sebagai pull request yang ditinjau, diuji, dan digabungkan oleh manusia. Gerbang merge tidak pernah berpindah ke model.

Urutan itu — keterjangkauan dulu, eksekusi kedua, patch ketiga — adalah alasan deployment ini layak dibaca. Sebagian besar produk "AI menemukan bug" berhenti di langkah pertama dan memberi Anda daftar yang diurutkan berdasarkan tingkat keyakinan model bahasa. Menambahkan sandbox mengubah klaim menjadi uji. Menambahkan PR perbaikan mengubah uji menjadi diff yang benar-benar dapat dinilai oleh CI Anda.

Penawaran pemindaian gratis, dalam ketentuan yang menentukan apakah Anda dapat menggunakannya

Halaman landas CodeRabbit luar biasa eksplisit tentang mekanismenya, sehingga penawaran ini mudah dievaluasi alih-alih harus dicermati sambil menyipitkan mata:

• Periode — 23 Oktober hingga 8 November 2026, berakhir pukul 23:59:59 PST.

• Batas atas — hingga $5.000 per organisasi untuk penggunaan dan perbaikan Deep Scan.

• Total pool — $1 juta, diambil dari batas kredit bersama sebesar 1.000.000 kredit, siapa cepat dia dapat.

• Kelayakan — organisasi dengan dua anggota atau lebih. Proyek sumber terbuka, pelanggan saat ini, pelanggan sebelumnya, dan tim yang belum pernah menggunakan CodeRabbit semuanya memenuhi syarat.

• Apa yang dikonversi — hanya temuan yang didukung yang menjadi perbaikan, jadi kredit tersebut membiayai investigasi dan remediasi, bukan janji bahwa semua yang ditemukan akan ditambal.

• Kredit tidak terpakai — kredit yang telah diklaim tetapi belum digunakan tidak akan diteruskan melewati tenggat waktu atau setelah kumpulan bersama habis.

Baris kelayakan itulah yang perlu dibaca dua kali. "Organisasi mana pun" dalam siaran pers berarti organisasi mana pun yang memiliki setidaknya dua anggota, yang mengecualikan pemelihara tunggal — kelompok yang mengelola sebagian besar kode open-source yang menjadi sandaran banyak perusahaan. Jika Anda satu orang dengan sebuah repositori, tawaran itu tidak berlaku untuk Anda, dan sebanyak apa pun Anda mendaftar tidak akan mengubahnya.

Hal kedua yang perlu direncanakan adalah meterannya. Deep Scan ditagih berdasarkan penggunaan, dan konteks lintas-repositori termasuk bagian yang dikenakan biaya; repositori tertaut bersifat hanya-baca, yang membatasi seberapa dalam investigasi dapat dilakukan tetapi tidak membatasi biaya untuk mencobanya. Batas $5,000 cukup longgar untuk monorepo berukuran sedang dan biasa saja untuk yang besar, jadi langkah praktisnya adalah mengarahkan pemindaian pertama ke repositori yang paling Anda khawatirkan, bukan yang paling mudah diserahkan.

Mengapa model sejuta token adalah bentuk yang tepat untuk pekerjaan repositori

Spesifikasi GPT-6.1 Sol menjelaskan kesesuaiannya lebih baik daripada materi pemasaran mana pun. Model ini memiliki jendela konteks 1.050.000 token dengan keluaran hingga 128.000 token, menerima masukan teks dan gambar, serta mendukung batch tetapi tidak fine-tuning. Batas pengetahuannya adalah 30 April 2026. Lima pengaturan penalaran disertakan — low, medium, high, xhigh, dan max — dengan medium sebagai default dan tidak ada opsi "none" atau "minimal" untuk mematikan penalaran sepenuhnya.

Penetapan harga adalah titik ketika bentuk itu berubah menjadi strategi. Harga daftar Standard adalah $2 per juta token input dan $10 per juta token output, dengan input yang di-cache sebesar $0,10 dan penulisan cache sebesar $2,50. Permintaan di atas 272.000 token dikenakan dua kali lipat untuk input dan cache, serta satu setengah kali untuk output, untuk keseluruhan permintaan. Batch dan Flex berjalan pada 50% dari Standard; mode cepat menggandakannya; endpoint regional menambahkan sekitar 10%.

Bacalah kedua fakta itu bersamaan, dan desain CodeRabbit tidak lagi terlihat sembarangan. Profil biaya agen keamanan bukanlah profil biaya chat. Agen ini membaca sumber dalam jumlah sangat besar yang sebagian besar tidak berubah, menghasilkan output yang relatif sedikit, dan memperoleh manfaat dari prompt caching lebih besar daripada hampir semua beban kerja lain — repositori yang Anda pindai setiap minggu adalah repositori yang konteksnya hampir tidak bergerak antar proses jalan. Dengan $0,10 per juta token input yang di-cache, membaca ulang basis kode besar menjadi murah, sesuatu yang tidak berlaku jika membacanya ulang dengan $2. Ambang biaya tambahan 272K adalah angka yang perlu diperhatikan: nilainya sekitar seperempat dari jendela, yang berarti pemindaian yang sangat besar membayar pengali pada setiap token dalam permintaan, bukan hanya pada kelebihannya.

Jika Anda ingin menghitung biayanya terhadap repositori Anda sendiri, GPT-6.1 Sol tersedia di OrcaRouter dengan harga list — pass-through, markup 0%, jadi tarif $2/$10 dan tarif cache $0,10 adalah angka yang sama dengan yang diterbitkan OpenAI dan berubah pada hari yang sama OpenAI mengubahnya. Hal itu lebih penting untuk beban kerja ini daripada untuk chat: input cache melakukan sebagian besar pekerjaan, dan persentase yang ditambahkan di atasnya akan terakumulasi di setiap pemindaian dalam satu rangkaian.

Angka kapabilitas model yang dipublikasikan OpenAI, yang dilaporkan oleh vendor dan tidak direproduksi secara independen:

• DeepSWE v1.1 — 75,22% pada upaya tinggi, sekitar $0,65 per tugas.

• Terminal-Bench Science 0.1 — 57,02% pada upaya maksimal, dengan biaya sekitar $5,47 per tugas.

• OSWorld 2.0 — 71,42% pada upaya maksimal, dengan sekitar $1,27 per tugas.

• AutomationBench — 36,10% pada upaya maksimal; GDP.pdf — 32,0% pada pengaturan tinggi.

• Tingkat kesalahan faktual — 7,7% pada upaya rendah, dibandingkan dengan 11,4% untuk GPT-6 Sol, penurunan yang digambarkan OpenAI sebagai sekitar 32% secara relatif.

Satu detail dalam tabel itu layak mendapat perhatian lebih daripada yang biasanya diberikan: pada DeepSWE, effort tinggi mencetak 75,22% dan effort maksimal mencetak 71,90%. Penalaran yang lebih banyak justru menghasilkan hasil yang lebih buruk. Siapa pun yang secara default memilih pengaturan tertinggi dengan asumsi bahwa itu selalu lebih baik sebaiknya mencermati pasangan angka itu sebelum menghubungkan pipeline keamanan ke mode maksimal.

Angka independen yang seharusnya meredam nada itu

Sembilan hari sebelum pengumuman CodeRabbit, Endor Labs menerbitkan evaluasi yang berkaitan langsung dengan pertanyaan yang dibiarkan terbuka oleh studi kasus tersebut. Agent Security League miliknya menjalankan 200 tugas melalui Codex CLI 0.144.6 di seluruh keluarga GPT-6 dan menilai dua hal: apakah agen menyelesaikan tugas tersebut sama sekali, dan apakah agen menyelesaikannya dengan aman.

GPT-6.1 Sol memperoleh 77,7% FuncPass dan 34,1% SecPass dari 179 tugas yang dinilai. GPT-6 Astra mencetak 82,1% dan 34,6%. GPT-6 Sol mencetak 72,1% dan 25,1%. Rasio SecPass terhadap FuncPass milik Sol, yaitu 43,9%, adalah yang terbaik di antara empat model Codex yang diuji — artinya model ini paling sedikit mengorbankan ketepatan saat batasan keamanan diterapkan, meskipun tingkat kelulusan keamanan absolutnya berada tepat di bawah Astra hanya karena selisih satu tugas.

Dua pertiga tugas gagal dalam hal keamanan adalah judul utamanya, dan itu adalah temuan nyata. Itu juga bukan pengukuran deteksi kerentanan. SecPass menanyakan apakah agen pengode menulis kode yang berfungsi dan juga aman — pertanyaan yang berbeda dari apakah agen keamanan menemukan cacat pada kode yang ditulis orang lain. Membaca 34.1% sebagai "GPT-6.1 Sol melewatkan dua pertiga kerentanan" akan menjadi kesalahan kategori, dan postingan Endor tidak membuat klaim itu. Yang didukungnya adalah poin yang lebih sempit dan lebih sulit: pada tugas-tugas ketika keamanan dan fungsionalitas bersaing, model-model terdepan saat ini mengorbankan salah satunya untuk yang lain lebih sering daripada yang tersirat oleh vendor. Produk keamanan yang dibangun di atas model-model ini paling baik dipahami sebagai pengulas tambahan dengan anggaran pembacaan yang tidak biasa, bukan oracle.

Angka operasional Endor adalah bagian yang berguna bagi siapa pun yang menghitung biayanya. Median 7,9 menit per tugas, rata-rata 13,5, sembilan timeout, dan proses penuh dengan empat pekerja selesai dalam sekitar 13 jam. Penggunaan token sekitar 235 juta token input dengan sekitar 94% di-cache, serta 1,5 juta output — perkiraan $70 hingga $85 pada tarif daftar, dibandingkan $104 untuk GPT-6 Sol dan $468 untuk GPT-6 Astra. Endor juga menandai 13 kasus dugaan kecurangan di lima sinyal dan menyatakan semuanya bersih, dengan laporan nol kasus terkonfirmasi.

Apa yang tidak diberitahukan oleh studi kasus kepada Anda

Kisah pelanggan OpenAI tidak memuat tingkat positif palsu, tidak ada delta deteksi terhadap konfigurasi pra-Sol CodeRabbit, tidak ada angka latensi, dan tidak ada biaya per temuan. Postingan CodeRabbit juga tidak menyediakannya. Keduanya tidak wajib melakukannya — kisah pelanggan bukanlah evaluasi — tetapi celah itu menentukan seberapa besar bobot yang dapat dibawa pengumuman tersebut.

Statistik yang paling banyak dikutip dari rilis tersebut memerlukan kehati-hatian paling besar. CodeRabbit melaporkan lebih dari 8.000 kerentanan tingkat tinggi atau kritis yang ditemukan di 600 organisasi dalam 30 hari, dengan kontrol akses yang rusak, injeksi SQL, dan kegagalan autentikasi menyumbang lebih dari 70% di antaranya. Itu adalah angka agregat untuk CodeRabbit Secure, bukan hasil GPT-6.1 Sol, dan tidak ada yang diterbitkan yang mengaitkan bagian mana pun darinya dengan model tersebut alih-alih dengan pemindai dan manusia di sekitarnya.

Ada juga angka yang beredar luas dan sering disalahpahami. Analisis sekunder atas penerapan ini mengutip tingkat penolakan saran sebesar 56,3% dari survei pengembang tahun 2026 — tanpa menyebutkan penyedia survei, ukuran sampel, atau metodenya. Penolakan tidak sama dengan positif palsu: seorang pengembang dapat mengabaikan temuan yang benar karena di luar cakupan, dirumuskan dengan buruk, atau sekadar merepotkan. Perlakukan 56,3% sebagai bukti bahwa kebisingan tinjauan itu mahal, bukan sebagai tingkat positif palsu yang terukur, karena belum ada yang menerbitkannya.

Peringatan ketiga khusus untuk desain ini. Karena sandbox mengembalikan "Tidak konklusif" sebagai hasil yang berbeda di samping "Direproduksi" dan "Tidak direproduksi", tim yang melakukan triase dengan cepat akan belajar melewati kelompok tersebut. Begitu melewati menjadi kebiasaan, notifikasi akan dibisukan secara massal — pola kegagalan yang sama yang membuat alat SAST lama mudah diabaikan. Sisihkan perhatian untuk hasil yang tidak konklusif, atau alat ini akan merosot menjadi sekadar centang kepatuhan.

Tidak satu pun dari ini menjadi alasan untuk tidak menjalankan pemindaian gratis. Ini justru menjadi alasan untuk menjalankannya sebagai evaluasi dengan sebelum-dan-sesudah, bukan sebagai pengganti. Kerangka CodeRabbit sendiri menempatkan Secure sebagai pelengkap alat yang sudah ada, dan itu adalah default yang tepat: pertahankan Snyk, Semgrep, atau CodeQL dalam pipeline, dan ukur apa yang ditambahkan lapisan baru di atasnya, bukan apa yang dikatakannya tentang dirinya sendiri.

Gerbang yang tak seorang pun masukkan ke dalam siaran pers

OpenAI mengklasifikasikan {{1}}GPT-6.1 Sol{{/1}} sebagai "{{2}}Keamanan siber Kritis dan Biologis/kimia Tinggi{{/2}}" dan mengarahkan akses melalui lapisan pengaman yang sama dengan {{3}}GPT-6 Astra{{/3}}, termasuk {{4}}Trusted Access{{/4}} dan {{5}}Daybreak{{/5}}. Dalam praktiknya, itu berarti penggunaan berkemampuan siber dibatasi, dan pembatasan itu sendiri menghasilkan positif palsu.

Ada contoh yang terdokumentasi. Pada 3 Oktober, seorang pengembang melaporkan di forum komunitas OpenAI bahwa tinjauan pull request AppSec defensif yang hanya-baca pada repositori mereka sendiri diblokir sepenuhnya sebagai konten keamanan siber yang dibatasi; balasan dari dukungan menempatkannya di bawah Daybreak Blue dan Trusted Access for Cyber. Itu satu laporan pengguna dibandingkan dengan volume permintaan yang berhasil yang tidak diketahui, bukan sebuah pengukuran — tetapi itulah mode kegagalan yang perlu direncanakan. Jika tinjauan keamanan merupakan dependensi produksi, anggap sebagian pekerjaan defensif yang sah akan ditolak, dan pertahankan jalur yang tidak melalui endpoint yang dibatasi aksesnya.

Daybreak Defense Network adalah separuh lainnya dari struktur itu. Ini adalah program mitra OpenAI untuk menempatkan model siber terdepan ke dalam produk dan layanan vendor keamanan yang disetujui, bukan langsung ke tangan pelanggan, dengan verifikasi identitas, pengujian berlingkup, pencatatan log, dan pengawasan manusia yang menyertainya. Bergabungnya CodeRabbit ke program ini, dan rencananya membawa model siber GPT khusus dari OpenAI ke CodeRabbit Secure, merupakan sinyal yang lebih signifikan daripada substitusi model itu sendiri: hal ini menunjukkan bahwa tumpukan peninjauan keamanan sedang dipecah, dengan model penalaran umum menangani cakupan luas dan model siber yang dirancang khusus menangani bagian yang paling tajam.

Pola yang layak ditiru bahkan jika Anda melewatkan kedua produk

Singkirkan branding-nya, dan apa yang diterbitkan CodeRabbit adalah loop tiga tahap yang bisa dirakit tim mana pun: beri model konteks seluruh repositori termasuk dependensi yang tertaut, paksa temuan yang dicurigai melewati verifikasi berbasis eksekusi di lingkungan terisolasi, dan hasilkan diff yang dapat ditinjau untuk digabungkan oleh manusia. Model adalah bagian yang paling tidak eksklusif. Sandbox dan gerbang merge-lah yang membuat output dapat dipercaya, dan keduanya adalah hal yang Anda kendalikan.

Itu juga cara termurah untuk memutuskan apakah penawaran gratis itu layak menyita waktu Anda. Ambil repositori dengan kerentanan yang diketahui dan sudah Anda perbaiki beberapa bulan lalu, jalankan pemindaian, lalu lihat apakah alat itu memunculkan masalah tersebut, berapa lama prosesnya, dan seberapa banyak laporan yang benar-benar akan Anda tindak lanjuti. Jika alat itu menemukan kasus yang sengaja ditanam dan tidak memunculkan hal lain, $5.000 layak dikeluarkan sebelum 8 November. Jika hasilnya berupa deretan temuan yang tidak konklusif, Anda sudah mengetahuinya dengan biaya satu sore.

Bagi tim yang membangun loop sendiri alih-alih membelinya, lapisan routing adalah tempat risiko operasional berada. Menjalankan model yang belum terbukti pada jalur tinjauan produksi adalah sebuah taruhan, dan failover otomatis adalah cara mengambil taruhan itu tanpa kehilangan pipeline saat penyedia mengalami penurunan kinerja — permintaan dialihkan ke model cadangan alih-alih membuat pekerjaan gagal. Endpoint yang sama melayani GPT-6.1 Sol dan model-model yang akan Anda gunakan sebagai cadangan, sehingga membandingkannya hanya perlu mengubah satu parameter, bukan kontrak kedua dan SDK kedua.

Apa yang perlu dilakukan dalam dua belas hari ke depan

Penawaran ini bukan peluncuran model dan tidak boleh dievaluasi sebagai peluncuran model. GPT-6.1 Sol telah dapat dipanggil sejak 29 September dan benchmark-nya telah dipublikasikan sejak saat itu; tidak ada yang berubah dari kemampuannya minggu ini. Yang berubah adalah bahwa vendor keamanan dengan distribusi enterprise berkomitmen secara publik terhadapnya, menerbitkan alur kerja verifikasi di sekitarnya, dan menetapkan tenggat waktu keras untuk akses gratis.

Jika Anda menjalankan tim dengan dua anggota atau lebih dan memiliki basis kode yang Anda khawatirkan, hitungannya sederhana: batas $5.000, kumpulan kuota siapa cepat dia dapat, dan sebelas hari tersisa setelah hari ini. Pesan pemindaian untuk repositori terburuk Anda sekarang, tanam bug yang diketahui jika Anda ingin kontrol, dan catat kesalahan laporan sebaik Anda mencatat hal yang benar. Jika Anda bekerja sendiri, atau jika kode Anda sudah tercakup oleh pemindai yang Anda percaya, jawaban jujurnya adalah pengumuman ini tidak banyak mengubah apa pun bagi Anda — modelnya sudah tersedia sebelum siaran pers, dan akan tetap tersedia setelah kreditnya habis.