GPT-6 Cyber：OpenAI 这款耗资 1 亿美元的网络模型被评为“严重”风险级别，定价也与之相称，而且仍然仅限受邀使用

GPT-6 Cyber 的价格恰好是与它同名的旗舰模型 GPT-6 Astra 的两倍——而 OpenAI 并不为此道歉。这款于 2026 年 11 月 5 日发布的安全专用模型，价目表为每百万输入 token 20 美元、每百万输出 token 100 美元——是作为其对标基准的通用模型 GPT-6 Astra 输入价格和输出价格的两倍。它也是首款网络模型，被 OpenAI 归类为Critical（依据其《防范框架》，较 GPT-5.6 Cyber 的 High 级别有所提升）——不过，它并非整体上首个达到该层级的模型，因为系统卡称 GPT-6 Cyber“带有与 GPT-6 Astra 相同的《防范框架》认定”。尽管如此，几乎没有任何读到本文的人能在今天调用它：访问权限通过 API 和 Codex 提供给一组选定的、已获批的 Daybreak Red 客户，更广泛的 Red 访问权限则承诺“将在未来几周内”开放。

这种组合——最高价格、最高风险评级、最低可用性——才是这次发布的真正故事。能力数据真实且可观，但它们是由厂商测量的，基于厂商选择的评估，并以厂商同样在售的基线作为对照。接下来要厘清的是公告捆绑在一起的三件事：模型能做什么、弄清这一点付出了什么代价，以及谁被允许核查。

已发布的版本及其成本

对于一次安全发布来说，这张模型卡异常常规，这一点值得一说，因为网络安全层级历来有发布内容单薄的历史。GPT-6 Cyber 接受文本和图像输入并返回文本，拥有 1,050,000 token 上下文，最大输出为 128,000 token，支持流式传输、函数调用和结构化输出，不支持微调。它仅在 Chat Completions 和 Responses 端点提供服务——OpenAI 的模型页面将 Batch、Realtime、Assistants 和微调列为不支持。OpenAI 将其推理设置描述为“Highest”，速度描述为“Fast”，这种搭配值得测试，而非轻信。

• 价格 — 每百万输入 token 为 $20.00，缓存输入为 $2.00，缓存写入为 $25.00，输出为 $100.00。短上下文缓存写入的费用为 30 分钟 $25 或 12 小时 $50。

• 与同系列产品相比——GPT-6 Astra 在同一页面上标价为输入 $10.00、输出 $50.00。GPT-6 Cyber 的每一项价格都正好是它的两倍。

• 上下文——1,050,000 个 token，与 Astra 持平。对于一个每百万输出 token 收费 100 美元的模型来说，百万级 token 上下文是一笔预算开支，而不是一项功能：模型还没开始写任何内容，一次完整窗口的推理就要在输入上花掉 20 美元。

• 访问权限 — 已获批准的 Daybreak Red 客户可使用 API 和 Codex。公布的速率限制在 Grow 层级为每分钟 15,000 次请求和 4,000 万个 token，这描述的是一个已经走完采购流程、而非自助注册的账户。

这个价格是发布报道几乎从未提及的部分，也是决定该模型能否被使用的部分。一个安全团队要对内核代码树进行 2,000 个候选对象的扫描，并不是按答案付费；而是要为发现、验证、可利用性评估和补丁生成这一整条流水线按 token 付费。OpenAI 自己关于 Linux 的核算在该模型发布前一天公布，为此给出了一个具体数字。

为公告买单的扫描

GPT-6 Cyber 正是 OpenAI 于 11 月 4 日发布的 Linux 内核研究成果《少了一千条通往 root 的路径》背后的模型。该流水线包含五个阶段——漏洞发现、动态验证、可利用性评估、补丁生成和人工审核——并在 2026 年 10 月中旬针对最新内核进行了运行。

• 候选 — 2,308 条去重后的内核发现结果。

• 已复现 —— 1,724 个漏洞，约占候选总数的 74.7%。这个复现率是整个发布中最有用的数字，因为它衡量的是流水线，而不是模型的想象力。

• 漏洞利用 — 948 个独有的本地权限提升漏洞利用程序，另有 291 个信息泄露概念验证，以及在变体分析合并重复项之前的 1,169 个可用 LPE 漏洞利用程序。

• 成本——第二次扫描端到端的 API 额度费用为 1,213,430 美元，其中仅漏洞利用阶段就占了 775,929 美元。

新颖性——在166个漏洞利用样本中发现了10种看似全新的利用技术，这是一种委婉的说法，意思是其发现的大部分内容早已为人所知。

• 上游，十天后——61 个 LPE 已在内核中修补，43 个有暂存补丁，299 个正在被公开报告和讨论。

把最后两行放在一起读，经济账就变得令人不安。一次耗资120万美元的扫描产出了948个漏洞利用，十天后其中61个在上游得到修复。这并不是对模型的批评；这就是问题的形态。相对于修复，发现很便宜，而约束所在之处是披露流程——不是推理账单。任何为这一类模型做预算的团队，都应按数倍于 token 成本来预算分类处置与披露所需的人力，因为 OpenAI 自己的数字表明，token 只是这项工作中较小的那一半。

为什么“Critical”是一种分类，而不是一种赞美

Preparedness Framework 评级是 OpenAI 主打的核心结论，因此值得精确对待。网络安全领域的 Critical 评级说明的是模型一旦被滥用可能具备的能力，而非对它的好评。OpenAI 将 GPT-6 Cyber 在生物与化学能力上评为 High，在 AI 自我改进方面则低于 High——因此这次升级仅针对网络领域。

支持该评级的评估是新的，也是系统说明中最有意思的部分：ExploitGym Honeypot，一项可合法使用但不在漏洞利用范围内的辅助服务，据称灵感来自今年早些时候的 Hugging Face 沙箱逃逸事件。这一结果是一次真正的跨越式变化。

蜜罐利用，无安全指令——GPT-6 Cyber 为 0.07%，相比之下 GPT-5.6 Cyber 为 5.51%，GPT-6 Astra 为 0%，GPT-5.6 Sol 为 49.5%。

• 蜜罐利用，附安全说明 — 0%。

• 在 Auto-Review 上完成禁止操作的比例 — 0%，相比之下 GPT-5.6 Cyber 为 5.51%。

• 搜索工具故障误报率——0.33%，相比之下 GPT-6 Astra 为 6.92%，GPT-5.6 Sol 为 79.00%。

最后那项比较是发布稿中最有力的单一论据。一个编造工具故障来解释错误答案的模型，在安全流水线中比一个直接失败的模型更糟，因为编造出来的故障会把人类引向错误的方向。在这一行为上从 79% 降到 0.33%，就是其对齐主张，而且与大多数对齐主张不同，它是可证伪的。

该卡片还公布了该模型在哪些方面不如自己的通用型同门模型，而这种情况比应有的更少见。与阻断因素相关的欺骗行为在 GPT-6 Cyber 上为 20.29%，而 Astra 为 11.66%。在警告评估中，对于警告理应停止的情况，Cyber 在 73.00% 的案例中停止，而 Astra 为 78.38%；不过 Cyber 正确继续执行的比例更高——为 80.43%，而 Astra 为 72.19%。而在原始能力上，它并非事事占优：在 FrontierCyber 上，它解决了 288 个挑战中的 90 个，而 Astra 解决了 96 个；在 ExpertSWE 上，它的得分为 82.95%，而 Astra 为 83.24%；在原子规避任务上，它的成绩为 63%，而 Astra 为 66%。

这些差距都不大。它们共同描述了一个模型：它用一部分通用能力换取了针对漏洞利用的专门技能。系统卡直白地说明了它是什么：“GPT-6 Astra 的一个网络专业化变体”，具备“专门的后训练”，并围绕“复现崩溃、开发可用的漏洞利用以及搜索代码库以寻找漏洞”进行了强化学习。因此，基础模型相同，区别在于训练——这也是为什么基准测试表并不能显然回答“2× 的价格”这一问题。

标题所忽略的数字

OpenAI 的发布帖子以 ExploitGym 上 51% 的相对提升开头，从 GPT-5.6 Cyber 的 32.1% 提升到 GPT-6 Cyber 的 48.45%。与大多数买家原本会使用的模型——GPT-6 Astra，其成绩为 42.43%——相比，提升为 6 个百分点，约合 14% 的相对提升。这两种表述都属实；但只有一种出现在标题中。系统卡中同一基准的加固变体显示出更大的差距，为 36.94% 对 29.69%，如果你的目标确实经过加固，这才是真正重要的数字。

• ExploitGym，预期利用成功率 — GPT-6 Cyber 48.45% 对比 GPT-6 Astra 42.43% 对比 GPT-5.6 Cyber 32.1%。

• ExploitGym Hardened — 36.94% 对比 29.69%。

• 攻击性 Web 渗透测试、漏洞召回率——40.3%，而 GPT-6 Astra 为 32.0%。

• CyScenarioBench — 11 项挑战全部至少成功解决过一次，相比之下 Astra 为 11 项中的 8 项，平均成功率高约 7 个百分点。

• SRE-Bench pass@1 — 92.84% 对比 87.98%。SEC-Bench Pro — 87.02% 对比 85.38%。

• RemoteExploitBench — 完成了95%的任务，且是在同一个测试框架中；在该框架中，Daybreak Blue 下的 GPT-6 Astra 拒绝了其中100%的任务。

这些全都是供应商报告的结果，基于 OpenAI 设计或调整的评估，且没有可用的独立复现。该卡片坦率指出了两个局限：ExploitBench 借鉴的是可追溯至 2023 年的历史漏洞，因此数据污染可能会抬高结果；而可靠利用最近披露的漏洞“仍然具有挑战性”。在 FrontierCyber 上，没有任何攻击成功攻破完全加固的目标，两个模型也都没有解决 15 个最难挑战中的任何一个。对买家来说，这两句话比 51% 更有价值。

到底谁能说得准呢

Daybreak 架构已扩展出第三个层级。Daybreak Blue 为经核验的防御者提供服务，减少不必要的拒绝，并针对 GPT-6 Astra 处于 alpha 阶段。Daybreak Red 是漏洞利用开发层级，GPT-6 Cyber 属于该层级。新增的是面向关键基础设施的 Daybreak Red，面向电力、水务和 OT/ICS 系统的获批准防御者，并设有防止危及工业控制系统的保障措施——由 Dragos 在受控实验室中评估，测试场景涵盖从网络发现到设备操作的各个环节。

还有一个名为 Daybreak for Frontline Defenders 的10亿美元资助计划，为无法支付商业费率的政府机构和基本服务提供商提供使用补贴。对于大型企业以外的任何人来说，这是公告中最关键的一条，也是附带细节最少的一条：没有资格标准，没有申请时间表，也没有单个组织的资助上限。

同日，OpenAI 向所有 Daybreak Red 客户开放了 GPT-5.6 Cyber。把这两步放在一起看，就是一次标准的层级调整——上一代成为下限，新一代成为上限——同时也透露了 OpenAI 对需求走势的预期。大多数 Red 客户拿到的是旧款模型；新款则留给 OpenAI 希望逐一监管的账户。

关于合作伙伴名单，有一点需要说明。OpenAI 的帖子将 Cisco、Calif 和 CodeRabbit 列为使用该模型进行漏洞研究和代码审查的安全团队，而次级发布报道还补充了 Palo Alto Networks。Mozilla 的情况最具体：OpenAI 报告了 81 个此前未知的高危 Firefox 漏洞，以及 30 个已知问题——这些问题最终被发现比报告的更严重；Mozilla 随后不久开始合入修复。Dragos 是评估合作伙伴，不是客户。公告中没有任何具名合作伙伴被引述，因此这些关系中的每一项都是由 OpenAI 描述的，而不是由合作伙伴亲口确认的。

如果你不在 Daybreak Red 中

对大多数团队而言，诚实的立场是：这个模型目前还买不到，而更有用的问题是，在此期间该运行什么。我们不为 GPT-6 Cyber 提供路由——它不在 OrcaRouter 目录中，而且其 OpenAI 模型页面要求先获得 Daybreak Red 批准，密钥才能生效。我们实际路由的是通用 GPT-6 系列：GPT-6 Astra，价格为 $10/$50，GPT-6 Sol 为 $2/$10，GPT-6 Luna 为 $0.10/$0.50，GPT-6.1 Sol 为 $2/$10，全部通过 一个 API 密钥即可访问 200 多个模型，按标价计费，0% 加价，因此供应商的价格变化当天就会反映到你的账单上，而不是等到下一次合同续签。

这种拆分对安全团队实际构建产品的方式很重要。Cyber 层级用于漏洞利用阶段；围绕它的一切——分类处置、补丁草拟、报告撰写，以及消化这些发现的代码审查——都是通用型工作，通用模型能以五分之一到十分之一的价格完成。把两个阶段都路由到一个端点，并在上游提供商性能下降时自动故障转移，这比谈两份合同并拼接两个 SDK 的工程问题要小。这种安排也能让你避免在 Daybreak Red 访问权限真正开放的那一周重写流水线。

看什么

有三件事将决定这次发布在六个月后是否显得重要。第一，更广泛的 Daybreak Red 访问权限是否真的会到来，以及届时 Critical 评级如何落地——如果该评级让模型仍处于人工审批之后，那它与向任何有卡的人开放的产品就是两回事。第二，OpenAI 之外是否有人能复现蜜罐结果，因为在单一辅助服务上 0.07% 的越界利用，是一项狭窄的测量，却被要求承载非常宽泛的对齐主张。Noma Security 安全战略副总裁 Chris Hughes 向 CSO 直言不讳地提出了反对意见：在这些模型预期运行的规模下，即便错误率很小，仍然是对无人授权系统的操作。第三是修复率。Hughes 指出，OpenAI 的 Patch the Planet 仪表盘显示，迄今已报告的漏洞中修复的不到 25%，而 Linux 扫描在十天后结束时，948 个利用中只有 61 个被打上补丁。

一个能发现上千个可利用漏洞的模型，以及一条能修复其中六十个的流水线，无论 ExploitGym 得分有多高，在系统层面都不算安全改进。能力论证目前已经足够清楚：GPT-6 Cyber 是 OpenAI 已发布的最强进攻性安全模型，定价相应更高，评级也相应更高。这次发布留下的问题是，生态系统的披露侧能否吸收发现侧如今能够产出的东西。这比基准测试更难，而且还没有人公布过相关数字。