AI, která umí najít zneužitelnou chybu v softwaru a zároveň navrhnout opravu, je přesně ten typ nástroje, u něhož se mi střídá zvědavost s lehkým svíráním žaludku. OpenAI teď představilo GPT-6 Cyber, specializovaný model pro kyberbezpečnost.
Model nehledá jen chyby pro chyby
GPT-6 Cyber má vyhledávat exploatovatelné zranitelnosti, tedy bezpečnostní chyby, které lze skutečně využít k neautorizovanému přístupu nebo jinému útoku. Vedle jejich hledání má také pomáhat s vývojem oprav.
To rozlišení mi přijde podstatné. Spousta nástrojů umí vyplivnout dlouhý seznam možných problémů, ale mezi podezřelým řádkem kódu a reálně zneužitelnou chybou bývá dost práce. Pokud model zvládne posunout bezpečnostní tým až k ověřenému problému a smysluplné opravě, mohl by ušetřit čas tam, kde ho lidé obvykle nemají nazbyt.
Nejdůležitější slovo je „autorizovaný“
OpenAI popisuje GPT-6 Cyber jako agenta trénovaného tak, aby zůstával v rámci povoleného zadání. Agent zde znamená AI systém, který neodpovídá jen na jeden dotaz, ale může samostatněji postupovat přes několik kroků k cíli.
V kyberbezpečnosti to není kosmetická formulace. Stejná schopnost, která pomůže firmě zkontrolovat vlastní aplikaci, může být nepříjemná v rukou člověka, který žádné oprávnění nemá. Mně osobně proto přijde správné, že se oznámení netočí jen kolem hledání zranitelností, ale výslovně i kolem hranice, kde má model přestat.
Z krátkého souhrnu ale neplyne, jak přesně se autorizace ověřuje ani co model udělá v hraničních situacích. Třeba ve chvíli, kdy uživatel tvrdí, že testuje vlastní systém, ale kontext tomu neodpovídá. Právě tyto praktické detaily rozhodnou, jestli půjde o užitečného pomocníka pro obránce, nebo o další komplikovanou věc, kterou budou bezpečnostní týmy muset hlídat.
Oprava je možná cennější než samotný nález
Často se slaví nalezení chyby, zatímco oprava pak čeká ve frontě s dalšími úkoly a studenou kávou. Model zaměřený i na vývoj fixů by mohl být užitečný hlavně tam, kde menší týmy nemají specialisty na každou část staršího kódu.
Samozřejmě bych se u automaticky navržených oprav nepouštěla do bezhlavého nasazení. Bezpečnostní záplata může rozbít funkci aplikace, minout jinou cestu útoku nebo zavést nový problém. Rozumnější role takového systému je podle mě připravit návrh, vysvětlit souvislosti a nechat člověka rozhodnout, co skutečně projde do produkce.
Co zatím chybí
Podklad říká, k čemu je GPT-6 Cyber určené, ale neukazuje jeho konkrétní výsledky, cenu ani dostupnost. Nevíme proto, kdo si ho bude moci vyzkoušet a jak se bude jeho práce měřit proti běžným bezpečnostním nástrojům či lidským výzkumníkům.
U tak citlivého použití bych čekala hlavně jasné informace o omezeních a o tom, jak se bude hlídat povolený rozsah práce. Samotný příslib je zajímavý, jen bych ho zatím brala jako začátek otázek, ne jako hotové vyřešení problému.
GPT-6 Cyber ukazuje, že AI agenti míří i do oblastí, kde chyba nestojí jen pár minut frustrace. Jestli bude opravdu pomáhat bezpečnostním týmům rychleji opravovat software, ráda mu to přiznám — jen mu nejdřív nechci svěřit klíče od serverovny.
