L’intelligenza artificiale fa un ulteriore salto di capacità sulle vulnerabilità informatiche. OpenAI ha presentato il 5 novembre Gpt -6 Cyber, un modello specializzato che ha individuato 81 falle gravi e sconosciute nel browser Firefox e prodotto 948 exploit funzionanti contro il kernel Linux. È una svolta che promette di accelerare la difesa dei sistemi informatici, ma aumenta anche il rischio di attacchi più rapidi e sofisticati.
Il nuovo modello è progettato per svolgere autonomamente diverse attività finora affidate agli esperti: analizzare il codice, cercare vulnerabilità, verificare se siano sfruttabili e proporre correzioni. OpenAI lo ha classificato al livello “critical”per le capacità di cybersecurity, il massimo previsto dal proprio sistema di valutazione. È una misura del potenziale tecnico del modello, comprese le sue capacità offensive.
I risultati sono significativi (comunicati dall’azienda, però; non da analisi indipendente per ora). Nel benchmark ExploitGym, che misura la capacità di sfruttare vulnerabilità in ambienti controllati, Gpt-6 Cyber raggiunge il 48,5% di successi, contro il 32,1% della precedente versione Gpt-5.6 Cyber. Un miglioramento di oltre il 50% in termini relativi, secondo i test pubblicati da OpenAI.
Idem le prove sul software reale. In Firefox, il modello ha scoperto 81 vulnerabilità inedite considerate di gravità elevata da Mozilla, che ha già distribuito correzioni per molte di esse. Sul kernel Linux, una campagna automatizzata ha esaminato 2.308 possibili problemi, ne ha riprodotti 1.724 e ha sviluppato 948 exploit capaci di ottenere privilegi di amministratore partendo da un accesso limitato al sistema.
Quest’ultima sperimentazione, descritta da OpenAI nello studio A thousand fewer paths to root, è costata circa 1,2 milioni di dollari in crediti API, pari a 1.279 dollari per exploit. Si tratta di prove condotte su macchine virtuali in laboratorio. I risultati mostrano come la ricerca delle vulnerabilità possa trasformarsi in un processo industrializzato, con agenti che lavorano in parallelo e ricercatori umani incaricati di verificare i risultati e approvare le correzioni. Lo stanno già facendo alcune aziende – le grandi, in particolare, anche in Italia – che ora usano l’AI, a supporto dei tecnici umani, per trovare e coprire le falle informatiche attraverso cui è possibile entrare nei loro sistemi. Ma un processo parallelo è seguito da criminali, che pure usano l’AI per trovare le falle a velocità sovraumana e poi – questa la differenza rispetto alle aziende – sviluppare subito i modi per sfruttarle.
