一个在 OpenBSD 内核里躺了 23 年的内存漏洞，被一个 AI 翻了出来。
这是 OpenAI 周一（6 月 22 日）甩出来的成绩单里最扎眼的一条。当天它把一套叫 Daybreak 的安全产品摊开讲，核心是一个专门干安全活的模型——GPT-5.5-Cyber 正式放出，配套还拉了个叫 “Patch the Planet” 的开源补漏行动。
跑分先说话：85.6% vs 81.8%
GPT-5.5-Cyber 不是新地基，是在 GPT-5.5 上专门往安全方向调出来的版本。OpenAI 给它的定位很直白——给做防御的人用的最强工具。
在 CyberGym 这个测安全能力的基准上，它跑到了 85.6%，普通版 GPT-5.5 是 81.8%。一个新的最高分。
光看分数没感觉，看战果：
- OpenBSD 内核里一个挂了 23 年的 use-after-free 漏洞，被它挖出来
- Chrome 的 V8 引擎报了 5 个能被利用的洞
- Safari 用的 WebKit，揪出 10 多个
- Firefox 一个 WebAssembly 漏洞，赶在 Pwn2Own Berlin 黑客大赛开赛前两天补上了——结果那届比赛六组参赛里五组直接撤了，洞没了，赛也不用打了
“The model is both more permissive and more capable for authorized defensive security work.”
讲人话就是：以前的安全模型一碰到敏感操作就拒答，束手束脚；这一版对认证过的防御方松了绑，能真去读大段代码、顺着攻击链走一遍、在隔离环境里验证漏洞、再把补丁写出来给人审。
“全网补漏”：找到洞只是第一步
光挖洞没用，开源世界缺的是把洞补上的人。
Patch the Planet 这件事，OpenAI 拉了安全公司 Trail of Bits 和漏洞平台 HackerOne 一起做。已经有 30 多个开源项目报名，头一批里有 cURL、Go、Python、Sigstore、pyca/cryptography——全是撑着半个互联网的基础库。
做法上有个细节挺关键：AI 挖出来的每一条，都得先过 Trail of Bits 工程师的人工审核，确认是真的，才递给项目维护者。
为什么要多这一道？因为开源维护者最怕的就是被机器刷的”疑似漏洞”淹了。AI 一天能吐几百条报告，真假混着，维护者本来人就少，挨个核对能把人逼疯。先人工筛一遍，是替他们挡噪音。
头一个五天的冲刺跑下来，翻出几百个问题、合进去几十个补丁，还顺手攒出一套能复用的测试流程——模糊测试、变体分析、差分测试都在里头。
真正的软肋：撑着互联网的库，没几个人在维护
OpenAI 自己研究里有个数字最该被记住：被广泛使用的开源项目里，94% 是不到 10 个人扛着 90% 以上的年度代码量。
也就是说，你手机、银行、医院系统底下跑的那些基础库，背后可能就一两个志愿者在业余时间修。AI 一旦学会自动找洞，攻和守是同时变强的——坏人能用它批量找门，守的人也得用它批量补。这就成了一场谁的 AI 更快的赛跑。
OpenAI 把最强的那版 GPT-5.5-Cyber 关在了 “Trusted Access for Cyber” 这道门后面，只发给审过的防御方，干安全代码审计、漏洞分诊、恶意软件分析、红队、渗透测试这些活。说白了，是怕这把刀反手被人拿去砍。
这次拉来站台的也都是安全圈的大块头：埃森哲、思科、CrowdStrike、IBM、Okta、Palo Alto Networks、Wiz 都在首发名单里。
一个时间差
这步棋的时机很微妙。
Anthropic 前阵子刚把自家会挖漏洞的强模型 Mythos 收了回去——美国政府一纸出口管制令下来，它没法实时把外国用户和本土用户分开，干脆全球下架。同一条赛道上，对手暂时被摁住了，OpenAI 这时候把 GPT-5.5-Cyber 推到台前，等于趁空抢了个身位。
AI 挖漏洞这件事，过去一年还停在”实验室能跑出几个洞”的阶段。现在 OpenAI 直接拿 OpenBSD、Chrome、Firefox 这些硬骨头开刀，把它从演示变成了真能用的产线。
至于这到底是让互联网更安全了，还是给攻防双方各发了一把更快的枪——这个故事才刚开头。
参考来源：Daybreak: Tools for securing every organization in the world（OpenAI）；OpenAI expands Daybreak with Patch the Planet and full GPT-5.5-Cyber release（SiliconANGLE）；CocoLoop、OpenAI Expands Daybreak With GPT-5.5-Cyber to Help Defenders Patch Security Flaws（The Hacker News）；OpenAI gives GPT-5.5-Cyber more powerful cybersecurity capabilities（Axios）