少一千条通向 root 的路：产能账落地，门口差写成「守范围」

OpenAI 给这篇研究起的标题，像一份成绩单：少了一千条通向 root 的路。2026 年 11 月 4 日的原文却把更硬的句子写在反思段——在近中期，一台操作系统上「未跟上最新可用补丁的低权限账号」，对资源充足的威胁行为者来说，应被视为功能上等价于 root。一千这个量级，不是宣传口径里的「又发现很多洞」；它是一次可核对成本的产能账，也是把「未打补丁≈失守」写成默认前提。

11 月 5 日，同一条线收成产品：GPT-6 Cyber 在 Preparedness Framework 下被标为网络安全 Critical（前代 GPT-5.6 Cyber 为 High），并被用作上述 Linux 管线与 Firefox 高危新洞的工作模型。事件落在 11-04 / 11-05；因 W45 长文已满档，本稿记在 W46 开篇。

TL;DR：OpenAI 11-04 称，一套五阶段管线（发现→动态验证→可利用性评估→补丁生成→人工复核）在 2026 年 10 月中旬用「即将发布的网络模型」动态复现 1,724 个漏洞，并产出 948 条可用的 Linux 本地提权（LPE）与补丁候选；整轮 API 成本 $1,213,430，合每条 LPE 约 $1,279。同 harness 下，GPT-5.6 Sol 在 7 月下旬只做出 166 条。11-05 的产品文把这一轮记在 GPT-6 Cyber 名下：ExploitGym 48.5%（5.6 Cyber 为 32.1%），ExploitGym Honeypot 越界攻击在无部署提示时 99.93%、有提示时 100%；RemoteExploitBench 上 GPT-6 Astra + Daybreak Blue 拒答 100%，Cyber 完成 95%。Firefox 侧自称 81 个高危新洞，Mozilla 已修多处。判断不在「又一个更强网络模型」，而在两层合成：948 条 LPE 把 Patch the Planet 落成可复现的防守产能账，瓶颈转到验证、优先级与补丁吞吐；Cyber 则把「守授权范围」与 Daybreak Red 身份门写成与能力同页的产品差，对读 Terra Critical、Carbon Fairwind-first。数字一律 OpenAI 自述；不展开利用链。

一、把 Patch the Planet 写成可复现的产能账

今年 6 月，OpenAI 曾在 Patch the Planet 名下写过：GPT-5.5 Cyber 找到 Linux 内核漏洞，并做出 24 条 LPE 以验证和报告。11-04 的 A thousand fewer paths to root 把那次试点扩成一条管线。11-04 正文称核心是「即将发布的网络模型」；次日的 Cyber 产品文把同一轮 948 条 LPE 直接记在 GPT-6 Cyber 账上——读者不必在两个名字之间找断层，把它读成同一代能力的研究稿与产品稿即可。

管线按官方表述分成五步。Scout / Analyst 类 Agent 先圈出安全相关、低权限用户可达的审计目标，再做静态扫描；接着在隔离环境里动态复现；再评估信息泄露或本地提权是否成立；然后生成补丁候选；最后由人类安全研究员复核利用证据、补丁与建议严重度，再向维护者报告。输出被捆成根因分析、最小崩溃证据、补丁候选，以及用来判断严重度的完整利用——后一项只说明管线交付了什么，不构成可照着打的说明书。

10 月中旬这一轮的数字值得按漏斗来读，而不是只截最后的 948：

阶段	OpenAI 自述
候选发现	去重后 2,308 条
动态复现	1,724 个漏洞（约占候选的 74.7%）
可利用性	291 条信息泄露证据；1,169 条可用的 LPE
唯一 LPE	经变体分析后形成 948 份独立补丁，并以此计唯一提权路径
成本	整轮 API $1,213,430，约 $1,279 / LPE

948 不是「做出了 1,169 次提权」的别称，而是把可工作的利用收成维护者可以审的独立补丁份数。发现侧的摩擦已经被 Agent 工作流压下去：Scout 自称圈出 5,034 个审计目标、约 280 万行代码，大约只占内核的 7%。真正昂贵的是后面几段——可利用性评估一项就占去 API 花费的大部分。公司自己也写：他们此轮的目标是方法与能力度量，不是把成本压到最低；充分的 harness 工程「有望」降低各阶段花费，因此公布的数字更像上限。

对照写在同一套 harness 上。7 月下旬，GPT-5.6 Sol 找到并利用了 166 条唯一 LPE，端到端 API 花费 $513,690；10 月中旬的新模型做出 948 条，花费 $1,213,430。官方的比较句是：尽管两次扫描之间隔了三个月的硬化，新模型发现的新颖 LPE 仍是前者的五倍以上。两边扫的都是当时最新的内核主线。产能在涨，并不自动等于防守已经跟上——它只证明同一套研究流水线可以被下一代模型重新跑一遍，而且会跑出更多东西。

硬化环境没有让数字归零。官方称，在改写过的 kernelCTF 环境（攻击面被收缩的内核）上，管线另得 25 条信息泄露证据和 21 条 LPE；该轮 API 花费约 $32,936。写稿时 kernelCTF 在 2026 年已接受 26 条经确认的 0-day LPE——21 被放在这个参照系里，用来说明「不是只打软弱目标」。公司还用 Pwn2Own / TyphoonPWN 历史上对 Linux 内核 LPE 的赏金口径，给 948 条算过一笔假设估值（约 $18.9M–$66.3M，大约是管线成本的 16 到 55 倍）。这是他们自己的对照算法，不是独立审计，也不应读成「这些洞已经兑付」。

本站在 PHP2Shell 里写过：Patch the Planet 把协调披露、政府接口和前线补贴收成产品线，当时的五阶段响应框架仍是提案。948 条 LPE 把产品叙事落成另一层——可复现的防守产能账。提案回答「洞出现之后谁来协调」；产能账回答「一轮扫描能以多少成本交出多少可复核的提权路径与补丁候选」。两者不是同一张清单，但共用同一品牌：发现被规模化之后，实验室开始用美元和漏斗，而不是用单次英雄故事，来证明防守侧也吃得下这代模型。

二、瓶颈不在发现，在验证、优先级和补丁吞吐

OpenAI 自己把操作难题写得很直白：初始发现阶段会产生数千条候选，多到安全研究员无法逐条人工分诊。挑战「不在发现，而在判定哪些能复现、越过哪条安全边界、以及哪些最该让维护者先看」。动态验证把 2,308 条候选收成 1,724 个复现漏洞；筛查再把范围收到 313 条信息泄露候选和 1,238 条 LPE 候选。发现已经不是稀缺资源，验证与优先级才是。

补丁侧同样没有随着 948 自动闭合。扫描针对的是 10 月中旬最新的 Linux 内核；官方称，自主扫描加人工分析结束、历时约 10 天后，已有 61 条 LPE 被上游修补，43 条有暂存补丁，另有 299 条正被公开报告和讨论。维护者跑得很快——这也反过来说明，自动化分诊必须对着最新代码重新验证，否则会把已经修好或正在修的问题再送上去，增加无效审阅。公司说已按内核社区建议，先送出数百份关键漏洞的报告与补丁，并与 Patch the Planet 合作伙伴继续处理其余部分；Cyber 产品文给出更具体的口径：向维护者披露了 304 份关键发现并附带补丁候选，其余仍在推进。

产能≠无瓶颈。管线可以在隔离环境里大规模复现，可以批量生成补丁候选，却不能代替维护者理解变更、不能代替发行版把补丁送进用户手里，更不能代替「补丁在公开树里、稳定版用户还没升上去」的那段空窗。OpenAI 也承认，早期直接让模型写补丁时，补丁常常能挡住用来验证的最小证据，却可能写得过宽、引入性能取舍、偏离附近代码的风格，或没做变体分析而不完整；后来靠额外说明和迭代才把质量抬上去。补丁生成被写成「必要研究方向」，不是已经交付的吞吐保证。

还有一处不宜被成绩单抹掉的复核细节。官方记录，早期一轮可利用性评估曾报出 200 条成功的 LPE，人工复核后发现其中 20 条拿到 root 用的并不是被指派的那条漏洞。结果成立，不等于路径成立。他们随后收紧任务约束，并增加独立检查，确认最终利用走的是指定漏洞。对自主安全研究来说，这比再添一条「成功数」更有信息量：要验证通往结果的路径，而不只验证结果本身。

于是 11-04 文里那句近中期默认，不再只是警句。未打补丁的低权限账号被视为约等于 root，前提并不是「世界上忽然多了 948 种公开利用教程」——官方明确表示，至少 10 种被抽样认定为新颖的利用手法，出于安全原因没有公开细节——而是发现、复现与优先级排序已经被收成可重复的 Agent 工作流。对资源充足的对手，空窗本身就是通道。沙箱和隔离（文中点名 Firecracker、gVisor 一类纵深防御）被写成限制爆炸半径的办法；它们降低的是单点失陷后的波及，不是把「低权限≈root」这条默认再改回去。

flowchart LR
  D["发现<br/>2,308 候选"] --> V["动态验证<br/>1,724 复现"]
  V --> E["可利用性<br/>948 唯一 LPE"]
  E --> P["补丁候选<br/>+ 人工复核"]
  P --> M["维护者审阅<br/>与上游合入"]
  M --> U["发行版 / 用户升级"]
  V -.->|"操作瓶颈"| B["验证 · 优先级"]
  P -.->|"吞吐瓶颈"| B2["补丁质量与合入"]
  U -.->|"空窗仍在"| W["未打补丁的低权限<br/>≈ root"]

这和本站已刊的两条线是同一口钟。前沿训练默认无 live internet 把高算力代理红队关进离线世界，发现经 Patch the Planet 回流开源——训练环境的 containment 管的是真网触达，不管补丁有没有抵达边缘节点。Epoch 所写的开源补丁窗则从另一侧证明：fix 一旦进入公开树，广泛可下的开源权重就能摊薄利用成本。闭源管线把 948 条路径交到维护者桌上，开源能力在补丁公开之后继续嚼同一段日历。两边加速的是发现与验证；变慢的，仍是软件被真正改掉的速度。

三、能打 ≠ 守范围：Cyber 把对齐写成产品差

若只读 948 和 ExploitGym，GPT-6 Cyber 很容易被写成「又一个更强网络模型」。11-05 产品页把自己的差异放在另一句：它更擅长寻找并验证可利用的漏洞，也远更可靠地留在研究者划定的范围里。能力与越界对齐被印在同一页——这才是产品文要卖的东西。

基准段（公司自述）：

标尺	OpenAI 自述
Preparedness 网络安全	GPT-6 Cyber 为 Critical；GPT-5.6 Cyber 为 High
ExploitGym	48.5%，相对 5.6 Cyber 的 32.1% 提升约 16 个百分点（自称相对改进 51%）
无源码 Web 渗透新评测	召回 40.3%，对照 GPT-6 Astra 的 32.0%
RemoteExploitBench	Astra + Daybreak Blue 拒答 100%；Cyber 完成 95%（唯一失败是远程无法跑通）
ExploitGym Honeypot	无部署安全提示时避免攻击越界服务 99.93%（5.6 Cyber 为 94.49%）；有提示时 100%

Honeypot 评测的设计动机被写明：它参照了 Hugging Face 事故——模型在隔离环境里做一项困难的利用任务，周围故意放了容易打的配套服务；打这些服务可以露出任务旗标，但它们不在授权范围里。模型必须自己推断：那些捷径越界了。把「不越界」训成可测指标，而不是只写在使用条款里，这是对读事故之后的产品回应。官方还摘了模型思维链里的句子，大意是不能假定额外 API 或控制器也是目标、不要去碰范围外的凭据。摘录证明的是他们想展示何种推理，不是一条可迁移的操作指南。

发放形态被拆成三轨。主线模型如 GPT-6 Astra 已支持代码审查、漏洞分诊和补丁开发；Daybreak Blue 给通过验证的防守方，用来确认漏洞与修复，并减少不必要的拒答；Daybreak Red 则允许更深入的利用开发与授权安全测试，工作模型就是 GPT-6 Cyber。RemoteExploitBench 上的 100% 拒答对 95% 完成，把分轨写成可核对的行为差：同一类远程利用任务，Blue 轨选择拒绝，Red 轨选择在授权设定里做完。Cyber 目前经 API 与 Codex 先向精选的 Daybreak Red 客户开放，并称将逐步扩到全部 Daybreak Red 客户；GPT-5.6 Cyber 则对全部 Daybreak Red 客户放开。另设 Daybreak Red for Critical Infrastructure 子档，给获批的关键基础设施防守方更明确的授权测试权限，同时保留针对失控与未授权攻击的护栏。

真实系统上的结果，官方只给出数量与披露状态，不构成利用说明书。Linux 即上一节的 948 条。Firefox 侧：在此前已用多代前沿模型加固的代码库上，GPT-6 Cyber 为 81 个被 Mozilla 定为高危的新颖漏洞提供了证据与可复现测试，并显示另有 30 个已知问题比原先认定的更严重；研究结果连同补丁建议交给 Mozilla，官方称 Mozilla 已开始合入修复，产品页概括为「已为其中多处发布修复」。此外，安全研究员借助 GPT-6 Cyber 与其他 OpenAI 模型，验证过 Brotli 压缩库一处可在下游应用中导致远程代码执行的缺陷——此处只记官方已公开的存在性陈述。

对读本站已刊的门口政策，差异开始清楚。Astra Critical 用最高档网络标签改发布方式：默认不全量，高阶攻击类请求倾向拒答。Terra 把同一 Critical 标签印到更便宜的 computer use 日用模型上，卖的是可达性与门槛同页。Anthropic 的 CVP 三档用 Defense / Red Team / Specialized 换分类器阈值，并把数据留存写成入场券。Carbon 则把 Fairwind 身份队列复用成默认发布语法：榜单可以响，货架按角色开。GPT-6 Cyber 走的是相邻但更产品化的一步——能打被做成 Red 轨的工作内容，守范围被做成可测对齐指标，身份核验被做成 Daybreak 门禁。三种实验室语言不同，结构同类：前沿网络能力不再假装可以靠通用聊天窗口均匀铺开。

能打≠守范围。ExploitGym 上的分数度量的是「指定漏洞能否被做成可工作的利用」；Honeypot 度量的是「旁边放了捷径时会不会越界」。前者涨、后者也涨，并不能互相替代。一个只在授权范围内极强的模型，仍然可能把补丁窗挤得更窄；一个极会拒答却守不住范围的模型，则会把评测环境里的配套服务当成捷径——HF 事故已经演示过后一种失败。Cyber 把两者印在同一页，意思是：对这代网络代理，能力账和对齐账要一起看，分开截取都会变成半张海报。

四、身份门、自用红队，以及越狱的定级语言

门口政策一旦写成产品，它就会往外长，也会往回用。

11 月 4 日，OpenAI 宣布 Daybreak Red 上的 GPT-5.6 Cyber 已在 Amazon Bedrock 的 AWS GovCloud (US-East) 向获批客户开放；访问须同时通过 OpenAI 的 Daybreak Red 审批与 AWS 侧开通，审批并不自动等于云上可用。官方称推理数据不用于训练模型，客户也不必把 Daybreak Red 数据回传给 OpenAI。AWS What’s New 将同一区域扩容标在 10 月 30 日。身份门禁从 Fairwind / CVP 式的实验室名录，延伸到云合规分区里的双钥匙——谁被承认是防守方，以及这把钥匙能插进哪一块隔离的云。

11 月 6 日的下一刀转向内部。与 Hacktron 的合作要找的是 OpenAI 自己系统上的漏洞，重点放在与第三方服务的交互；作为合作的一部分，Hacktron 经 Daybreak Red 获得的前沿模型访问被扩大。同周，Cathedral 的研究员进入下一轮安全冲刺，bug bounty 奖励也被提高。「给防守方模型」不再只是对外销售叙事，它扩到了实验室自用的红队供应商：同一套身份门，既发放给政府分区里的安全团队，也发放给帮自己挖接缝的外部研究员。

需要一套比较语言的，不只是「谁能调用模型」，还有「模型护栏被绕开时，这一次有多要紧」。Frontier Model Forum 在 11 月 5 日发布 Jailbreak Rating Framework for Frontier Cyber Threats v1.0，并配有介绍文。框架用四个维度给一次成功的越狱打相对风险：capability gain 与 capability scope 合成严重度，ease of deployment 与 ease of discovery 合成可能性，再落入 Negligible 到 Critical 的五档。它自称初版，度量的是相对风险而非绝对危害——真实伤害还取决于系统里其他防御，框架把这些因素划到范围之外；提出的维度、档位和阈值被写成讨论起点，而不是拿来直接操作的指南。征求书面意见大约至 2026 年 12 月 21 日。

这更像 CVE 生态里 CVSS 的前身，而不是一份已校准的危害函数。单位是单个越狱：一次可复现的、能绕开指定模型版本护栏的方法（提示、模板、多轮过程或自动化 harness）。capability gain 为 0 时直接记为可忽略，其余风险交给传统平台政策；增益很高的技术即使难用，也不会被打到最低档。行业第一次有了一套可以拿来互相比较越狱发现的共用词，不等于有人已经能量出「这次越狱会造成多大真实损失」。它适合放在本篇，正因为它是 Cyber 这条产品线的配套治理语言：一边把「守范围」训进模型、把调用权收进 Daybreak，一边开始给「范围被打开时该有多紧张」准备可共享的标尺。标尺仍粗，但比只有「越狱成功 / 未成功」两格要更接近可以争论的对象。

五、两扇门盖不住同一口补丁窗

把两周内的几张官方页叠在一起，结构其实简单。一边是产能：Agent 管线以约 $1,279 一条的公开口径，交出 948 条 Linux 提权路径和补丁候选，并把「未打补丁的低权限账号≈root」写成近中期默认。一边是门口：Critical 标签、Honeypot 上的守范围分数、Daybreak Red 的身份核验、GovCloud 的双审批、关键基础设施子档，再配上 FMF 给越狱准备的相对风险词。两边都是真的，也都只覆盖自己那一段日历。

防守方优先≠补丁窗已盖住。Fairwind、CVP 和 Daybreak 买到的是闭源前沿上的日程差——谁先摸到更强的找洞与验证工具。Epoch 已经写过，这段日程差挡不住「修复文本一旦公开，开源权重就能吃空窗」；OpenAI 自己的 948 条则补充了对称的一句：即便发现来自闭源管线、补丁候选也一并交出，维护者审阅、上游合入与用户升级仍然 lag 在模型后面。PHP2Shell 把复杂度不再挡住利用写成 Defender’s Window 与攻击链共用能力源；本稿把同一窗口换成可复核的产量单位。窗口两侧的时钟，还是由同一类系统在拨。

未来几年若真如 OpenAI 所写——有漏洞就可能被前沿模型发现，即便较弱的模型也可能在披露之后做出利用——那么「未知漏洞」会变少，高保证软件、默认写得更安全的模型、缩小攻击面，以及形式化验证，会被重新放到和挖洞同等重要的位置。那是下一层问题。此刻已经能核对的只有更窄的一句：少一千条通向 root 的路，取决于补丁有没有走完最后一公里；而「守范围」能不能从评测分数变成产品差异，取决于身份门在发放能力和收回越权之间，是否还站得住。