事件概述
据相关报道，OpenAI 被定位为“最强安全模型”的 **GPT-6 Cyber** 在对 Firefox 代码库的自动化审计中发现 **81 个漏洞**。若消息属实，这标志着 AI 漏洞挖掘正从“辅助提示”走向“规模化自主发现”：模型可在海量代码中定位内存安全、边界检查、竞态条件等缺陷，并生成可复现的测试用例。但需强调，**发现数量不等于可利用数量**，仍需人工分级、PoC 验证和厂商修复。
双刃剑效应
积极面在于，防御方可用 AI 大幅缩短代码审计周期，在漏洞被利用前完成发现与修复，提升开源基础设施的安全韧性。风险面同样明显：同一能力若被攻击者获取，将降低漏洞挖掘和利用链生成门槛，压缩厂商响应窗口，并加剧“攻防不对称”。尤其是自动化披露若缺乏协调，可能把理论缺陷迅速放大为真实攻击面。
深度分析
关键不只是“AI 能否找漏洞”，而是“谁以何种权限、节奏和审计方式使用”。81 个漏洞应依据远程可利用性、攻击面、CVSS 评分和实际影响分级，而非简单以数量论英雄。若模型仅面向厂商、漏洞奖励计划和受控研究环境开放，其防御收益更大；若能力外溢，则可能成为攻击加速器。
治理建议
应建立模型访问白名单、协调披露机制、操作审计与滥用检测；厂商将 AI 审计纳入 SDL，但保留人工复核；监管推动“发现—验证—修复—披露”闭环。GPT-6 Cyber 的价值最终取决于治理框架：用得好是防御杠杆，失控则可能成为新的攻击基础设施。
