OpenAI heeft een nieuw cybersecurity-model aangekondigd: GPT-5.6-Cyber. Het model richt zich op vulnerability research, penetration testing en incident response. Daarbij kiest OpenAI voor een opmerkelijke aanpak: het model krijgt volgens eigen informatie minder beperkingen bij cybertaken die als hoger risico of dubbelgebruik worden gezien.
Concreet betekent dit dat GPT-5.6-Cyber is gebouwd om beter mee te helpen bij het onderzoeken van kwetsbaarheden en het valideren van exploitketens—binnen kaders voor geautoriseerde beveiliging. Tegelijk benadrukt OpenAI dat er risico’s zijn wanneer een model minder strikte safeguards hanteert, ook bij correct gebruik.
Wat is GPT-5.6-Cyber precies?
GPT-5.6-Cyber is gebaseerd op GPT-5.6 Sol en is volgens OpenAI getraind om zijn prestaties te verbeteren op een reeks gespecialiseerde cybersecurity-taken. Denk aan activiteiten rondom het vinden van kwetsbaarheden, het opzetten van exploit chain-ontwikkeling en het ondersteunen van onderzoek en testwerk.
Waar het model zich vooral van onderscheidt, is de mate waarin het weigert (refusals). OpenAI stelt dat GPT-5.6-Cyber minder weigeringen geeft voor bepaalde scenario’s die in de categorie “higher-risk” vallen. Daarmee kan het model—binnen de juiste context—sneller doorwerken naar relevante output voor verdediging.
Daybreak Red: toegang tot doelgerichte cybermodellen
OpenAI maakt GPT-5.6-Cyber beschikbaar via Daybreak Red. Deze tier is bedoeld om toegang te geven tot purpose-trained cybersecurity-modellen aan andere organisaties, maar dan specifiek voor geautoriseerd werk zoals vulnerability research, exploit-validatie en security testing.
Naast Daybreak Red bestaat er ook Daybreak Blue. Die andere toegangstier richt zich op frontier general-purpose modellen met ingebouwde guardrails die zijn toegesneden op defensieve beveiliging. OpenAI positioneert Daybreak Blue daarom nadrukkelijk voor praktische verdedigingsscenario’s zoals detectie, respons, onderzoeken, vulnerability management en security assessments.
Meetbaar minder refusals: de Advanced Cybersecurity Completion Rate
Om te onderbouwen dat GPT-5.6-Cyber inderdaad minder weigert bij relevante cybervragen, introduceert OpenAI een intern meetinstrument: Advanced Cybersecurity Completion Rate. Dit meet hoe vaak het model de prompts “afmaakt” die verband houden met onder meer exploit-chain ontwikkeling, authenticatie-bypass, privilege escalation en andere geavanceerde scenario’s.
De resultaten die OpenAI publiceert zijn opvallend verschillend per variant en toegangstier. Volgens OpenAI haalt GPT-5.6-Cyber 95,0% “completion” op deze set, terwijl GPT-5.6 Sol met 1,5% achterblijft. Ook bij gebruik via Daybreak Blue (2,0%) ligt de completion volgens diezelfde meting veel lager. OpenAI vergelijkt daarnaast met GPT-5.5-Cyber: die variant zou 57,3% halen.
De kern: GPT-5.6-Cyber is volgens OpenAI minder vaak “te streng” wanneer het aankomt op cybervragen die passen bij vulnerability onderzoek en testwerk.
Welke cyberworkflows verbeteren er?
OpenAI geeft aan dat GPT-5.6-Cyber is geoptimaliseerd voor performance in workflows rond exploit development en geavanceerd beveiligingsonderzoek. De organisatie gebruikt daarbij ook benchmark-achtige evaluaties, waaronder een ExploitGym-evaluatie. Daarin zou het model beter presteren dan zowel GPT-5.6 Sol als GPT-5.5 Cyber.
Daarnaast claimt OpenAI dat GPT-5.6-Cyber beter kan omgaan met het vinden en juist calibreren van de ernst (severity) van nieuwe zero-day kwetsbaarheden. Die focus op inschatting van impact lijkt belangrijk, omdat een verkeerde severity-inschatting teams kan misleiden bij prioritering en mitigatie.
Tegelijk maakt OpenAI ook een nuancering: het model scoort minder op open-ended opdrachten die draaien om het “ontrafelen” van kwetsbaarheden in een repository, het schrijven van een werkende proof-of-concept en het indienen van een hoogwaardig kwetsbaarheidsrapport. OpenAI schrijft dat dit te maken kan hebben met het produceren van kortere, minder gedetailleerde rapportages.
Voorbeeld van kwetsbaarheden waar het model op stuit
OpenAI noemt een hoog-severity voorbeeld dat GPT-5.6-Cyber zou hebben ontdekt: CVE-2026-15903 (CVSS 8.8). Dit zou gaan om een out-of-bounds read en write kwetsbaarheid in de V8 JavaScript engine. Volgens de beschrijving kan een remote aanvaller mogelijk arbitrary code uitvoeren in een sandbox via een speciaal geconstrueerde HTML-pagina.
OpenAI geeft daarnaast aan dat de kwetsbaarheid gecombineerd kan worden met een andere, eerder onbekende kwetsbaarheid die het model eveneens zou hebben gevonden. Die keten zou kunnen helpen om de V8 heap sandbox te ontsnappen.
Voor CVE-2026-15903 vermeldt OpenAI dat Google de kwetsbaarheid in mid-july 2026 heeft gepatcht. Verder stelt OpenAI dat het model ook meerdere andere issues heeft aangewezen, waaronder kwetsbaarheden in een mobiele besturingssysteem (met een keten van untrusted app naar local privilege escalation), kritieke databasekwetsbaarheden met een pad naar remote code execution, en een groot aantal kernelkwetsbaarheden die kunnen leiden tot privilege escalation.
Waarom OpenAI “defense gap” belangrijk vindt
OpenAI positioneert de Daybreak-modellen als een manier om kwetsbaarheden sneller te signaleren en te verhelpen voordat aanvallers er misbruik van maken. In de aankondiging wijst OpenAI erop dat actoren in het bedreigingslandschap AI steeds vaker benutten om aanvallen op schaal en tempo uit te voeren.
Wat volgens OpenAI bovendien versnelt, is de keten van kwetsbaarheidsontdekking naar exploiteren. Met AI zouden kwaadwillenden sneller werkende “vulnerable-to-exploit” stappen kunnen samenstellen, ook nadat een issue publiek is geworden.
Daarom spreekt OpenAI over het verkleinen van een “defense gap”: het gat tussen wat er technisch kan gebeuren en wat verdedigers snel genoeg kunnen detecteren, valideren en patchen.
Een belangrijke kanttekening: sneller kan ook riskant zijn
Hoewel GPT-5.6-Cyber is bedoeld voor defensieve validatie en geautoriseerde testing, waarschuwt OpenAI dat modellen met minder strikte safeguards risico’s met zich meebrengen. Dat geldt volgens OpenAI zowel door mogelijk misbruik als door misalignment (wanneer output niet overeenkomt met het beoogde doel).
De organisatie erkent daarnaast dat AI-systemen weliswaar steeds beter worden in het vinden en exploiteren van kwetsbaarheden, maar dat patchen en verhelpen nog steeds veel menselijke expertise vereist. Ook wijst OpenAI op onderzoek dat aantoont dat de gemiddelde succesgraad voor patches die een kwetsbaarheid volledig oplossen zonder het gedrag van een applicatie te wijzigen laag is.
Die combinatie—sneller onderzoek, maar complexe patching—zet teams onder druk: ze moeten niet alleen kwetsbaarheden vinden, maar ook zorgen dat fixes veilig en correct zijn.
Hoe kun je dit nieuws praktisch gebruiken in je securityproces?
Als je met geavanceerde AI-ondersteuning werkt binnen vulnerability management, helpt het om het proces op een paar punten strak te organiseren:
- Beperk de scope tot geautoriseerde test- en validatietaken, met duidelijke doelen per workflow.
- Valideer severity met interne criteria en (waar mogelijk) extra technische controles, zeker bij zero-days.
- Check patch-impact: richt QA en regressietesten op ongewenste gedragswijzigingen en nieuwe risico’s.
- Documenteer bevindingen zodat teams de uitkomst kunnen omzetten in een reproduceerbare fix en mitigatieplan.
Op die manier kun je de voordelen van een model zoals GPT-5.6-Cyber benutten, zonder dat je blind vaart op output. Je bouwt controle in, juist omdat OpenAI zelf aangeeft dat minder safeguards niet zonder risico’s is.
Wil je breder kijken naar hoe AI en beveiliging elkaar beïnvloeden, dan sluit dit ook aan bij eerdere berichtgeving over cyberrisico’s rond AI en security workflows, zoals GPT-5.6-Cyber en wat het betekent voor cybersecurity.
Daarnaast is het relevant om te begrijpen hoe input en omgevingscontext kwetsbaarheden kunnen beïnvloeden. Benader bijvoorbeeld ook je OT- en netwerksegmenten met aandacht, een thema dat eerder terugkwam in Private APN: route naar OT bij Poolse energiecentrale.
Conclusie
GPT-5.6-Cyber is volgens OpenAI een cybergericht model dat meer “ruimte” krijgt voor exploit- en vulnerability gerelateerde taken. Met Daybreak Red levert het model volgens eigen metingen een sterk hogere completion score bij geavanceerde cyberprompts, terwijl het tegelijkertijd verbeteringen laat zien in het vinden en inschatten van ernst van (nieuwe) zero-days.
Toch blijft het belangrijk om de keerzijde mee te nemen: minder safeguards vragen om strakke procesafspraken, validatie en patchcontrole. Voor organisaties die kwetsbaarheden versneld willen ontdekken én tijdig willen verhelpen, kan GPT-5.6-Cyber dus een nuttig onderdeel zijn—mits binnen duidelijke, geautoriseerde defensiekaders.
Bron: https://thehackernews.com/2026/08/openai-launches-gpt-56-cyber-with.html
