11月6日早上八点十三分，每日经济新闻的《全球科技早参》推送里挤着三件事：美股大跌、七巨头一天蒸发一万亿美元、OpenAI发布了GPT-6 Cyber。前两件是行情，第三条才是会留到明年的那条。

我注意到一件事，不是81这个数，而是它后面那个948。

先把第一个数说完。据每日经济新闻11月6日的报道，这个安全模型协助研究人员，在Firefox里找到81个此前未知的高危漏洞。81个，落在一个装机量以亿计的浏览器上，不是小数。

但真正让我停下来的是Linux内核那一组。同一个模型复现出1724个内核漏洞，然后为其中948个开发出可用的利用程序。这948个的规模，是上一代模型的五倍以上。

发现漏洞和把漏洞做成能用的东西，本来就是两件事。

前者靠读代码，靠对代码里那些别扭写法的直觉。后者靠动手，靠一行一行去试，靠经验堆出来的耐心。一个漏洞从"看得出来有问题"到"真的能打进去"，中间往往隔着几个星期。安全行业里，这一段一直是最耗人的环节，一个人一年也未必能拿出几个像样的东西。

现在这一环被做成了流水线。

在ExploitGym这个专门测漏洞利用的基准上，它的成功率是48.5%，上一代GPT-5.6 Cyber是32.1%——一年时间，提升约五成。

这是工程能力的胜利，我不否认。

问题也恰恰在这里。

一个能自己找漏洞、并且自己验证"打得进去"的模型，它手里的东西和攻击者手里的东西，是同一套。原文里有两个数字：不给安全提示时，它的越界攻击率是0.07%，上一代是5.51%；一旦给了提示，这个数字降到0。0.07%听着很小，可换算一下，是从5.51%砍到七十九分之一。绝对量没有小到可以不管。

OpenAI同时把它的网络安全能力评级从"高"上调到"关键"。在这个体系里，"关键"是最高一档，意思不是"它很安全"，而是"它足够强，必须被重点看住"。

所以它不对外公开下载，只走API和Codex两个通道，并且只开给经过审核的Daybreak Red客户，配套还加了合规监控和访问限制。

Daybreak Red这一档具体是什么门槛、由谁来审、审完有没有回头复核，我暂时没查到细则。这一点我不替它编，先放着。能确认的只有一条：这套能力已经在按名单发放了。

对普通用户，这件事的直接后果其实偏好的那一面。Firefox里那81个漏洞现在不算漏洞了，补丁会跟着版本推下来，你用的时候什么也不用做。写这篇稿子的时候我特意没写任何具体的技术细节——那种东西写出来，帮的只会是错的人。

真正没有答案的在另一头。

当"找出漏洞并且验证它能用"这种能力开始按名单分发，名单上是谁、怎么进名单、出了问题谁负责，目前都还没有一套公开的规则。我们习惯了漏洞要被公开、补丁要被告知，但这一次，能力本身先被圈起来了。

找漏洞的机器越来越快，能决定谁能用



它的，还是人。

文中不涉及任何个股推荐，也没有对价格涨跌的判断。