GPT-5.5 догнала Claude в тестах на автономные кибератаки

Британский AI Security Institute (Институт безопасности ИИ) опубликовал оценку раннего чекпойнта GPT-5.5 в кибербезопасности. Самый важный результат: модель стала второй после Claude Mythos Preview, которая смогла пройти многошаговую симуляцию атаки на корпоративную сеть от начала до конца.

Это не значит, что публичный ChatGPT завтра самостоятельно «взломает банк». AISI тестирует модели в контролируемых средах, с заданной целью и доступом к инструментам. Но сигнал всё равно серьёзный: передовые модели всё увереннее переходят от роли умного помощника к роли агента, который сам строит цепочку действий, проверяет гипотезы, пишет код и доводит сложную киберзадачу до результата.

Что именно проверял AISI

У AISI есть два типа проверок. Первый — 95 узких задач в формате CTF — учебно-исследовательских задач «захвата флага»: модель должна найти скрытый секрет, понять уязвимость, расшифровать данные или разобрать небольшой бинарный файл. Простые задачи такого уровня топовые модели уже почти насытили, поэтому самое интересное начинается на продвинутых уровнях Practitioner и Expert.

На Expert-задачах GPT-5.5 показала среднюю долю успешных решений 71,4% при бюджете 50 млн токенов. Для сравнения, Claude Mythos Preview в этой же оценке получил 68,6%, GPT-5.4 — 52,4%, а Opus 4.7 — 48,6%. AISI аккуратно формулирует вывод: по этой метрике GPT-5.5 может быть самой сильной моделью, которую институт пока тестировал.

Один пример хорошо показывает масштаб. В задаче rust_vm нужно было разобрать программу без исходников, восстановить устройство самодельной виртуальной машины, написать дизассемблер для её байткода, понять проверку пароля и получить флаг. Эксперт Crystal Peak Security, по оценке AISI, решал такой кейс около 12 часов. GPT-5.5 справилась за 10 минут 22 секунды без помощи человека, используя базовый агентный контур с Bash и Python в Kali Linux. Стоимость API-запросов в этом прогоне составила $1,73.

Переводя с кибер-жаргона: модель не просто «угадала ответ». Она сама нашла, как программа исполняет команды, написала вспомогательные инструменты, проверила их на реальном поведении системы, исправила ошибку в первой версии эмулятора и довела цепочку до рабочего пароля.

Главное — не CTF, а многошаговая атака

Узкие задачи полезны, но реальная атака редко состоит из одного красивого трюка. Поэтому AISI отдельно тестирует модели в «киберполигонах» — симуляторах сетей с несколькими машинами, сервисами и уязвимостями. Там агент должен не решить один ребус, а связать десятки шагов: разведку, поиск учётных данных, переход между системами, использование ошибок в инфраструктуре и финальное получение защищённых данных.

Ключевой стенд называется The Last Ones. Это 32-шаговая симуляция корпоративного вторжения, созданная вместе со SpecterOps. Она охватывает четыре подсети и около двадцати хостов. Модель стартует без привилегий и логинов, а дальше должна пройти путь, похожий на цепочку реальной корпоративной атаки: найти точки входа, украсть или восстановить доступы, двигаться по Active Directory, использовать поворот через CI/CD и в конце извлечь защищённую внутреннюю базу.

По оценке AISI, человеческому эксперту на полное прохождение понадобилось бы около 20 часов. GPT-5.5 завершила этот стенд в 2 из 10 попыток при бюджете 100 млн токенов на попытку. Claude Mythos Preview, первая модель, которой это удалось, сделал это в 3 из 10 попыток.

Здесь важен не спортивный счёт 2 против 3. Важнее, что уже две модели разных разработчиков способны пройти один и тот же длинный сценарий до конца. Это ломает удобную версию, будто недавний скачок Anthropic был уникальным выбросом. AISI прямо пишет: результаты GPT-5.5 скорее указывают на более общий тренд.

Где проходит граница между тревогой и хайпом

AISI специально подчёркивает ограничения. Стенды не моделируют полноценную защиту реальной компании: там нет активных защитников, штрафов за сработавшие тревоги и всей грязной непредсказуемости живой инфраструктуры. Тест показывает, что агент может сделать в заданной уязвимой среде при наличии сетевого доступа, а не гарантирует успех против хорошо защищённой цели.

Есть и провал: GPT-5.5 не смогла пройти Cooling Tower, 7-шаговую симуляцию атаки на промышленную систему управления, построенную вместе с Hack The Box. При этом AISI уточняет, что модель застряла ещё на IT-части, а не на специфических OT-шагах, поэтому из этого нельзя честно вывести, насколько она сильна или слаба именно против индустриальных контроллеров.

Отдельный блок касается защитных механизмов. AISI проверял не только возможности, но и барьеры OpenAI против злонамеренного использования в кибератаках. Экспертная команда проверки нашла универсальный способ обхода ограничений модели, который заставлял её выдавать запрещённые вредные ответы по всем злонамеренным киберзапросам, предоставленным OpenAI, включая многоходовые агентные сценарии. OpenAI затем обновила защитный стек, но из-за конфигурационной проблемы AISI не смог подтвердить эффективность финальной версии.

Проще говоря, это не история «модель уже опасна для всех». Это история «возможности растут быстрее, чем удобно признавать, а защитные барьеры теперь надо проверять так же серьёзно, как сами бенчмарки».

Почему это продолжает линию Claude Mythos

Neuro.ee уже фиксировал, как Claude Mythos Preview стал важным сигналом для кибербезопасности: от поиска уязвимостей в Firefox до более сильных наступательных возможностей в исследовательских тестах. Новая оценка AISI делает картину шире. Если похожий уровень показывает ранний GPT-5.5, значит дело не только в одной модели Anthropic и не только в одной удачной настройке под кибербезопасность.

Вероятный механизм понятен: кибератака в симуляторе — это не магическая «хакерская кнопка», а длинная задача на рассуждение, программирование, работу с инструментами, чтение ошибок и планирование. Ровно эти качества развивают передовые модели ради обычных коммерческих сценариев: программирования, анализа, автоматизации и агентных рабочих процессов. Наступательный кибернавык может появляться как побочный эффект общего прогресса.

Для защитников это неприятная, но полезная новость. Те же способности можно направить на аудит собственных систем, поиск слабых мест и ускорение расследований. Но окно, в котором такие инструменты доступны только хорошо организованным защитным командам, может быть коротким. Если модели дешевеют, становятся автономнее и лучше работают с терминалом, преимущество постепенно смещается к тем, кто быстрее встроит их в реальные процессы безопасности.

Мнение редакции Neuro.ee

Самая важная фраза в отчёте AISI — не про 71,4% и не про 10 минут 22 секунды. Самая важная мысль звучит проще: быстрый рост кибервозможностей может быть частью общего тренда передовых ИИ-моделей.

Это меняет рамку разговора. Вчера можно было спорить, является ли Claude Mythos особым «кибер-монстром» Anthropic. Сегодня британский институт показывает, что модель OpenAI приходит примерно в ту же зону возможностей. Значит, индустрия входит в этап, где безопасность ИИ нельзя обсуждать отдельно от автономности, инструментов и стоимости вывода модели.

И да, это тот случай, когда слово «агент» перестаёт быть маркетинговой наклейкой. Когда система за минуты делает работу, которую экспертный тестировщик решал полдня, вопрос уже не в том, красиво ли она отвечает в чате. Вопрос в том, кто задаёт цель, какие инструменты ей доступны и насколько хорошо мир готов к моделям, которые умеют не только советовать, но и выполнять.