GPT-5.5-Cyber: OpenAI wchodzi w erę automatycznej naprawy kodu

OpenAI przestało bawić się w wykrywanie błędów i wzięło się za ich naprawę. 22 czerwca 2026 roku firma ogłosiła pełną premierę GPT-5.5-Cyber - modelu, który nie tylko znajduje podatności w kodzie, ale buduje model zagrożeń, waliduje je w izolowanym środowisku i generuje gotowe łatki do zatwierdzenia przez programistę. To nie kolejna aktualizacja skanera - to zmiana filozofii całego procesu.

Jednocześnie z modelem OpenAI rozszerzyło inicjatywę Daybreak o wtyczkę Codex Security, program partnerski z ponad 25 firmami z branży bezpieczeństwa oraz inicjatywę Patch the Planet - wspólne działanie z Trail of Bits i HackerOne na rzecz łatania krytycznych projektów otwartoźródłowych. Tego samego dnia sojusz wywiadowczy Five Eyes ostrzegł, że ataki wspomagane przez sztuczną inteligencję staną się standardem nie za lata, lecz za miesiące.

Testy porównawcze mówią wprost: GPT-5.5-Cyber wygrywa, ale nie wszędzie

Liczby są konkretne. W teście porównawczym CyberGym GPT-5.5-Cyber uzyskał 85,6%, podczas gdy standardowy GPT-5.5 zatrzymał się na 81,8%, a Claude Mythos 5 od Anthropic - na 83,8%. CyberGym sprawdza, czy model potrafi odtworzyć znane podatności w kontrolowanych środowiskach - czyli coś, czego normalnie oczekujemy od doświadczonego pentestera, nie od chatbota.

W teście porównawczym ExploitGym GPT-5.5-Cyber osiągnął 39,5% wobec 25,95% dla GPT-5.5, a w SEC-bench Pro - 69,8% wobec 63,1% dla bazowego modelu. ExploitGym to trudniejsza wersja - sprawdza, czy model potrafi z podatności skonstruować działający exploit. Przewaga istnieje, ale 39,5% to wynik, który daje do myślenia: model ma do czynienia z zadaniami, z którymi sam sobie nie radzi w sześciu przypadkach na dziesięć.

Uwaga ⚠️

Wyniki testów porównawczych zostały zmierzone na własnym zestawie ewaluacyjnym OpenAI. Niezależnej replikacji jeszcze nie ma - warto pamiętać o tym, zanim firma wejdzie z tymi liczbami na spotkanie z zarządem.

Na liście pokonanych znalazł się też Mozilla Firefox. OpenAI znalazło CVE-2026-8390, krytyczną podatność w Firefoksie, podczas testów bezpieczeństwa - Mozilla załatała ją dwa dni przed Pwn2Own Berlin, co skłoniło pięć z sześciu zarejestrowanych drużyn atakujących Firefoksa do wycofania się z konkursu. Kiedy twój łowca błędów jest modelem sztucznej inteligencji, a exploit przestaje mieć rację bytu, zanim konkurencja zdążyła go dokończyć - to niezły pokaz możliwości.

Codex Security: 30 milionów commitów i pół miliona naprawionych błędów

Wtyczka Codex Security weszła do fazy testowej w marcu 2026 roku i od tamtej pory pracuje bez przerwy. Od czasu wejścia w fazę testową w marcu Codex Security przeskanował ponad 30 milionów commitów w ponad 30 tysiącach baz kodu. Ludzcy recenzenci zatwierdzili ponad 70 tysięcy naprawionych podatności, a ponad 500 tysięcy zostało oznaczonych jako naprawione automatycznie.

Kiedy Codex Security łączy się z repozytorium, skanuje commity w odwrotnej kolejności chronologicznej i buduje specyficzny dla danego projektu model zagrożeń, który mapuje punkty wejścia dla atakujących, granice zaufania, wrażliwe dane i krytyczne ścieżki kodu. Całość działa w izolowanym środowisku - model próbuje odtworzyć podatność, zanim w ogóle pokaże ją programiście. OpenAI podaje, że wskaźnik fałszywych trafień spadł o ponad 50% w tych samych repozytoriach, a szum zredukowano o 84% od początku wdrożenia.

W prywatnej fazie testowej narzędzie sprawdziło się na projektach, które przeszły wielokrotny przegląd przez ekspertów. Podczas okresu testowego Codex Security przeskanował ponad 1,2 miliona commitów i zidentyfikował 792 krytyczne oraz 10 561 podatności o wysokiej wadze w projektach takich jak OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP i Chromium.

Protip ✅

Codex Security dostępny jest dla użytkowników ChatGPT dla firm, Edu, Business i Pro przez interfejs Codex Web - bez potrzeby instalacji osobnego narzędzia czy integracji z potokiem CI/CD. Wystarczy podłączyć repozytorium GitHub i uruchomić skan.

Daybreak Partner Program: 25 firm, kilka rządów, jeden cel

W ramach Daybreak Cyber Partner Program OpenAI współpracuje z ponad 25 firmami z branży bezpieczeństwa oraz z kilkoma rządami w celu rozszerzenia możliwości defensywnych sztucznej inteligencji. Przez ten program firmy bezpieczeństwa mogą wbudować GPT-5.5 z Trusted Access for Cyber we własne produkty - wśród partnerów znalazły się Cisco, CrowdStrike, Cloudflare, Palo Alto Networks, IBM, Fortinet, Wiz, SentinelOne, Darktrace, Palantir, Accenture, PwC i KPMG.

OpenAI rozszerza też współpracę rządową - firma zawarła partnerstwa Trusted Access z Australią, Kanadą, Francją, Niemcami, Japonią, Koreą Południową, unijną agencją ENISA oraz Wielką Brytanią. To nie jest typowa lista referencyjna do slajdów - to sygnał, że model trafia bezpośrednio do systemów klasy EDR, XDR i SIEM używanych przez sektor publiczny i prywatny.

Osobny wątek to inicjatywa Patch the Planet. Trail of Bits, firma badająca bezpieczeństwo kryptograficzne i systemowe, współzałożyła tę inicjatywę razem z OpenAI. Działa ona we współpracy z HackerOne i finansuje eksperckich badaczy bezpieczeństwa, wyposażając ich w Codex Security i modele OpenAI, łącząc ich bezpośrednio z opiekunami projektów otwartoźródłowych. Do uczestnictwa zobowiązało się ponad 30 projektów - wśród nich cURL, Go, Python, Sigstore i pyca/cryptography.

Kto dostanie dostęp, a kto zostanie przy standardowym API

Pełna wersja GPT-5.5-Cyber jest celowo bardziej permisywna niż standardowe modele i rzadziej odmawia wykonania żądań. Dostęp mają wyłącznie zweryfikowani obrońcy, a OpenAI powiązało ten dostęp z procesem weryfikacji, monitorowaniem i systemem zabezpieczeń. Mówiąc wprost: model potrafi więcej, bo wie, kto go używa i po co.

Dla większości organizacji zalecanym punktem wejścia pozostaje GPT-5.5 z Trusted Access for Cyber i Codex Security - GPT-5.5-Cyber jest zarezerwowany dla obrońców wymagających najwyższego poziomu możliwości z rozszerzonym monitorowaniem i określonym zakresem kontroli. To samo podejście co u Anthropic z Mythos - ale skala jest inna: Anthropic ograniczył Mythos do około 50 organizacji, OpenAI buduje ścieżkę weryfikacji, która ma skalować się do tysięcy podmiotów przez standardowy proces sprzedaży i partnerów.

Różnica w filozofii jest tu kluczowa. Anthropic postawił na ekskluzywność i ostrożność - głównie ze względu na ryzyko autonomicznego tworzenia exploitów zero-day. OpenAI wybrało szerszą dystrybucję z naciskiem na weryfikację tożsamości i monitorowanie w czasie rzeczywistym. Który model okaże się trafniejszy - odpowiedź przyjdzie szybciej, niż ktokolwiek się spodziewa, bo Five Eyes właśnie nam przypomniało, że zegar tyka.