81 high-severity-fejl i Firefox efter AI-kampagne
Firefox er blandt de mest gennemgåede kodebaser i verden. OpenAI’s nye cybersikkerhedsmodel GPT-6 Cyber fandt alligevel 81 tidligere ukendte sårbarheder, som Mozilla har klassificeret som high severity. Yderligere 30 kendte fejl blev vurderet alvorligere end først antaget. Mozilla er begyndt at lande rettelser, og i sikkerhedsrådgivningen MFSA 2026-118 til Firefox 159 fra 27. oktober er 41 højrisiko-rettelser krediteret forskere fra OpenAI.
Cyber er ikke Astra, og den er Critical
Modellen blev præsenteret 5. november. Den er ikke det samme som GPT-6 Astra, OpenAI’s generelle flagskibsmodel. Cyber er trænet til at finde og validere udnyttelige sårbarheder inden for den ramme, sikkerhedsforskere sætter. Under OpenAI’s Preparedness Framework er den klassificeret Critical i cybersikkerhed, et trin op fra High for forgængeren GPT-5.6 Cyber. Critical betyder ifølge OpenAI’s egen definition, at modellen kan identificere og udvikle fungerende zero-day-exploits på flere alvorlighedsniveauer i mange hårde, virkelige systemer uden menneskelig indgriben.
ExploitGym: 48,5 procent mod 32,1
Tallene på benchmarket ExploitGym er entydige i OpenAI’s egen måling. På den test scorer den nye Cyber-model 48,5 procent, mod 32,1 procent for GPT-5.6 Cyber. The Verge noterer, at Astra landede på 42,4 procent på samme test, så Cyber ligger også over søstermodellen på den opgave. På en intern test af offensiv web-penetrationstest uden kildekode nåede Cyber 40,3 procent recall mod Astras 32,0 procent.
Modellen holder sig inden for opgaven
Det, OpenAI fremhæver mindst lige så højt, er, at modellen holder sig inden for opgaven. I evalueringen ExploitGym Honeypot, inspireret af en tidligere episode, hvor agenter gik uden for mål, undgik GPT-6 Cyber at angribe udefrakommende tjenester i 99,93 procent af testene uden deployment-prompt og i 100 procent med prompten. Det svarer til, at den gik uden for scope i 0,07 procent af tilfældene, mod 5,51 procent for den tidligere Cyber-model. Fouad Matin, der leder OpenAI’s cyber preparedness- og safety-team, sagde til The Verge: “It’s over 99 percent of the time doing what you ask.”
Daybreak Red først, Blue til de fleste forsvarere
Adgangen er snæver. Cyber ruller først ud via API og Codex til udvalgte kunder i Daybreak Red, OpenAI’s mere permissive lag for autoriseret offensiv sikkerhedsforskning. Daybreak Blue er det lag, virksomheden anbefaler til de fleste forsvarere, blandt andet med Astra til triage og patch-arbejde. OpenAI skriver, at Cyber snart udvides til alle Daybreak Red-kunder, og at virksomheden vil udvide Daybreak Blue-alpha for Astra. Der er desuden et tilskudsprogram på en milliard dollar, Daybreak for Frontline Defenders, rettet mod teams, der beskytter kritisk infrastruktur.
Mozilla er begyndt at lande rettelserne
Brian Grinstead, Distinguished Engineer på Firefox, siger i OpenAI’s meddelelse, at GPT-6 Cyber er “a world-class model for cyberdefense”, og at Firefox gik ind i 2026 som en af verdens mest hærdet og granskede kodebaser. Modellen fandt ifølge ham alligevel ukendte high-severity-fejl og hjalp med at sende rettelser ud til millioner af brugere.
Linux 948 er dækket, bagsiden er tempoet
Linux-historien er allerede dækket her på snilld.dk: samme forskningskampagne udviklede working exploits til 948 kerne-sårbarheder. Den nye vinkel er Firefox-tallene, Critical-klassificeringen og skellet mellem Astra, Daybreak Blue og Daybreak Red. TechCrunch peger samtidig på den praktiske bagside for forsvarere. Flere fejl ender hos maintainere og security-teams, der allerede er pressede, mens adgangen til de stærkeste modeller stadig er begrænset til godkendte brugere.
Bundlinjen
For danske it-sikkerhedsfolk er lektien todelt. Browseren skal opdateres, når Mozilla lander rettelserne, og organisationer, der vil bruge frontier-modeller til autoriseret test, skal ind i de rigtige adgangsprogrammer frem for at improvisere. GPT-6 Cyber er bygget til at finde huller hurtigere. Om den også lukker dem i samme tempo, er et andet spørgsmål, som hverken benchmarkene eller MFSA-listen besvarer alene.
Kilder
- OpenAI: GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents (5. november 2026)
- The Verge: OpenAI says GPT-6 Cyber is better at finding vulnerabilities without going out of bounds (5. november 2026)
- TechCrunch: OpenAI released a new cybersecurity model. Is that enough? (5. november 2026)
- CSO Online: OpenAI’s GPT-6 Cyber ups the ante on vulnerability discovery (5. november 2026)
- Mozilla: Security Vulnerabilities fixed in Firefox 159 (MFSA 2026-118) (27. oktober 2026)
- QuantSlant: GPT-6 Cyber Found 81 Flaws in Firefox: Checking Mozilla Advisory (5. november 2026)
