GPT-5.4-Cyber: OpenAIs modell kun for sikkerhetseksperter

Nøkkelinnsikt

• GPT-5.4-Cyber er finjustert spesifikt for cybersikkerhet, ikke bare GPT-5.4 med løsere rekkverk. Det er et kvalitativt skifte, ikke en justering av retningslinjene
• OpenAIs brede TAC-program og Anthropics lukkede Glasswing-konsortium går motsatte veier til samme konklusjon: åpen tilgang til de kraftigste cyber-modellene er over
• SATAN-debatten fra 1995 om dobbeltbruks-sikkerhetsverktøy er aldri avgjort. Hvert tiår kommer samme argument tilbake med nytt navn og større konsekvenser
• Sikkerhet gjennom hemmelighold er allerede tapt. WormGPT og jailbreakede modeller finnes på undergrunnsfora, så begrenset tilgang hjelper forsvarerne, men stopper ikke angriperne

Kort fortalt

Tidligere denne uken lanserte OpenAI GPT-5.4-Cyber, en variant av toppmodellen som selskapet selv beskriver som cyber-permissive — på norsk en modell som er tillatende overfor cyber-spørsmål. I praksis: den får lov til å gjøre ting en vanlig GPT nekter, så lenge det handler om defensivt sikkerhetsarbeid. Men du kan ikke bare logge inn. Tilgangen går gjennom OpenAIs program Trusted Access for Cyber (TAC), som kvalitetssjekker enkeltforskere og hele team før den høyeste tilgangen åpnes.

I en bonusepisode av IBMs Security Intelligence-podkast snakker verten Matthew Kosinski med to erfarne ingeniører fra IBM: Jeff Crume og Martin Keen. De borer i et spørsmål OpenAIs egen pressemelding ikke svarer på: hvem avgjør egentlig hva som er legitimt sikkerhetsarbeid, og hva skjer når portvokterne er uenige?

Bakteppet er at Anthropic valgte en helt annen vei bare uker tidligere, med Project Glasswing og Claude Mythos: et lukket konsortium (eksklusiv gruppe firmaer med felles avtale) av utvalgte partnere. OpenAIs TAC er bredere, mer automatisert og åpen for individer. Ulik filosofi, samme underliggende erkjennelse: epoken med åpen tilgang til de kraftigste cyber-modellene er over.

Hva GPT-5.4-Cyber faktisk er

Her skjer to ting samtidig, og de er ikke like viktige.

Det første er at OpenAI har senket avslagsgrensen (refusal boundary) for denne modellen. Avslagsgrensen er punktet hvor en chatbot går fra å svare til å høflig si nei. Vanlige GPT-modeller nekter å gå inn på detaljerte spørsmål om skadevare, utnyttelseskode eller omvendt konstruksjon (reverse engineering) av programvare. GPT-5.4-Cyber nekter sjeldnere på den typen spørsmål, så lenge brukeren er godkjent i TAC-programmet.

Det andre, og mer interessante, er at dette ikke bare er en rekkverksinnstilling. Keen peker på det sent i episoden: OpenAI sier modellen er finjustert (fine-tuned) spesifikt for cybersikkerhetsarbeid. Finjustering betyr at man tar en basismodell og fortsetter treningen på et fokusert datasett, slik at modellen blir merkbart bedre på akkurat det området. GPT-5.4-Cyber er altså ikke bare GPT-5.4 med håndjernene av. Det er en modell som er lært opp til å tenke som en sikkerhetsingeniør.

Tilgangen går gjennom en gradert godkjenningsprosess. Individer og bedrifter søker via chatgpt.com/cyber. Godkjente brukere på øverste nivå får GPT-5.4-Cyber, mens lavere nivåer får mildere varianter av eksisterende modeller med mindre friksjon rundt dobbeltbruks-spørsmål.

To veier til begrenset tilgang

For seks uker siden kunne du rimelig si at alle store AI-laboratorier løp i samme retning: nyeste modell, sluppet til alle, best på benchmark (standardiserte sammenligningstester) først. Det er ikke lenger tilfelle. De to mest synlige laboratoriene i USA har nå trukket svært ulike grenser rundt sine sterkeste modeller med cyber-kapasitet.

Keens lesning av dette skiftet er direkte: "Vi har på sett og vis allerede nådd slutten på den åpne modell-tilnærmingen." Laboratoriene forteller oss gang på gang at disse systemene nå er for kraftige for åpen utgivelse. Det som gjenstår er en diskusjon om hvem som får nøklene og hvordan du beviser at du fortjener dem.

De to tilnærmingene ser motsatte ut. De ender samme sted. Frontier-modeller (de nyeste og kraftigste AI-modellene) med cyber-kapasitet er ikke lenger noe en tilfeldig utvikler laster ned via et API (grensesnittet utviklere bruker for å koble seg til en tjeneste).

SATAN-debatten, 30 år senere

Crumes bidrag til episoden er en påminnelse om at nesten ingenting av dette er nytt. Analogien hans er Groundhog Day, filmen der Bill Murray våkner til samme dag om og om igjen. Cybersikkerhet, hevder han, sitter fast i samme argument.

Det klassiske eksempelet er fra 1995: et verktøy kalt SATAN, kort for Security Administrator Tool for Analyzing Networks, laget av Dan Farmer og Wietse Venema. SATAN var en av de første åpne sårbarhetsskannerne, programvare du retter mot et nettverk for å få opp de svake punktene. Intensjonen var defensiv: systemadministratorer kunne granske sine egne systemer.

Reaksjonen var akkurat som man kunne vente. Sikkerhetsmiljøet revnet i to. Den ene leiren mente SATAN ga angripere et ferdig innbruddsverktøy. Den andre mente forsvarerne trengte de samme verktøyene som angriperne allerede hadde, ellers var slaget tapt. Debatten var høy nok til at Silicon Graphics sparket Farmer på grunn av verktøyet.

Tre tiår senere er Crumes poeng at GPT-5.4-Cyber er samme samtale i ny målestokk. En hammer vet ikke om den slår inn en spiker eller knuser en skalle. En sårbarhetsskanner sjekker ikke hvem som holder den. Det gjør heller ikke en språkmodell som kan lese ferdig-kompilert programvare (programmer uten tilgjengelig kildekode) og finne minnefeil som kan utnyttes.

Ansvarlig avsløring som mellomvei

Mellom "bare vår hemmelige klubb får røre dette" og "la alle få tilgang" har sikkerhetsbransjen allerede et velprøvd kompromiss: ansvarlig avsløring (responsible disclosure). Hvis du finner en sårbarhet, varsler du leverandøren først. Du gir dem et fastsatt vindu, ofte 90 dager, til å sende ut en rettelse. Hvis de ikke gjør noe, går du offentlig ut, og det tvinger fram en fiks.

Crume antyder at samme prinsipp kan forme hvordan AI-laboratorier håndterer kraftige modeller med cyber-kapasitet. Ikke en permanent lås, ikke fritt fram. En strukturert prosess som presser forsvarerne til faktisk å forsvare. TAC er et første steg i den retningen: søk, bevis deg selv, få tilgang i bytte mot ansvarlighet.

Hvorfor "sikkerhet gjennom hemmelighold" allerede er tapt

Den tyngste sannheten i samtalen kommer sent. Crume sier det rett ut: å holde AI med cyber-kapasitet under lås er sikkerhet gjennom hemmelighold (security by obscurity), altså tanken om at du er trygg så lenge angriperen ikke vet det du vet. Den strategien fungerer ikke, og sikkerhetsbransjen har brukt tiår på å bevise det.

Hvorfor? Fordi kriminelle ikke står i kø for OpenAIs godkjenning. Det finnes allerede et økosystem av usensurerte, kriminelle språkmodeller til salgs på undergrunnsfora. WormGPT dukket opp på Hack Forums i 2023 som en eksplisitt ondsinnet GPT-variant, trent på skadekode og phishing-maler (e-poster designet for å lure mottakeren). Den er blitt stengt ned og gjenfødt flere ganger, senest som varianter som kjører på jailbreakede versjoner (modeller der sikkerhetsrekkverkene er omgått) av Grok og Mixtral, solgt for 60 til 100 euro i måneden.

Lærdommen: å begrense tilgangen til frontier-modeller endrer formen på forsvarsfordelen, men skaper ikke en fordel i seg selv. Angriperne har dårligere verktøy enn GPT-5.4-Cyber, men de har verktøy, og forskjellen krymper raskt.

Hva dette egentlig handler om

GPT-5.4-Cyber er mindre interessant for hva den kan gjøre i dag enn for hva den signaliserer. Tre skift skjer samtidig.

Finjustering fremfor å skru av rekkverk. Laboratoriene pleide å snakke om å skru av rekkverk for godkjente brukere. Nå trener de nye modeller spesifikt for fagområdet. Forskjellen er viktig: en modell som er trent på sårbarhetsforskning er bedre til sårbarhetsforskning, ikke bare mindre prippen om det.

Begrenset tilgang er ny standard. Både OpenAI og Anthropic har konkludert med at frontier-modeller med cyber-kapasitet ikke kan sendes ut til alle via et offentlig API. Vanlige brukere beholder forbrukerversjonene. De skarpeste verktøyene flytter bak verifisering.

Løpet stopper ikke. Crumes avsluttende poeng er at dette er en midlertidig fordel for de forsvarerne som får tilgang først. Som Keen påpeker, ingen har lansert den ene modellen som gjør alle andre overflødige. Neste laboratorium slipper en bedre, og det neste, og det neste. Det betyr at poenget med TAC og Glasswing er å holde seg et skritt foran den kriminelle undergrunnen, ikke å fryse kapasiteten på plass.

Sikkerhetsmiljøet, tro mot seg selv, klarer ikke bli enige om dette er riktig trekk. Keen avslutter episoden med Crumes stående vits: still tre sikkerhetseksperter samme spørsmål, og du får fem svar. Tre tiår etter SATAN klarer vi fortsatt ikke enes om den nyeste skanneren er en gave eller et våpen. Bare at skanneren nå kan skrive sine egne utnyttelser.

Ordliste

Kilder og ressurser