OpenAI ปล่อย GPT-5.6-Cyber — โมเดลที่ตอบคำถามไซเบอร์อ่อนไหว 95% เทียบกับ 1.5% ของรุ่นปกติ เข้าถึงได้เฉพาะผ่านชั้น Daybreak Red

เมื่อ 10 สิงหาคม 2026 OpenAI ประกาศแยกโครงการความมั่นคงไซเบอร์ Daybreak ออกเป็นสองชั้นการเข้าถึง พร้อมปล่อยโมเดลที่ฝึกมาเพื่องานนี้โดยเฉพาะชื่อ GPT-5.6-Cyber ซึ่งสร้างบนฐาน GPT-5.6 Sol แต่ จงใจลดการปฏิเสธคำสั่งที่เป็น dual-use ด้านความมั่นคง — คือคำสั่งที่ใช้ป้องกันก็ได้ ใช้โจมตีก็ได้

นี่เป็นการเดินเกมที่น่าสนใจเพราะเกิดขึ้นเพียงไม่กี่วัน หลังบริษัทเดียวกันติดป้ายโมเดลรุ่นถัดไป Astra ว่าอาจถึงระดับ Critical ด้านไซเบอร์ แล้วสั่งชะลอการพัฒนา — ด้านหนึ่งเบรกเพราะอันตรายเกิน อีกด้านหนึ่งปลดเบรกให้คนกลุ่มที่คัดแล้ว

สองชั้น: Blue กับ Red ต่างกันอย่างไร

• Daybreak Blue — ให้โมเดลใช้งานทั่วไป (GPT-5.6 Sol) แก่ฝ่ายป้องกันที่ผ่านการอนุมัติ โดยผ่อนมาตรการนิรภัยลงบางส่วนสำหรับงานความมั่นคงประจำวัน
• Daybreak Red — กั้น GPT-5.6-Cyber ไว้หลังการคัดกรองที่เข้มกว่ามาก สำหรับงานวิจัยช่องโหว่ การพิสูจน์ exploit และการทดสอบเจาะระบบ

ช่องว่างระหว่างสองชั้นวัดออกมาเป็นตัวเลขได้ชัด บนเบนช์มาร์กภายในชื่อ Advanced Cybersecurity Completion Rate ซึ่งครอบคลุมการต่อ exploit chain การข้ามการยืนยันตัวตน และการยกระดับสิทธิ์:

โมเดล / ชั้น	อัตราการตอบคำขอ
GPT-5.6-Cyber (Red)	95.0%
GPT-5.6 Sol ผ่าน Daybreak Blue	2.0%
GPT-5.6 Sol มาตรฐาน	1.5%

ส่วนบน ExploitGym ซึ่งวัดความสามารถแปลงช่องโหว่ที่รู้แล้วให้กลายเป็น exploit ที่ใช้งานได้จริง GPT-5.6-Cyber ทำได้ดีกว่าทั้ง GPT-5.6 Sol และ GPT-5.5-Cyber รุ่นก่อนหน้า

ตัวอย่างที่ OpenAI ยกมา: โมเดลนี้เขียนการข้ามการยืนยันตัวตนบน WebSocket ที่ใช้งานได้จริงสำเร็จ ในกรณีที่โมเดลอื่นปฏิเสธไม่ทำ

ผลงานจริงที่อ้างถึง

OpenAI ระบุว่าใช้ GPT-5.6-Cyber ค้นเจอ ช่องโหว่ที่ยังไม่มีใครรู้สองรายการใน Chrome (เอนจิน JavaScript V8) โดยรายการหนึ่งได้หมายเลข CVE-2026-15903 แล้ว นอกจากนี้ยังพบช่องโหว่เพิ่มเติมในระบบปฏิบัติการมือถือ ฐานข้อมูล และเคอร์เนล ภายใต้กระบวนการเปิดเผยแบบประสานงาน (coordinated disclosure)

การอ้างผลลัพธ์ที่ตรวจสอบย้อนได้แบบนี้ — มี CVE จริง มีการเปิดเผยตามขั้นตอน — ต่างจากการโฆษณาความสามารถลอย ๆ และเป็นหลักฐานที่หนักพอจะบอกว่าโมเดลไม่ได้แค่ “พูดเรื่องความปลอดภัยได้คล่องขึ้น”

จะเข้าถึงต้องทำอะไรบ้าง

มีสามเส้นทาง:

1. บุคคล — ยืนยันตัวตนและขอ trusted access ที่ chatgpt.com/cyber
2. องค์กร — ยื่นผ่านแบบฟอร์มระดับองค์กรของ OpenAI
3. ผู้ให้บริการด้านความมั่นคง — เข้าร่วม Daybreak Cyber Partner Program

ทั้งสามเส้นทางมีเงื่อนไขร่วมกัน: ยืนยันตัวตน มาตรการความปลอดภัยของบัญชี การเฝ้าติดตามการใช้งาน ข้อจำกัดว่าใช้ทำอะไรได้บ้าง และการให้คำรับรองทางกฎหมาย

จุดที่ต้องจดไว้ในปฏิทิน: ตั้งแต่ 1 กันยายน 2026 OpenAI จะบังคับใช้กุญแจความปลอดภัยฮาร์ดแวร์กับบัญชี Daybreak ระดับบุคคลทั้งหมด และแนะนำให้รันงานในสภาพแวดล้อม sandbox ที่แยกออกมา

มุมมอง AI Curator

เรื่องนี้คือการยอมรับอย่างเป็นทางการว่า การเซ็นเซอร์ความสามารถที่ระดับโมเดลนั้นล้มเหลวในเชิงยุทธศาสตร์ ตัวเลข 1.5% กับ 95% บอกว่ามาตรการนิรภัยเดิมทำงานได้ผลจริง — แต่มันปิดกั้นทั้งคนโจมตีและคนป้องกันเท่ากัน ขณะที่ฝ่ายโจมตีมีทางเลือกอื่นเสมอ ทั้งโมเดลเปิดที่ปลด guardrail ได้เอง และโมเดลจากเขตอำนาจที่ไม่มีข้อจำกัดแบบนี้ ผลคือมาตรการนิรภัยกลายเป็นภาษีที่เก็บจากฝ่ายป้องกันฝ่ายเดียว OpenAI จึงเลือกย้ายจุดควบคุมจาก “โมเดลปฏิเสธ” ไปเป็น “รู้ว่าใครถาม และตามรอยได้” ซึ่งเป็นโมเดลความปลอดภัยแบบเดียวกับที่วงการ pentest ใช้มานาน คือคุมด้วยสัญญาและตัวตน ไม่ใช่คุมด้วยเครื่องมือ

แต่การย้ายจุดควบคุมแบบนี้แปลว่า ความปลอดภัยทั้งหมดไปกองอยู่ที่คุณภาพของกระบวนการคัดกรอง ซึ่งเป็นจุดที่เปราะที่สุด การยืนยันตัวตนกับคำรับรองทางกฎหมายกันคนที่ไม่อยากมีปัญหาได้ดี แต่กันคนที่มีทรัพยากรระดับรัฐหรือกลุ่มอาชญากรรมที่มีเอกสารปลอมได้แค่ไหนยังเป็นคำถามเปิด และเมื่อบัญชีหนึ่งถูกยึด สิ่งที่ผู้โจมตีได้ไปไม่ใช่แค่แชทบอต แต่คือเครื่องมือที่ต่อ exploit chain ได้ 95% ของเวลา — การบังคับกุญแจฮาร์ดแวร์วันที่ 1 กันยายนจึงไม่ใช่พิธีกรรม แต่เป็นการอุดจุดตายที่รู้ตัวดี

สำหรับไทยและ SEA ประเด็นที่ควรคิดคือ ความไม่สมมาตรของการเข้าถึง ทีม SOC และหน่วยงาน CERT ในภูมิภาคส่วนใหญ่จะยังไม่ผ่านเกณฑ์คัดกรองแบบนี้ในระยะสั้น — ทั้งเพราะกระบวนการยื่นเป็นภาษาอังกฤษ ต้องมีตัวตนทางกฎหมายที่ OpenAI ยอมรับ และต้องรับเงื่อนไขการเฝ้าติดตามซึ่งหน่วยงานรัฐหลายแห่งรับไม่ได้โดยนโยบาย ผลลัพธ์ที่ตามมาคือช่องว่างขีดความสามารถระหว่างฝ่ายป้องกันในประเทศพัฒนาแล้วกับที่นี่จะกว้างขึ้น ในขณะที่ฝ่ายโจมตีไม่มีพรมแดนแบบนั้น

คำแนะนำเชิงปฏิบัติสำหรับทีมไทย: อย่ารอเข้าถึง Red แล้วค่อยเตรียมตัว สิ่งที่ทำได้วันนี้คือ ยกระดับสมมติฐานพื้นฐาน — ถ้าโมเดลที่ต่อ exploit chain ได้ 95% มีอยู่จริงในตลาด ต่อให้กั้นไว้แค่ไหน เวลาที่ช่องโหว่หนึ่งจะถูกแปลงเป็น exploit ใช้งานได้จะสั้นลงมาก แผนแพตช์ที่วางไว้บนสมมติฐาน “มีเวลาสองสัปดาห์” ควรถูกทบทวนใหม่ทั้งหมด

แหล่งข่าว

• OpenAI launches GPT-5.6-Cyber to help defenders find vulnerabilities before attackers do — The Decoder
• OpenAI Expands Daybreak With Two Tiers and a New Cybersecurity Model — Unite.AI
• Expanding Daybreak as the cyber defense window narrows — OpenAI (ประกาศต้นทาง)