OpenAI merilis GPT-6 Cyber pada Kamis, 5 November 2026. Model ini dibuat khusus untuk pekerjaan keamanan siber: mencari celah pada perangkat lunak, membuktikan celah itu benar-benar bisa dieksploitasi, lalu membantu menyusun perbaikannya. Yang membuat rilis ini layak diperhatikan bukan hanya angkanya, tetapi label yang OpenAI tempelkan pada model itu sendiri: Critical di ranah keamanan siber.

Status tersebut datang dari Preparedness Framework OpenAI, naik dari High pada GPT-5.6 Cyber. Artinya, menurut penilaian pembuatnya, model ini cukup kuat untuk mengubah peta ancaman. Karena itu aksesnya tidak dibuka bebas. GPT-6 Cyber hanya tersedia melalui Daybreak Red, program OpenAI untuk pengujian keamanan resmi, dengan verifikasi identitas, syarat single sign-on, multi-factor authentication, dan pembatasan alamat IP pada API.

Celah Firefox yang lolos dari model sebelumnya

Klaim paling konkret datang dari Firefox. Dalam satu kampanye riset, OpenAI menyebut GPT-6 Cyber menemukan 81 kerentanan baru berkategori high severity di peramban tersebut. Sejumlah model generasi sebelumnya sudah pernah diuji pada kode yang sama, jadi temuan ini bukan soal perangkat lunak yang belum pernah diperiksa. Model juga menunjukkan bahwa 30 celah yang sudah diketahui ternyata lebih berbahaya daripada laporan awal, lalu mengusulkan tambalan.

Mozilla menerima laporan tersebut dan sudah mengirim perbaikan ke pengguna. Jejaknya bisa dicek publik: Mozilla Foundation Security Advisory 2026-118, berjudul Security Vulnerabilities fixed in Firefox 159, diumumkan 27 Oktober 2026 dengan tingkat dampak high.

Uji Linux: 948 exploit yang bisa dipakai

Pada kernel Linux, OpenAI melaporkan modelnya mereproduksi 1.724 kerentanan di lingkungan terisolasi dan berhasil membangun exploit yang berfungsi untuk 948 di antaranya, termasuk 588 celah yang sebelumnya belum diketahui. Sebagai pembanding, GPT-5.6 Sol hanya mencapai 166 exploit dengan rangkaian riset yang sama. Sebanyak 304 temuan kritis sudah dilaporkan ke para maintainer lengkap dengan kandidat patch.

Exploit di sini adalah kode yang memungkinkan pengguna dengan hak terbatas naik ke root, yaitu kendali penuh atas sistem. Bagi instansi yang menjalankan server sendiri, laporan semacam ini menjelaskan satu hal sederhana: jarak antara "ada celah" dan "celah dipakai menyerang" kini sangat pendek.

Lebih patuh batas, tetapi tetap berisiko

Kekhawatiran utama model ofensif adalah perilaku di luar instruksi. OpenAI menguji hal ini lewat ExploitGym Honeypot, skenario ketika model diminta menembus satu target sementara layanan lain di sekitarnya sengaja dibuat mudah dibobol namun dilarang disentuh. Tanpa prompt pengaman, GPT-6 Cyber tidak menyentuh layanan terlarang pada 99,93 persen percobaan, sedangkan GPT-5.6 Cyber 94,49 persen. Dengan prompt pengaman, hasilnya bersih sepenuhnya.

Pada ExploitGym, yang mengukur kemampuan mengeksploitasi celah tertentu, skornya 48,5 persen melawan 32,1 persen milik GPT-5.6 Cyber. Di uji serangan jarak jauh yang baru, GPT-6 Astra menolak seluruh tugas, sementara GPT-6 Cyber menyelesaikan 95 persen. Angka terakhir ini menjelaskan mengapa akses dibatasi seketat itu.

Latar yang membuat rilis ini mendesak

GPT-6 Cyber muncul saat alat peretas berbasis AI sudah beredar di internet. Artex, framework penetration testing otomatis berbasis model bahasa yang dirilis terbuka pada Juli 2026, dilaporkan Censys masih berjalan di 1.465 host dengan konsol terbuka per 4 November 2026, sekitar 815 di antaranya tampak sebagai deployment berbeda. Sebanyak 32 host bahkan membuka direktori berisi implant dan exploit.

Microsoft menyebut Artex sebagai kumpulan agen AI yang mampu menjalankan serangan dari pengintaian sampai pencurian data dengan sedikit campur tangan manusia. Alat ini dikaitkan dengan serangan terhadap industri keuangan Korea Selatan pada September dan insiden ConnectWise pada Oktober, yang membuka akses ke ribuan organisasi pengguna layanan awan Microsoft. Yang menarik, banyak serangan itu tidak memakai teknik canggih: password lemah atau yang sudah bocor, ditambah ketiadaan MFA.

Arti praktisnya bagi instansi dan UMKM di Indonesia

Model sekelas GPT-6 Cyber belum bisa dipakai sembarang organisasi di Indonesia, karena seleksi Daybreak Red ketat dan biaya risetnya besar. Menurut CyberInsider, uji Linux dalam kampanye tersebut menelan sekitar 1,2 juta dolar kredit API. Namun dampaknya tetap terasa tidak langsung, lewat dua jalur.

• Jendela patch makin sempit. Kalau penyerang memakai agen AI untuk memindai target, celah yang dibiarkan berbulan-bulan akan lebih cepat ditemukan. Server pemda, desa, sekolah, dan aplikasi UMKM perlu dipatch rutin, bukan menunggu insiden.
• Kesalahan dasar jadi pintu masuk utama. Password lemah, akun tanpa MFA, panel admin dan phpMyAdmin yang terbuka ke internet, serta direktori tanpa autentikasi adalah pola yang sama dengan kasus Artex. Semua itu bisa ditutup tanpa anggaran besar.
• AI sebagai alat pembela. Untuk tim developer yang memenuhi syarat, model kelas ini mempercepat audit kode dan verifikasi temuan. Temuan tetap harus diuji manual sebelum dipakai mengambil keputusan.

Bagi pemerintah daerah dan penyedia layanan publik, pelajaran paling konkret ada pada urutan prioritas: inventarisasi aset yang benar-benar terbuka ke internet, wajibkan MFA untuk akun administrator, dan siapkan prosedur patch cepat. Perusahaan IT yang mengelola banyak aplikasi, termasuk kami di EASYSTEM, membaca rilis ini sebagai pengingat bahwa pemindaian rutin dan pembaruan dependensi bukan pekerjaan tambahan, melainkan bagian dari layanan.

OpenAI menyatakan akses akan diperluas ke seluruh pelanggan Daybreak Red yang disetujui dalam beberapa minggu ke depan. Sambil menunggu, satu hal sudah pasti: era ketika pencarian celah keamanan bergantung pada jam kerja manusia telah bergeser, dan pihak yang lambat memperbarui sistem akan menanggung risikonya lebih dulu.

Sumber: OpenAI: pengumuman rilis GPT-6 Cyber (5 November 2026); OpenAI Deployment Safety Hub: GPT-6 Cyber System Card; Mozilla Security Advisory 2026-118; TNW: OpenAI GPT-6 Cyber found 81 new Firefox flaws; TechCrunch: Hundreds of Artex AI hacking tools found publicly exposed; Censys: laporan ARTEX.