GPT-6 Cyber en Firefox: 81 ernstige beveiligingslekken gevonden
OpenAI claimt 81 ernstige kwetsbaarheden in Firefox met GPT-6 Cyber. In Mozillabezielingsbulletin MFSA 2026-118 vonden we de eerste 41 patches terug.
👁 114 keer gelezen
Brian Grinstead, Firefox-engineer bij Mozilla, schreef over GPT-6 Cyber dat de browser het jaar 2026 inging als een van de meest geharde en grondig onderzochte softwarepakketten ter wereld, en dat het model toch onbekende, ernstige kwetsbaarheden vond. Het aantal dat OpenAI noemt, is 81. Ik besloot dit na te trekken op de enige plek waar dat zonder toegang tot het model mogelijk is: in de beveiligingsbulletins van Mozilla.
In het kort
- 81 nieuwe kwetsbaarheden beoordeeld door Mozilla als ernstig (high), inclusief bewijslast en reproduceerbare tests.
- Daarnaast bleken 30 reeds bekende bugs gevaarlijker dan aanvankelijk ingeschat.
- Beveiligingsbulletin MFSA 2026-118 (Firefox 159, 27-10-2026): 167 patches, waarvan er bij 41 onderzoekers van OpenAI als melder worden vermeld. Alle 41 hebben de ernst “high”.
- Wat je moet doen: werk Firefox direct bij naar versie 159 of nieuwer.
Wat het model precies heeft gedaan
Volgens OpenAI hebben onderzoekers van het bedrijf een zoekcampagne naar kwetsbaarheden uitgevoerd waarbij GPT-6 Cyber grotendeels autonoom werkte: het vond bugs, stelde bewijsmateriaal en reproduceerbare testcases op, en stelde vervolgens patches voor. De resultaten werden samen met voorgestelde fixes naar Mozilla gestuurd, waarna Mozilla kort na ontvangst van de meldingen begon met de implementatie ervan. OpenAI meldt dat het model geschikt zou kunnen zijn voor het autonoom zoeken naar kwetsbaarheden en het op grote schaal voorstellen van patches - een voorzichtig “zou kunnen”, niet een definitief “is geschikt”.
De context die Mozilla zelf in het citaat meegeeft, is cruciaal: Firefox was eerder al versterkt met behulp van meerdere generaties AI-modellen. Het gaat hier dus niet om code waar nog nooit iemand naar heeft gekeken, maar om een codebase waarin eerdere modellen de eenvoudigere fouten al hadden weggewerkt.
Wat het Mozilla-bulletin laat zien
OpenAI verwijst in de aankondiging naar beveiligingsadvies MFSA 2026-118, gepubliceerd op 27 oktober 2026 bij de release van Firefox 159. Ik heb het overzicht regel voor regel doorgenomen. Mozilla kent sinds kort een apart CVE-nummer toe aan elke intern gevonden geheugenfout, in plaats van deze onder één noemer samen te voegen. Daardoor telt het bulletin maar liefst 167 items. In 41 gevallen staat een onderzoeker “of OpenAI” genoemd als melder. Alle 41 hebben de classificatie “high” gekregen. Het betreft hoofdzakelijk use-after-free-fouten in verschillende onderdelen van de browser, variërend van tekst- en lettertype-opmaak tot WebRTC.
| Onderdeel | Aantal | Bron |
|---|---|---|
| Nieuwe ‘high’ kwetsbaarheden ontdekt door GPT-6 Cyber | 81 | OpenAI |
| Bekende bugs met verhoogde ernstclassificatie | 30 | OpenAI |
| Totaal aantal opgeloste kwetsbaarheden in Firefox 159 | 167 | Mozilla, MFSA 2026-118 |
| Oplossingen gemeld door onderzoekers van OpenAI | 41 (allemaal high) | Mozilla, MFSA 2026-118 |
41 is minder dan 81, en dat strookt met wat OpenAI aangeeft: Mozilla is “begonnen” met het uitbrengen van fixes en een deel volgt in latere releases. Het bulletin vermeldt niet met welk specifiek model een bug is gevonden, dus ik beweer niet dat elk van deze 41 meldingen direct aan GPT-6 Cyber toebehoort - enkel dat dit het aantal meldingen van OpenAI in deze release is.
Waarom dit zwaarder weegt dan een benchmark
Een benchmark toetst taken die zijn klaargezet door onderzoekers. Een bulletin van een softwareleverancier is een praktijkbewijs uit de echte wereld: een onafhankelijke organisatie heeft de meldingen geaccepteerd, zelfstandig de ernst gewogen en updates uitgebracht. Van de gehele lancering van GPT-6 Cyber is dit, naast het Linux-rapport, het sterkste bewijs dat het model daadwerkelijk tastbare resultaten levert.
Er zit ook een schaduwzijde aan. Als een model in staat is tientallen ernstige kwetsbaarheden bloot te leggen in een van de best beveiligde browsers ter wereld, dan kunnen soortgelijke tools in verkeerde handen precies hetzelfde doen bij software die lang niet zo nauwlettend in de gaten wordt gehouden. OpenAI spreekt in de aankondiging over een “beperkt tijdvenster” waarin verdedigers deze modellen moeten benutten voordat aanvallers dat doen.
Wat je nu moet doen
- Werk Firefox bij naar versie 159 of hoger. Ga in het menu naar Help en kies over Firefox.
- Beheer je systemen binnen een organisatie? Controleer dan of de Extended Support Release (ESR) van de benodigde updates is voorzien en dwing de update af via beheersbeleid.
- Stel browserupdates niet uit. Het tempo waarin kwetsbaarheden met AI worden opgespoord neemt toe, en daarmee ook het tempo waarin updates moeten worden uitgerold.
Meer over het model vind je in ons dossier over GPT-6 Cyber.
Google · Jouw bronnenHoger in Google - met één klikToevoegen aan voorkeursbronnen →Bronnen
- OpenAI, GPT-6 Cyber, 05-11-2026 (paragraaf Real-world impact, citaat Brian Grinstead)
- Mozilla, Security Vulnerabilities fixed in Firefox 159 (MFSA 2026-118), 27-10-2026
More on this from HELDER
benchmarks·GPT-6 Cyber: alle benchmarks uit de system card ontleedAlle testresultaten van GPT-6 Cyber op een rij: van ExploitGym en RemoteExploitBench tot audits door Irregular, inclusief de officiële system card-cijfers.