OpenAI Daybreak сократил в SentinelOne разбор вредоносного ПО с 4–6 недель до восьми часов

Что объявили

OpenAI выложила 14 октября 2026 года историю клиента, в которой SentinelOne — компания из списка NYSE под тикером S — рассказывает, как использует модели OpenAI Daybreak в защитных задачах. Речь о реверс-инжиниринге вредоносного ПО: исследователь разбирает программу, чтобы понять, как она ведёт себя, и часто возвращается на шаг назад, когда открываются новые детали. Daybreak даёт защитникам доступ к моделям OpenAI именно для такой работы, и SentinelOne применяет эти возможности для разбора образцов.

Заглавная цифра публикации вынесена в её начало: восемь часов на реверс-инжиниринг вредоносного ПО вместо четырёх-шести недель. Именно столько, по словам директора по ИИ SentinelOne Грегора Стюарта, занимает у сильного специалиста разбор сложного образца вручную, тогда как Daybreak выдаёт результат человеческого уровня примерно за восемь часов. Его собственная формулировка на странице: то, что у первоклассного исследователя заняло бы четыре или шесть недель, ИИ теперь делает на уровне человеческого результата примерно за восемь часов.

Ценность анонса — не в одной метрике, а в том, куда она ведёт. Если глубокий разбор стоит недель, команда вынуждена выбирать для него только самые интересные или самые важные угрозы; при более дешёвом разборе образцов становится больше, и между ними появляются связи, которые изолированные исследования пропускают. Стюарт называет это «разведкой, которую мы раньше не могли себе позволить».

Что меняется в работе исследователей

По описанию SentinelOne, раньше команда могла разбирать лишь небольшие объёмы программного обеспечения, а значит, и сравнивать было почти нечего. Быстрый реверс-инжиниринг позволяет покрыть гораздо большую часть ландшафта вредоносного ПО и успевать за его изменениями: картина связей между угрозами и эволюции этих связей становится видимой.

Практический пример из публикации: компонент, найденный в двух внешне несвязанных образцах, превращается в зацепку для расследования по конкретному клиенту. Сравнение результатов по большему числу образцов вскрывает и более широкие связи между угрозами — а это, по словам Стюарта, помогает «защищаться дальше от периметра и действовать превентивно».

Меняется и распределение людей. Доступ к кибервозможностям OpenAI, по словам Стюарта, даёт возможность заниматься безопасностью заметно более широкому кругу сотрудников вместо узкой группы редких специалистов: почти у каждого теперь есть доступ к экспертизе, которой ещё несколько месяцев назад остро не хватало. Следующий шаг, который он хочет сделать, — встроить эти возможности в создание кода, чтобы разработчики SentinelOne закрывали вопросы безопасности прямо во время работы.

Отдельно Стюарт оговаривает границу автоматизации. Автоматизировать, по его мнению, нельзя ответственность: решение, меняющее архитектуру, по-прежнему требует человеческих глаз, тогда как точечные правки, не меняющие принцип работы системы, автоматизации подходят лучше.

Откуда это выросло: сентябрьский пресс-релиз SentinelOne

Публикация OpenAI — вторая половина истории, начало которой SentinelOne описала сама 3 сентября 2026 года. В пресс-релизе компания объявила о расширении сервисов Wayfinder Frontier AI Services, работающих на моделях OpenAI Daybreak через Daybreak Defense Network — киберзащитную инициативу OpenAI, в которой SentinelOne участвует давно. Первой моделью в этом контуре названа GPT-5.6-Cyber.

Там же приведены результаты внутренних бенчмарков: исследовательское подразделение SentinelLABS нашло, что GPT-5.6-Cyber показал лучший в классе результат в реверс-инжиниринге и анализе вредоносного ПО военного уровня — в качестве примера названо семейство fast16. Надёжность таких выводов опирается на уже описанный принцип: вся логика расширения строится вокруг того, какие именно экспозиции атакующий реально может достичь, а не вокруг длины списка найденных уязвимостей.

Кроме моделей пресс-релиз описывает две новые области возможностей. Первая — анализ рисков кода с ИИ: сканирование репозитория клиента на дефекты класса OWASP, внедрённый код, открытые секреты и риски цепочки поставок; при обнаружении подозрительного образца подключаются дизассемблирование и деобфускация, а статические данные и результаты песочницы сводятся в оценку возможностей, закрепления и командных каналов. Вторая — оценка компромисса: телеметрия сверяется с правилами обнаружения, чтобы найти пробелы в защите, включая рискованное использование VPN, прокси и средств удалённого управления. Каждый вердикт сопровождается индикаторами компрометации, разметкой по MITRE ATT&CK и рекомендуемыми правилами обнаружения, и до передачи клиенту его проверяют аналитики наступательной или оборонительной безопасности SentinelOne.

Статус у этого контура разный: сами сервисы Wayfinder Frontier AI Services доступны в общем доступе, а новые возможности и расширенный набор моделей с Daybreak выводятся сначала в закрытое превью, с более широкой доступностью позже. Пресс-релиз содержит и стандартную оговорку о прогнозных заявлениях: любая заявленная функциональность может быть отложена или отменена, а решения о покупке следует принимать по уже доступным возможностям.

Что здесь проверяемо, а что нет

Проверяемая часть — две совпадающие публикации самих сторон: страница OpenAI от 14 октября и пресс-релиз SentinelOne от 3 сентября дают согласованную картину того, какие модели используются (GPT-5.6-Cyber), в каком контуре (Daybreak Defense Network, Wayfinder Frontier AI Services) и на каком этапе готовности (закрытое превью новых возможностей).

Непроверяемая часть — сами цифры производительности. Метрика «восемь часов вместо четырёх-шести недель» и оценка выхода «на уровне человеческого результата» взяты со слов SentinelOne: ни замеров, ни тестового набора, ни описания того, как сравнивался машинный результат с работой человека, в публикации нет. Соответственно, это заявление заказчика о собственном продуктивном выигрыше, а не независимое измерение. Сопоставимых внешних бенчмарков реверс-инжиниринга вредоносного ПО, на которые можно было бы сверить эту цифру, в обеих публикациях не приводится.

Отдельно стоит держать в голове, что Daybreak — коммерческий продукт OpenAI, а сама публикация относится к жанру истории клиента: она строится на интервью с руководителем SentinelOne и не содержит проверяемой методики. То, что она сообщает нового, — это не новая модель и не новый бенчмарк, а заявленный масштаб применения: разбор вредоносного ПО как регулярный рабочий процесс в контуре защиты, а не единичный эксперимент.