Компания OpenAI объявила о запуске проекта Patch the Planet, ориентированного на повышение безопасности критически важных открытых проектов. Инициатива реализуется в рамках программы Daybreak совместно с компанией Trail of Bits и при участии организаций HackerOne и Calif. Цель инициативы - помочь сопровождающим открытого ПО выявлять, проверять и устранять уязвимости с использованием AI-инструментов и аудита безопасности, на фоне увеличения потока отчётов об ошибках, на разбор которых у сопровождающих зачастую не хватает времени и ресурсов.
В отличие от типичных программ автоматического поиска ошибок, Patch the Planet позиционируется как сервис полного цикла: помимо обнаружения потенциальных проблем, участникам помогают подготовить исправления, интегрировать их в кодовую базу и внедрить процессы для тестирования и усиления безопасности. Результаты работы AI-моделей проходят обязательную ручную проверку и рецензирование инженерами, специализирующимися на компьютерной безопасности.
На первом этапе к программе подключено 19 открытых проектов, за которыми закреплены сотрудники Trail of Bits, работающие над проектом в режиме полного рабочего дня и имеющие доступ к инструментарию Codex и модели GPT‑5.5‑Cyber. В числе проектов, которым оказана поддержка - cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, Go, freenginx и Python. Отмечается, что на начальном этапе уже выявлены сотни ошибок и подготовлены десятки исправлений.
Среди проектов, в которых недавно были выявлены уязвимости при помощи Codex и GPT‑5.5‑Cyber, упомянуты 24 эксплоита для локального повышения привилегий в ядре Linux, 23-летняя root-уязвимость в реализации семафоров System V в ядре OpenBSD, 7 эксплоитов для локального повышения привилегий во FreeBSD, 4 уязвимости в dnsmasq, уязвимость HTTP/2 Bomb в NGINX, Apache, IIS и Pingora, эксплуатируемые уязвимости в Chrome, Safari и Firefox. Помимо устранения конкретных уязвимостей, проект предусматривает создание инфраструктуры для дальнейшего использования AI-агентов при сопровождении открытого ПО, включая разработку специализированных тестов, fuzzer-ов и анализаторов кода.
Источник: https://www.opennet.ru/opennews/art.shtml?num=65751
