Kumppanuudet
OpenAI tekee yhteistyötä Hacktronin kanssa kolmansien osapuolten palveluyhteyksien testaamiseksi
Lisää Unite.AI suosikkilähteisiisi Google-palvelussa
OpenAI ilmoitti 6. marraskuuta 2026 yhteistyöstä Hacktronin kanssa löytääkseen järjestelmistään haavoittuvuuksia. Työssä keskitytään yhteyksiin kolmansien osapuolten palveluihin, ja tietoturvayrityksen pääsyä huipputason malleihin laajennetaan Daybreak Redin kautta.
OpenAI:n insinöörit ja Hacktronin tietoturvatutkijat valitsevat yhdessä testauksen ensisijaiset kohteet. Työssä selvitetään, miten järjestelmät toimivat vuorovaikutuksessa, kun tekoälyagentit yhdistävät palveluja uusilla tavoilla. Työstä saatuja oppeja hyödynnetään OpenAI:n puolustuksen vahvistamisessa. Yhteistyöllä on siten selkeä kohde: haavoittuvuudet, joita syntyy sovellusten, identiteetinhallintajärjestelmien ja infrastruktuurin kytkeytyessä toisiinsa.
Yhteistyö palkkio-ohjelman kautta laajenee
OpenAI tutustui Hacktroniin tietoturvahaavoittuvuuksista palkkioita tarjoavan ohjelmansa kautta. Yhtiö kertoi vaikuttuneensa niiden haavoittuvuuksien merkityksestä, jotka Hacktronin tutkijat olivat löytäneet ja ilmoittaneet. Hacktron kehittää tekoälyagentteja koodikatselmointiin, tunkeutumistestaukseen ja red team -harjoituksiin. Sen tutkimuksissa on löydetty haavoittuvuuksia sovellusten, pilvi-infrastruktuurin ja identiteetinhallintajärjestelmien välisistä vuorovaikutuksista. Nämä valmiudet sopivat suoraan yhteen uuden testauspainopisteen kanssa.
Hacktronin 13. syyskuuta 2026 julkaisema kuvaus tarjoaa konkreettisen esimerkin. Tutkijat kertoivat yhdistäneensä kaksi kriittistä haavoittuvuutta 25. heinäkuuta 2026 ja vaarantaneensa näin useita OpenAI:n työntekijöiden ChatGPT-tilejä. Tämä olisi voinut antaa pääsyn sisäisiin tietovarastoihin ja muihin yhdistettyihin palveluihin. Hyökkäysketjussa yhdistettiin Discourse-alustalla ylläpidetyn yhteisöfoorumin kuvankäsittelypolussa ollut etäkoodinsuoritushaavoittuvuus OpenAI:n kertakirjautumiseen liittyneeseen ongelmaan. Näin foorumin tietoturvaloukkauksesta voitiin edetä ChatGPT:hen ja Codexiin ja sieltä edelleen yhdistettyyn GitHub-integraatioon.
Hacktron osoitti pääsyn lukematta arkaluonteista sisäistä koodia: se käytti työntekijän Codex-tiliä tehdäkseen vaarattoman pull requestin OpenAI:n sisäiseen monorepoon ja lopetti sitten testauksen. Se ilmoitti ongelmista OpenAI:n Bugcrowd-ohjelman kautta ja Discourselle. Hacktronin aikajanan mukaan OpenAI vahvisti korjauksen valmistuneen noin 14 tuntia alkuperäisen ilmoituksen jälkeen, kun taas Discourse sai korjauksen valmiiksi kaksi päivää ilmoituksen vastaanottamisesta.
OpenAI maksoi Hacktronille 6 500 dollarin löytöpalkkion 1. syyskuuta 2026. Hacktronin julkaisemassa aikajanassa täsmennettiin, että palkkiolla huomioitiin OpenAI:n puolelta löydetty ongelma, ei testausta Discourse-alustalla ylläpidettyä foorumia vastaan, sillä se oli nimenomaisesti rajattu testauksen ulkopuolelle.
Daybreak Red -käyttöoikeus ja suojatoimet
OpenAI määritteli 10. elokuuta 2026 julkaisemassaan Daybreak-ilmoituksessa, että Red tarjoaa käyttöoikeuden kyberturvallisuustehtäviin erityisesti koulutettuihin malleihin, joita voi käyttää luvalliseen haavoittuvuustutkimukseen, hyväksikäyttömenetelmien toimivuuden varmistamiseen ja tietoturvatestaukseen. Useimmille puolustukseen keskittyville toimijoille yhtiö suosittelee aloituskohdaksi Blue-tasoa. Blue tarjoaa huipputason yleiskäyttöisiä malleja, joiden suojatoimet on suunniteltu luvalliseen puolustustyöhön. Red-käyttöoikeutta voivat pyytää tiimit, joiden luvalliseen työhön kuuluu edistynyt haavoittuvuustutkimus, hyväksikäyttömenetelmien kehittäminen tai red team -harjoitukset.
Kummankin tason käyttöoikeus on rajattu hyväksytyille henkilöille ja organisaatioille, jotka tekevät luvallista työtä. Suojatoimiin kuuluvat henkilöllisyyden todentaminen, tilien suojaaminen, valvonta, hyväksytyn käytön rajoitukset ja oikeudelliset vakuutukset. OpenAI:n dokumentoiduissa parhaissa käytännöissä kehotetaan lisäksi eristämään tietoturvatyönkulut arkaluonteisista tuotantojärjestelmistä ja avoimesta internetistä, tarkistamaan agenttien toimet Codexin hiekkalaatikon ulkopuolella ennen niiden suorittamista, lisäämään ihmisen valvontaa suuremman riskin työnkulkuihin ja rajaamaan käyttöoikeusprofiileilla toiminta luvallisiin rajoihin.
Hacktronin aiemmassa kuvauksessa todetaan myös, ettei työ ollut täysin autonomista ja että taitavan ihmisen ohjaus oli edelleen tärkeää. Yhteistyön puolustuksellinen hyöty perustuu siis tasapainoon: kybertehtäviin soveltuvien mallien laajempi käyttöoikeus mahdollistaa toisiinsa kytkeytyneiden palvelujen perusteellisemman testaamisen, mutta edellyttää samalla valvottavaa toimintarajausta, seurantaa ja ihmisen valvontaa agentteja käytettäessä.
