L’initiative Patch the Planet d’OpenAI : une sécurité renforcée par l’IA pour les logiciels open source

OpenAI a récemment lancé une nouvelle initiative ambitieuse pour répondre à l’un des défis de sécurité les plus pressants du monde numérique : la protection des logiciels open source qui sous-tendent la technologie moderne.

L’initiative, appelée Patch the Planet et faisant partie du programme Daybreak d’OpenAI, vise à aider les mainteneurs de logiciels open source à renforcer la sécurité de leurs logiciels grâce à la recherche de sécurité assistée par l’IA et à l’examen expert humain.

Les mainteneurs sous pression

Les projets open source forment la base de l’industrie du logiciel commercial. Pourtant, cette infrastructure partagée est confrontée à une vulnérabilité critique : les mainteneurs qui assurent la sécurité de ces projets sont souvent submergés. De nombreux mainteneurs sont déjà sollicités pour traiter davantage de rapports, plus rapidement, avec les mêmes ressources limitées.

Peter Steinberger, créateur d’OpenClaw et figure clé de cette initiative, a décrit l’impact dans une vidéo sur X : “J’étais sur le point de supprimer tout simplement tout parce que la pression de faire les choses correctement est incroyablement élevée. Il y a environ six mois, lorsque OpenCore a commencé à exploser, j’ai été confronté à un nombre incroyablement élevé d’incidents de sécurité.”

Malgré son adoption large et son rôle crucial dans la technologie moderne, une grande partie des logiciels open source sont insecurity en raison de la structure décentralisée et mal surveillée de cet écosystème.

Le problème ne concerne pas seulement le volume, mais également la discordance entre les ressources et les responsabilités. Comme le note Steinberger : “En général, vous avez un ou peut-être deux mainteneurs de logiciels open source et vous avez une armée de personnes qui exécutent des harnais de sécurité et qui vous bombardent d’incidents.”

La vulnérabilité log4j de 2021 sert de rappel frappant de la façon dont une faille unique dans un logiciel open source largement utilisé peut se propager à l’ensemble du paysage technologique, affectant de nombreuses applications commerciales.

Comment fonctionne Patch the Planet

Au lieu de simplement inonder les mainteneurs de rapports de vulnérabilités, l’approche d’OpenAI est conçue pour réduire la charge. Steinberger souligne pourquoi cela est important : “Nous avons vu cette année que l’IA est très efficace pour trouver les vulnérabilités. Mais cela ne suffit pas. Nous devons vraiment les corriger si nous voulons rendre le monde plus sécurisé. C’est ce que nous faisons avec Patch the Planet.”

Les ingénieurs de sécurité examinent les résultats avant qu’ils ne parviennent aux mainteneurs, travaillent avec les projets pour développer des correctifs et des tests, et créent des flux de travail réutilisables qui aident les équipes à continuer à améliorer la sécurité après les premiers correctifs.

Trail of Bits, une société de sécurité spécialisée, a engagé toute son organisation de recherche en sécurité dans cet effort. Ils travaillent directement aux côtés des mainteneurs de projets pour enquêter sur les problèmes, développer des correctifs et gérer la divulgation des vulnérabilités. La collaboration implique également des partenariats avec HackerOne et Calif pour des travaux supplémentaires de triage et de découverte de vulnérabilités.

De manière critique, l’approche d’OpenAI est basée sur des relations réelles avec la communauté open source. Steinberger explique : “Nous avions déjà des relations existantes dans la communauté open source et nous avions gagné leur confiance au cours de plus d’une décennie de travail. Grâce à cela, nous avons pu ouvrir de nombreuses portes.”

Chaque engagement commence par une consultation entre les ingénieurs de sécurité et les mainteneurs de projets. L’équipe évalue ensuite où des ressources de sécurité supplémentaires seraient les plus précieuses, que ce soit pour la validation des vulnérabilités, le développement de correctifs ou des travaux d’ingénierie à long terme.

L’arsenal de recherche alimenté par l’IA

Ce qui rend Patch the Planet distinctif est son intégration de l’outillage IA à chaque étape. Les chercheurs en sécurité sont équipés de modèles de pointe et de Codex Security pour soutenir l’analyse, le développement de correctifs, les tests et la documentation. Les projets participants reçoivent également un accès à ChatGPT Pro et des crédits d’API pour les flux de travail de développement et de publication.

Cependant, la véritable valeur réside au-delà de l’automatisation. Comme le note Steinberger : “Beaucoup de gens sont capables d’utiliser ce logiciel pour trouver des bogues, mais la véritable valeur réside dans le jugement de ces résultats et la création de correctifs.” Cette approche centrée sur l’humain garantit que les résultats de l’IA sont vérifiés et exploitables, et non simplement volumineux.

Trail of Bits a utilisé des exécutions répétées de Codex avec GPT-5.5-Cyber pour créer un laboratoire de fuzzing couvrant des dizaines de points d’entrée, de versions de variantes et de plateformes en moins d’une journée, un travail qui aurait normalement pris plusieurs semaines. Steinberger met en évidence l’impact sur la productivité : “Codex a permis à notre équipe de livrer des choses en un jour qui auraient normalement pris des semaines de temps. Pour un projet, nous avons construit un laboratoire de fuzzing en un jour.”

De même, l’équipe a développé un pipeline qui ingère des données historiques de CVE et recherche automatiquement des vulnérabilités liées dans les bases de code cibles, accélérant considérablement le processus d’analyse des variantes.

Résultats précoces impressionnants

Les résultats précoces de l’initiative soulignent le potentiel d’impact. Trail of Bits a identifié des centaines de problèmes de sécurité dans 19 projets open source, avec de nombreux autres en cours de divulgation coordonnée.

Les découvertes couvrent l’ensemble de la pile logicielle :

Systèmes d’exploitation : GPT-5.5-Cyber a identifié des composants liés à la sécurité dans plus de 30 millions de lignes de code du noyau Linux.

Infrastructure réseau critique : L’équipe a également identifié la “bombe HTTP/2”, une vulnérabilité de déni de service affectant les principaux serveurs Web, suggérant que plus de 880 000 sites Web accessibles via Internet exécutaient un logiciel affecté.

Navigateurs : Les chercheurs d’OpenAI ont trouvé cinq vulnérabilités exploitables dans Chrome et plus de 10 vulnérabilités exploitables dans Safari.

Un mouvement concurrentiel et un service communautaire

L’initiative peut être lue comme un mouvement concurrentiel contre Anthropic, tout en reconnaissant qu’elle répond à un besoin que la communauté open source nécessite désespérément. OpenAI utilise ses capacités d’IA pour inverser le script de la cybersécurité basée sur l’IA, plutôt que d’automatiser les attaques, l’entreprise automatise les défenses.

Cependant, l’importance de la surveillance humaine ne peut être surestimée. Les ingénieurs de Trail of Bits ont examiné manuellement chaque problème de sécurité avant de les soumettre aux mainteneurs, en supprimant les doublons, en évaluant la gravité et en donnant la priorité aux vulnérabilités confirmées pour la correction. Cette approche centrée sur l’humain répond à une faille critique dans les systèmes entièrement automatisés : la tendance à submerger les mainteneurs de faux positifs.

Que vient-il ensuite

OpenAI s’est engagé à publier des rapports techniques plus approfondis à mesure que les divulgations coordonnées se terminent, en documentant les résultats individuels, les méthodes de recherche et les leçons que d’autres défenseurs peuvent appliquer. L’entreprise accepte également les candidatures des mainteneurs de logiciels open source intéressés à rejoindre l’initiative.

L’initiative est basée sur le principe que les logiciels open source sont une infrastructure partagée, et que la sécurisation de celle-ci devrait être un travail partagé. Steinberger conclut avec un appel à l’action direct : “La sécurisation du logiciel mondial commence par aider les personnes qui le maintiennent. Si vous partagez cette mission, rejoignez-nous.”

Alors que l’IA continue d’accélérer la découverte des vulnérabilités, garantir que ces avantages profitent aux mainteneurs et aux utilisateurs qui en ont le plus besoin, et que les personnes derrière le logiciel sont soutenues et valorisées, est devenu une priorité pour l’ensemble de l’écosystème technologique.