L’iniziativa Patch the Planet di OpenAI: sicurezza basata su intelligenza artificiale per il software open source

OpenAI ha recentemente presentato un’ambiziosa nuova iniziativa progettata per affrontare una delle sfide di sicurezza più pressanti del mondo digitale: proteggere il software open source che costituisce la base della tecnologia moderna.

L’iniziativa, chiamata Patch the Planet e parte del programma Daybreak di OpenAI, mira ad aiutare i maintainer del software open source a rafforzare il software critico attraverso la ricerca sulla sicurezza assistita dall’intelligenza artificiale combinata con la revisione umana degli esperti.

I maintainer sotto assedio

I progetti open source costituiscono la base dell’industria del software commerciale. Tuttavia, questa infrastruttura condivisa affronta una vulnerabilità critica: i maintainer che mantengono sicuri questi progetti sono spesso sopraffatti. Molti maintainer sono già stati chiesti di esaminare più rapporti, più velocemente, con lo stesso tempo e le stesse risorse limitate.

Peter Steinberger, creatore di OpenClaw e figura chiave in questa iniziativa, ha descritto il carico in video su X: “Ero vicino a cancellare tutto perché la pressione di fare le cose giuste è così incredibilmente alta. Circa sei mesi fa, quando OpenCore ha iniziato a esplodere, ho ricevuto un numero incredibilmente grande di incidenti di sicurezza.”

Nonostante la sua ampia adozione e il ruolo critico nella tecnologia moderna, gran parte del software open source è insicuro a causa della struttura decentralizzata e poco monitorata di quell’ecosistema.

Il problema non è solo il volume, ma la mancanza di corrispondenza tra risorse e responsabilità. Come nota Steinberger: “Di solito si ha uno o forse due maintainer del software open source e si ha un’intera armata di persone che eseguono harness di sicurezza e ci bombardano di incidenti.”

La vulnerabilità log4j del 2021 serve come un promemoria vivido di come una singola falla nel software open source ampiamente utilizzato possa avere un impatto su tutto il paesaggio tecnologico, influenzando innumerevoli applicazioni commerciali.

Come funziona Patch the Planet

Invece di sommergere i maintainer con rapporti di vulnerabilità, l’approccio di OpenAI è progettato per ridurre il carico. Steinberger sottolinea perché ciò è importante: “Abbiamo visto quest’anno che l’intelligenza artificiale è molto efficace nel trovare vulnerabilità. Ma non è sufficiente. Dobbiamo effettivamente risolverle se vogliamo rendere il mondo più sicuro. È questo che stiamo facendo con Patch the Planet.”

Gli ingegneri di sicurezza esaminano i risultati prima che raggiungano i maintainer, lavorano con i progetti per sviluppare patch e test e costruiscono flussi di lavoro riutilizzabili che aiutano i team a continuare a migliorare la sicurezza dopo che le prime correzioni sono state applicate.

Trail of Bits, un’azienda di sicurezza specializzata, ha impegnato l’intera organizzazione di ricerca sulla sicurezza in questo sforzo. Lavorano direttamente con i maintainer dei progetti per indagare su problemi, sviluppare patch e gestire la divulgazione delle vulnerabilità. La collaborazione include anche partenariati con HackerOne e Calif per ulteriori attività di triage e scoperta delle vulnerabilità.

In modo critico, l’approccio di OpenAI si basa su relazioni genuine con la comunità open source. Steinberger spiega: “Avevamo molte relazioni esistenti nella comunità open source e abbiamo guadagnato la loro fiducia nel corso di oltre un decennio di lavoro. A causa di ciò, siamo stati in grado di aprire molte porte.”

Ogni coinvolgimento inizia con una consultazione tra ingegneri di sicurezza e maintainer del progetto. Il team valuta quindi dove le risorse aggiuntive di sicurezza sarebbero più preziose, che si tratti di convalida delle vulnerabilità, sviluppo di patch o lavoro di ingegneria a lungo termine.

L’arsenale di ricerca basato su intelligenza artificiale

Ciò che rende Patch the Planet distintivo è l’integrazione di strumenti di intelligenza artificiale in ogni fase. I ricercatori di sicurezza sono dotati di modelli all’avanguardia e di Codex Security per supportare l’analisi, lo sviluppo di patch, i test e la documentazione. I progetti partecipanti ricevono anche l’accesso a ChatGPT Pro e crediti API per i flussi di lavoro di sviluppo e rilascio.

Tuttavia, il vero valore si trova al di là dell’automazione. Come nota Steinberger: “Molte persone sono in grado di utilizzare questo software per trovare bug, ma il vero valore sta nel giudizio di quei risultati e nella creazione di patch.” Questo approccio centrato sull’uomo garantisce che i risultati dell’intelligenza artificiale siano verificati e azionabili, non solo voluminosi.

Trail of Bits ha utilizzato esecuzioni ripetute di Codex con GPT-5.5-Cyber per costruire un intero lab di fuzzing che copre decine di punti di ingresso, build varianti e piattaforme in meno di un giorno, lavoro che normalmente richiederebbe diverse settimane. Steinberger sottolinea l’impatto sulla produttività: “Codex ha consentito al nostro team di consegnare cose in un giorno che altrimenti avrebbero richiesto settimane di tempo. Per un progetto, abbiamo costruito un intero lab di fuzzing in un giorno.”

Allo stesso modo, il team ha sviluppato una pipeline che inghiotte i dati storici dei CVE e cerca automaticamente vulnerabilità correlate nel codice sorgente di destinazione, accelerando sostanzialmente il processo di analisi delle varianti.

Risultati impressionanti

I risultati iniziali dell’iniziativa sottolineano il potenziale impatto. Trail of Bits ha identificato centinaia di problemi di sicurezza in 19 progetti open source, con molti altri in corso di divulgazione coordinata.

Le scoperte coprono l’intero stack del software:

Sistemi operativi: GPT-5.5-Cyber ha identificato componenti rilevanti per la sicurezza in più di 30 milioni di righe di codice del kernel Linux.

Infrastruttura di rete critica: Il team ha anche identificato la “bomba HTTP/2”, una vulnerabilità di negazione del servizio che colpisce i principali server web, suggerendo che più di 880.000 siti web internet-facing eseguivano software interessato.

Browser: I ricercatori di OpenAI hanno trovato cinque vulnerabilità sfruttabili in Chrome e oltre 10 vulnerabilità sfruttabili in Safari.

Una mossa competitiva e un servizio alla comunità

L’iniziativa può essere letta come una mossa competitiva contro Anthropic, mentre riconosce che affronta un bisogno che la comunità open source richiede disperatamente. OpenAI sta utilizzando le proprie capacità di intelligenza artificiale per capovolgere lo script sulla sicurezza informatica guidata dall’AI, anziché automatizzare gli attacchi, l’azienda sta automatizzando le difese.

Tuttavia, l’importanza della supervisione umana non può essere enfatizzata abbastanza. Gli ingegneri di Trail of Bits hanno esaminato manualmente ogni problema di sicurezza prima di sottoporlo ai maintainer, rimuovendo i duplicati, valutando la gravità e priorizzando le vulnerabilità confermate per la correzione. Questo approccio “uomo nel ciclo” affronta un difetto critico nei sistemi completamente automatizzati: la tendenza a sopraffare i maintainer con falsi positivi.

Cosa viene dopo

OpenAI si è impegnata a pubblicare rapporti tecnici più approfonditi quando le divulgazioni coordinate saranno concluse, documentando i singoli risultati, i metodi di ricerca e le lezioni che altri difensori possono applicare. L’azienda sta anche accettando richieste da parte dei maintainer del software open source interessati a unirsi all’iniziativa.

L’iniziativa si basa sul principio che il software open source è un’infrastruttura condivisa e che la sua sicurezza dovrebbe essere un lavoro condiviso. Steinberger conclude con un appello diretto all’azione: “La sicurezza del software nel mondo inizia con l’aiuto alle persone che lo mantengono. Se condividi questa missione, unisciti a noi.”

Mentre l’intelligenza artificiale continua ad accelerare la scoperta delle vulnerabilità, assicurarsi che questi benefici raggiungano i maintainer e gli utenti che ne hanno più bisogno, e che le persone dietro il software siano supportate e valorizzate, è diventata una priorità per l’intero ecosistema tecnologico.