OpenAIs Patch the Planet: AI-drevet sikkerhet for åpen kildekode-programvare

OpenAI har nylig lansert en ambisiøs ny initiativ som skal løse ett av de digitale verdens mest presserende sikkerhetsutfordringer: å beskytte den åpne kildekode-programvaren som utgjør moderne teknologi.

Initiativet, som heter Patch the Planet og er en del av OpenAIs Daybreak-program, har som mål å hjelpe åpne kildekode-vedlikeholdere å styrke kritisk programvare gjennom AI-basert sikkerhetsforskning kombinert med ekspertmannuell gjennomgang.

Vedlikeholdere under beleiring

Åpne kildekode-prosjekter utgjør grunnlaget for den kommersielle programvareindustrien. Likevel står denne felles infrastrukturen overfor en kritisk sårbarhet: vedlikeholderne som holder disse prosjektene sikre, er ofte overbelastet. Mange vedlikeholdere blir allerede bedt om å sortere gjennom flere rapporter, raskere, med samme begrensede tid og ressurser.

Peter Steinberger, OpenClaw-skaper og en nøkkel figur i dette initiativet, beskrev belastningen i en video på X: “Jeg var nær ved å slette alt fordi presset bare for å få det riktig er så usedvanlig høyt. Bare for noen måneder siden, da OpenCore begynte å eksplodere, fikk jeg en usedvanlig stor mengde sikkerhets hendelser.”

Til tross for sin vide utbredelse og kritiske rolle i moderne teknologi, er mye av den åpne kildekode-programvaren usikker på grunn av den desentraliserte og dårlig overvåkede strukturen i denne økosystemet.

Problemet er ikke bare volum, men også misforholdet mellom ressurser og ansvar. Som Steinberger bemerker: “Vanligvis har du en eller to åpne kildekode-vedlikeholdere og du har en hel hær av mennesker som vil kjøre sikkerhetsharness og bare bombardere deg med hendelser.”

Den log4j-sårbarheten i 2021 er en påminnelse om hvordan en enkelt svakhet i vidt brukte åpne kildekode-programvare kan føre til en kaskade over hele teknologilandskapet, og påvirke talløse kommersielle applikasjoner.

Hvordan Patch the Planet fungerer

I stedet for å bare flode vedlikeholdere med sårbarhetsrapporter, er OpenAIs tilnærming designet for å redusere belastningen. Steinberger understreker hvorfor dette er viktig: “Vi har sett i år at AI er svært effektivt til å finne sårbarheter. Men det er ikke nok. Vi må faktisk fikse dem hvis vi skal gjøre verden mer sikker. Det er hva vi gjør med Patch the Planet.”

Sikkerhetsspesialister gjennomgår funn før de når vedlikeholdere, arbeider med prosjekter for å utvikle patches og tester, og bygger gjenbrukbare arbeidsflyter som hjelper team å forbedre sikkerheten etter at de første fikser er implementert.

Trail of Bits, et spesialisert sikkerhetsselskap, har begått seg til å bruke hele sin sikkerhetsforskningsorganisasjon til dette initiativet. De arbeider direkte sammen med prosjektvedlikeholdere for å undersøke problemer, utvikle patches og håndtere sårbarhetsrapportering. Samarbeidet inkluderer også partnerskap med HackerOne og Calif for ytterligere sårbarhets triage og oppdagelsesarbeid.

Kritisk, er OpenAIs tilnærming bygget på ekte relasjoner med åpne kildekode-samfunnet. Steinberger forklarer: “Vi hadde en rekke eksisterende relasjoner i åpne kildekode-samfunnet og hadde tjent deres tillit over mer enn ett tiår med arbeid. Fordi vi hadde det, kunne vi åpne mange dører.”

Hver engasjement begynner med konsultasjon mellom sikkerhetsspesialister og prosjektvedlikeholdere. Teamet vurderer deretter hvor ytterligere sikkerhetsressurser ville være mest verdifulle, enten det er sårbarhetsvalidering, patch-utvikling eller lengrevarige ingeniørarbeid.

Den AI-drevne forskningsarsenalet

Hva gjør Patch the Planet distinkt, er integreringen av AI-verktøy på alle stadier. Sikkerhetsspesialister er utstyrt med frontier-modeller og Codex Security for å støtte analyse, patch-utvikling, testing og dokumentasjon. Deltagende prosjekter mottar også tilgang til ChatGPT Pro og API-kreditter for utviklings- og utgivelsesarbeidsflyter.

Likevel, ligger den virkelige verdien utover automatisering. Som Steinberger bemerker: “Mange mennesker kan bruke denne programvaren til å finne feil, men virkelig verdien ligger i dommen over denne utdata og skapelsen av patches.” Denne menneskesenterte tilnærming sikrer at AI-funn er gjennomgått og kan brukes, ikke bare voluminøse.

Trail of Bits brukte gjentatte Codex-kjøringer med GPT-5.5-Cyber for å bygge en hel fuzzing-laboratorium som dekket dusinvis av inngangspunkter, variantbygginger og plattformer på mindre enn en dag, arbeid som vanligvis ville ta flere uker. Steinberger understreker produktivitetsimpekten: “Codex enablet vårt team å levere ting på en dag som ellers ville ha tatt oss uker med tid. For ett prosjekt, bygde vi et helt fuzzing-laboratorium på en dag.”

På samme måte, utviklet teamet en pipeline som inntar historisk CVE-data og automatisk søker etter relaterte sårbarheter i målkodebasene, og akselererer betydelig variantanalyseprosessen.

Impressive tidlige resultater

Initiativets tidlige funn understreker potensiell innvirkning. Trail of Bits har identifisert hundrevis av sikkerhetsproblemer over 19 åpne kildekode-prosjekter, med mange flere som gjennomgår koordinert rapportering.

Oppdagelsene omfatter hele programvarestacken:

Operativsystemer: GPT-5.5-Cyber identifiserte sikkerhetsrelevante komponenter i over 30 millioner linjer med Linux-kernelkode.

Kritisk nettverksinfrastruktur: Teamet identifiserte også “HTTP/2-bomben”, en tjenestenekt-sårbarhet som påvirkte større nettservere, og antydet at over 880 000 internett-eksponerte nettsider kjørte påvirket programvare.

Nettlesere: OpenAI-forskere fant fem utnyttbare sårbarheter i Chrome og over 10 utnyttbare sårbarheter i Safari.

En konkurransebevegelse og samfunnstjeneste

Initiativet kan leses som en konkurransebevegelse mot Anthropic, mens det også erkjenner at det løser et behov som åpne kildekode-samfunnet desperat trenger. OpenAI utnytter sine AI-egenskaper til å snu skriptet på AI-drevet sikkerhet, i stedet for å automatisere angrep, automatiserer selskapet forsvar.

Likevel, kan ikke menneskelig tilsyn overdrives. Trail of Bits-ingeniører gjennomgikk manuelt hver sikkerhetsproblematikk før de ble sendt til vedlikeholdere, fjernet duplikater, vurderer alvorlighetsgrad og prioriterer bekreftede sårbarheter for å fikse. Denne menneske-i-løkken tilnærmingen løser en kritisk feil i ren automatiserte systemer: tendensen til å overvelde vedlikeholdere med falske positiver.

Hva kommer neste

OpenAI har begått seg til å publisere dypere tekniske rapporter når koordinerte rapporter er ferdige, og dokumentere enkeltfunn, forskningsmetoder og lærdom som andre forsvarere kan bruke. Selskapet aksepterer også søknader fra åpne kildekode-vedlikeholdere som er interessert i å delta i initiativet.

Initiativet er bygget på prinsippet om at åpen kildekode-programvare er felles infrastruktur, og å sikre den bør være et felles arbeid. Steinberger konkluderer med en direkte oppfordring: “Å sikre verdens programvare starter med å hjelpe menneskene som vedlikeholder den. Hvis du deler denne misjonen, bli med oss.”

Ettersom AI fortsetter å akselerere sårbarhetsoppdagelse, har sikring av at disse fordelene når vedlikeholderne og brukerne som trenger dem mest, og at menneskene bak programvaren støttes og verdsettes, blitt en prioritet for hele teknologiske økosystemet.