Inicjatywa OpenAI – Patch the Planet: AI-Powered Security for Open Source Software

OpenAI niedawno przedstawił ambitną nową inicjatywę, której celem jest rozwiązanie jednego z najpilniejszych wyzwań bezpieczeństwa w świecie cyfrowym: ochrona oprogramowania open-source, które stanowi podstawę nowoczesnej technologii.

Inicjatywa, nazwana Patch the Planet, jest częścią programu Daybreak OpenAI i ma na celu pomóc utrzymującym oprogramowanie open-source w wzmocnieniu krytycznego oprogramowania za pomocą badań bezpieczeństwa wspomaganych przez sztuczną inteligencję w połączeniu z przeglądem ekspertów.

Utrzymujący pod presją

Projekty open-source tworzą podstawę przemysłu oprogramowania komercyjnego. Jednak ta współdzielona infrastruktura jest narażona na krytyczną lukę: utrzymujący, którzy dbają o bezpieczeństwo tych projektów, są często przeciążeni. Wielu utrzymujących jest już proszonych o przeglądanie większej liczby raportów, szybciej, z tymi samymi ograniczonymi zasobami i czasem.

Peter Steinberger, twórca OpenClaw i kluczowa postać w tej inicjatywie, opisał koszty w filmie na X: “Byłem bliski usunięcia wszystkiego, ponieważ presja była tak ogromna. Około sześciu miesięcy temu, gdy OpenCore zaczął się rozprzestrzeniać, dostałem ogromną liczbę incydentów bezpieczeństwa.”

Pomimo szerokiego wykorzystania i krytycznej roli w nowoczesnej technologii, wiele oprogramowania open-source jest niebezpieczne z powodu zdecentralizowanej i słabo monitorowanej struktury tego ekosystemu.

Problem nie polega tylko na ilości, ale na niezgodności między zasobami a odpowiedzialnością. Jak zauważa Steinberger: “Zwykle masz jednego lub może dwóch utrzymujących oprogramowanie open-source, a masz całą armię ludzi, którzy będą wykonywać testy bezpieczeństwa i bombardować cię incydentami.”

Luka log4j z 2021 roku jest wyraźnym przypomnieniem, jak pojedyncza luka w powszechnie używanym oprogramowaniu open-source może rozprzestrzenić się na cały krajobraz technologiczny, wpływając na liczne aplikacje komercyjne.

Jak działa Patch the Planet

Zamiast zalewać utrzymujących raportami o lukach, podejście OpenAI jest zaprojektowane, aby zmniejszyć obciążenie. Steinberger podkreśla, dlaczego to ma znaczenie: “Widzieliśmy w tym roku, że sztuczna inteligencja jest bardzo skuteczna w wykrywaniu luk. Ale to nie wystarcza. Musimy naprawdę naprawić je, jeśli chcemy uczynić świat bardziej bezpiecznym. To właśnie robimy z Patch the Planet.”

Inżynierowie ds. bezpieczeństwa przeglądają wyniki przed ich dotarciem do utrzymujących, pracują z projektami nad tworzeniem łat i testów oraz budują ponownie wykorzystywane przepływy pracy, które pomagają zespołom kontynuować poprawianie bezpieczeństwa po pierwszych naprawach.

Trail of Bits, specjalistyczna firma bezpieczeństwa, poświęciła całą swoją organizację badawczą temu wysiłkowi. Pracują bezpośrednio z utrzymującymi projektami, aby badać problemy, tworzyć łaty i zarządzać ujawnianiem luk. Współpraca obejmuje również partnerstwa z HackerOne i Calif dla dodatkowych zadań triage i odkrywania luk.

Krytycznie, podejście OpenAI opiera się na prawdziwych relacjach z społecznością open-source. Steinberger wyjaśnia: “Mieliśmy wiele istniejących relacji w społeczności open-source i zdobyliśmy ich zaufanie przez ponad dekadę pracy. Dzięki temu byliśmy w stanie otworzyć wiele drzwi.”

Każde zaangażowanie zaczyna się od konsultacji między inżynierami ds. bezpieczeństwa a utrzymującymi projektami. Zespół ocenia następnie, gdzie dodatkowe zasoby bezpieczeństwa będą najbardziej wartościowe, czy to w walidacji luk, tworzeniu łat, czy dłuższej pracy inżynierskiej.

Badania z wykorzystaniem sztucznej inteligencji

To, co wyróżnia Patch the Planet, to integracja narzędzi sztucznej inteligencji na każdym etapie. Badacze ds. bezpieczeństwa są wyposażeni w modele i Codex Security, aby wspierać analizę, tworzenie łat, testowanie i dokumentację. Uczestniczące projekty otrzymują również dostęp do ChatGPT Pro i kredytów API dla przepływów rozwoju i wydania.

Jednak prawdziwa wartość leży poza automatyzacją. Jak zauważa Steinberger: “Wiele osób jest w stanie używać tego oprogramowania, aby znaleźć błędy, ale prawdziwa wartość tkwi w ocenie tego wyjścia i tworzeniu łat.” To podejście zorientowane na człowieka zapewnia, że wyniki sztucznej inteligencji są sprawdzane i możliwe do zrealizowania, a nie tylko ilościowe.

Trail of Bits użył wielokrotnych uruchomień Codex z GPT-5.5-Cyber, aby zbudować cały lab fuzzing, obejmujący dziesiątki punktów wejścia, wariantów kompilacji i platform w czasie krótszym niż jeden dzień, co zwykle zajmuje kilka tygodni. Steinberger podkreśla wpływ na produktywność: “Codex umożliwił naszemu zespołowi wysyłanie rzeczy w ciągu dnia, co zwykle zajmowałoby nam kilka tygodni. Dla jednego projektu zbudowaliśmy cały lab fuzzing w jeden dzień.”

Podobnie, zespół opracował potok, który pobiera historyczne dane CVE i automatycznie wyszukuje powiązane luki w docelowych bazach kodu, znacznie przyspieszając proces analizy wariantów.

Impresjonujące wczesne wyniki

Wczesne wyniki inicjatywy podkreślają potencjalny wpływ. Trail of Bits zidentyfikował setki problemów bezpieczeństwa w 19 projektach open-source, przy czym wiele z nich jest w trakcie skoordynowanego ujawniania.

Odkrycia obejmują cały stos oprogramowania:

Systemy operacyjne: GPT-5.5-Cyber zidentyfikował składniki istotne dla bezpieczeństwa w ponad 30 milionach linii kodu jądra Linux.

Krytyczna infrastruktura sieciowa: Zespół zidentyfikował również “bombę HTTP/2”, lukę typu denial-of-service wpływającą na główne serwery sieciowe, sugerując, że ponad 880 000 stron internetowych zwracających się do Internetu działało na dotkniętym oprogramowaniu.

Przeglądarki: Badacze OpenAI znaleźli pięć luk, które można wykorzystać w Chrome i ponad 10 luk, które można wykorzystać w Safari.

Ruch konkurencyjny i służba społeczna

Inicjatywa może być odczytana jako ruch konkurencyjny wobec Anthropic, jednocześnie uznając, że rozwiązuje potrzebę, której społeczność open-source desperacko potrzebuje. OpenAI wykorzystuje swoje możliwości sztucznej inteligencji, aby odwrócić scenariusz cyberbezpieczeństwa napędzanego przez sztuczną inteligencję, zamiast automatyzować ataki, firma automatyzuje obronę.

Jednakże, nie można przecenić znaczenia nadzoru ludzkiego. Inżynierowie Trail of Bits ręcznie przeglądali każdy problem bezpieczeństwa przed zgłoszeniem go do utrzymujących, usuwając duplikaty, oceniając wagę i priorytetizując potwierdzone luki do usunięcia. To podejście z człowiekiem w pętli rozwiązuje krytyczną wadę w czysto zautomatyzowanych systemach: tendencję do zalewania utrzymujących fałszywymi pozytywami.

Co dalej

OpenAI zobowiązał się do opublikowania głębszych raportów technicznych, gdy tylko zakończą się skoordynowane ujawnienia, dokumentując poszczególne wyniki, metody badawcze i lekcje, które mogą zastosować inni obrońcy. Firma akceptuje również wnioski od utrzymujących oprogramowanie open-source zainteresowanych dołączeniem do inicjatywy.

Inicjatywa opiera się na zasadzie, że oprogramowanie open-source jest wspólną infrastrukturą, a zabezpieczenie jej powinno być wspólną pracą. Steinberger kończy wezwaniem do działania: “Zabezpieczenie oprogramowania na świecie zaczyna się od pomocy ludziom, którzy je utrzymują. Jeśli dzielicie tę misję, dołączcie do nas.”

Ponieważ sztuczna inteligencja przyspiesza odkrywanie luk, zapewnienie, że te korzyści docierają do utrzymujących i użytkowników, którzy ich najbardziej potrzebują, oraz że ludzie za oprogramowaniem są wspierani i cenieni, stało się priorytetem dla całego ekosystemu technologicznego.