OpenAI оголосила про проект «Виправлення Землі», який надає допомогу з безпеки для 19 відомих відкритих проектів, таких як cURL, Python, PyPI тощо

OpenAI оголосила про проект «Patch the Planet», співпрацюючи з компанією з кібербезпеки Trail of Bits, вже за перший тиждень виявлено сотні вразливостей, подано 64 запити на злиття (pull requests), створено 51 issue, охоплюючи 19 глобальних ключових відкритих проектів, таких як cURL, Python, PyPI тощо.
(Передісторія: Getty Images перед відкриттям торгів зросла на 300%! Підписання контракту з OpenAI, ліцензування авторських прав для інтеграції з ChatGPT)
(Додатковий контекст: Anthropic зазнала «заблокування» урядом США, знято модель Fable, закордонні ЗМІ вказують на три головні побоювання: можливий сприяння відкритому AI з Китаю)

Зміст статті

Перемикач

• cURL, Python, PyPI: чому саме ці проекти?
• Привид log4j і нові рішення в AI
• Публічний імідж та стратегічна позиція OpenAI

У 1995 році головний герой кінохакерського фільму «Hackers» вигукнув «Hack the Planet», що стало декларацією проти контролю корпорацій над мережею. Тридцять років потому OpenAI змінила цю фразу на «Patch the Planet», з римою, але у зовсім протилежному напрямку.

cURL, Python, PyPI: чому саме ці проекти?

Партнерами проекту «Patch the Planet» є компанія з кібербезпеки Trail of Bits, платформа нагородження за вразливості HackerOne та Каліфорнія. Інструменти, які надає OpenAI, — це дві речі: Codex Security та оновлений GPT-5.5-Cyber.

Перший набір відкритих проектів, що отримали переваги від цієї ініціативи, сам по собі дуже красномовний: cURL, Python, PyPI, urllib3, aiohttp, проект Go, freenginx, NATS, pyca, Sigstore, SimpleX, Valkey, RustCrypto та python.org. Це не маловідомі інструменти — це основа сучасного інтернету. За оцінками, cURL встановлений на понад 200 мільярдах пристроїв по всьому світу, Python — одна з найпопулярніших мов програмування у світі…

Обрані цілі означають, що кожна знайдена AI вразливість може вплинути не лише на сотні користувачів, а й на мільярди систем.

OpenAI надає учасникам ресурси: доступ до ChatGPT Pro, умови доступу до Codex Security, кредити API, а також повний набір інструментів для безпеки — fuzzing harnesses (автоматичне тестування з випадковими входами для виявлення прихованих багів), історичні аналітичні pipelines CVE, системи диференційного тестування, моделі загроз та розширені тестові комплекти.

Привид log4j і нові рішення в AI

У грудні 2021 року інцидент з вразливістю log4j потряс всю технологічну індустрію. Apache log4j — один із найширше використовуваних інструментів для ведення журналів у Java-екосистемі, його назвали «одним із найсерйозніших вразливостей у історії» американським CISA. Причина проблеми — не у технічній складності, а у відсутності людських ресурсів для систематичного аудиту всіх залежностей.

Проблема безпеки у відкритій екосистемі — це в основному людська проблема: сотні тисяч відкритих пакетів, їхні підтримувачі — зазвичай одна-дві особи, і майже неможливо провести повний безпековий аудит усього коду. Вразливості часто виявляються через роки, і не завжди їх знаходять добросовісні дослідники.

Це — структурна проблема, яку прагне вирішити «Patch the Planet». Переваги AI — не у пошуку окремих геніальних вразливостей, а у здатності без людських ресурсів постійно сканувати великі обсяги кодових баз. GPT-5.5-Cyber і Codex Security орієнтовані більше на «автоматизованих аудиторів безпеки», а не на «розумніших за людину хакерів».

Це дуже важливо: якщо AI знаходить вразливість час від часу — це інструмент. Якщо він може працювати з такою швидкістю, як у перший тиждень — це починає змінювати уявлення про безпеку відкритого коду.

Стратегічна позиція та публічний імідж OpenAI

Здатність AI у сфері безпеки та здатність використовувати AI для атак — це одна й та сама технологія. GPT-5.5-Cyber, здатний знаходити вразливості, теоретично може бути використаний і для їх експлуатації. Вибір OpenAI позиціонувати цю технологію як «засіб для виправлення відкритого світу» — це активна PR-стратегія. Вони кажуть: «Ми спершу використовуємо цю здатність для добрих цілей і робимо це швидше за будь-кого».

Загалом, захисний мур у кібербезпеці не залежить від того, чи маєш ти вразливості, а від того, наскільки швидко можеш їх знайти і закрити, перш ніж зловмисники їх використають.