OpenAI официально представила инициативу Patch the Planet, разработанную в партнерстве с компанией Trail of Bits, специализирующейся на кибербезопасности. Цель проекта — задействовать возможности искусственного интеллекта для обнаружения и оперативного устранения уязвимостей в популярных open-source компонентах, которые составляют фундамент глобальной интернет-инфраструктуры, облачных сервисов и корпоративного программного обеспечения.
В список первых проектов, участвующих в программе, вошли такие критически важные инструменты, как Python, Go, cURL, Sigstore, NATS Server, aiohttp, freenginx и библиотека pyca/cryptography. Эти компоненты используются повсеместно: от сетевого взаимодействия до обеспечения криптографической защиты и верификации цепочек поставок ПО. Ошибки в них могут ставить под угрозу безопасность миллионов устройств и тысяч коммерческих компаний по всему миру.
Процесс работы организован с учетом взаимодействия с мейнтейнерами (сопровождающими) проектов. Сначала специалисты определяют наиболее уязвимые участки кода, затем ИИ-модели и инструмент Codex Security проводят поиск потенциальных брешей и предлагают варианты исправлений. Вся деятельность координируется с разработчиками проектов, а инженеры Trail of Bits проводят ручную проверку результатов, чтобы исключить ложные срабатывания и дубликаты.
На текущий момент программа уже показала свою эффективность: выявлены сотни проблем, а десятки исправлений уже внедрены в актуальные версии ПО. Кроме того, OpenAI разработала новые инструменты для автоматизированного фаззинга, анализа исторических записей CVE и дифференциального тестирования, помогающего отслеживать изменения в поведении кода между релизами.
Инициатива Patch the Planet запускается на фоне растущей тревоги из-за уязвимостей в цепочках поставок, вызванной такими инцидентами, как Log4Shell или внедрение вредоносного кода в XZ Utils. Хотя ИИ значительно ускоряет процесс поиска и документирования багов, эксперты подчеркивают, что человеческий контроль остается обязательным. Аналитики, включая Бисваджита Махапатру из Forrester, отмечают: автоматизация позволяет сократить цикл устранения уязвимостей с недель до считанных дней, но именно люди должны оценивать реальные риски и приоритетность исправлений.
Эксперт по безопасности Девашри Датта добавляет, что внедрение ИИ потребует от компаний пересмотра методик управления рисками. Теперь организациям нужно не просто устранять ошибки по мере их обнаружения, а выстраивать систему непрерывной оценки безопасности, учитывающую специфику бизнес-процессов, потенциальный ущерб и вероятность эксплуатации конкретной уязвимости.
Таким образом, Patch the Planet задает новый вектор в защите цифровой инфраструктуры, где сочетание машинного анализа и экспертного надзора должно обеспечить более высокую устойчивость критически важных open-source проектов.
