Das Unternehmen OpenAI hat das Projekt Patch the Planet ins Leben gerufen, das sich auf die Erhöhung der Sicherheit kritischer Open-Source-Projekte konzentriert. Diese Initiative wird im Rahmen des Daybreak-Programms in Zusammenarbeit mit Trail of Bits sowie mit Beteiligung der Organisationen HackerOne und Calif umgesetzt. Ziel der Initiative ist es, den Entwicklern von Open-Source-Software zu helfen, Schwachstellen mithilfe von KI-Tools und Sicherheitsprüfungen zu identifizieren, zu überprüfen und zu beheben, insbesondere angesichts des Anstiegs an Fehlermeldungen, für deren Bearbeitung oft nicht genügend Zeit und Ressourcen vorhanden sind.
Im Gegensatz zu typischen Programmen zur automatischen Fehlererkennung wird Patch the Planet als Full-Service-Anbieter positioniert: Neben der Identifizierung potenzieller Probleme erhalten die Teilnehmer Unterstützung bei der Erstellung von Korrekturen, der Integration dieser in den Code und der Implementierung von Prozessen zur Testung und Verbesserung der Sicherheit. Die Ergebnisse der KI-Modelle unterliegen einer obligatorischen manuellen Überprüfung und Begutachtung durch Ingenieure, die auf Computersicherheit spezialisiert sind.
In der ersten Phase sind 19 offene Projekte in das Programm aufgenommen worden, die von Mitarbeitern von Trail of Bits betreut werden, die Vollzeit an dem Projekt arbeiten und Zugang zu den Werkzeugen von Codex und dem GPT‑5.5‑Cyber-Modell haben. Zu den unterstützten Projekten gehören cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, Go, freenginx und Python. Es wird festgestellt, dass in der Anfangsphase bereits Hunderte von Fehlern identifiziert und Dutzende von Korrekturen vorbereitet wurden.
Unter den Projekten, bei denen kürzlich Schwachstellen mithilfe von Codex und GPT‑5.5‑Cyber entdeckt wurden, sind 24 Exploits für die lokale Privilegienerhöhung im Linux-Kernel, eine 23 Jahre alte Root-Schwachstelle in der Implementierung von System V-Semaphoren im OpenBSD-Kernel, 7 Exploits zur lokalen Privilegienerhöhung in FreeBSD, 4 Schwachstellen in dnsmasq, die HTTP/2 Bombenanfälligkeit in NGINX, Apache, IIS und Pingora sowie ausgenutzte Schwachstellen in Chrome, Safari und Firefox erwähnt. Neben der Behebung spezifischer Schwachstellen sieht das Projekt die Schaffung einer Infrastruktur vor, um AI-Agenten bei der Betreuung von Open-Source-Software einzusetzen, einschließlich der Entwicklung spezialisierter Tests, Fuzzers und Code-Analysetools.
Quelle: opennet.ru
