L'azienda OpenAI ha annunciato il lancio del progetto Patch the Planet, mirato a migliorare la sicurezza di progetti open source critici. L'iniziativa è attuata nell'ambito del programma Daybreak in collaborazione con l'azienda Trail of Bits e con il supporto delle organizzazioni HackerOne e Calif. L'obiettivo dell'iniziativa è aiutare chi supervisiona il software open source a identificare, verificare e risolvere le vulnerabilità utilizzando strumenti AI e audit di sicurezza, in un contesto di incremento dei report di errore, per i quali spesso i manutentori mancano di tempo e risorse per un'analisi adeguata.
A differenza dei programmi tipici di ricerca automatica degli errori, Patch the Planet si propone come un servizio a ciclo completo: oltre alla rilevazione di potenziali problemi, viene offerto supporto ai partecipanti nella preparazione delle correzioni, nell'integrazione di queste nella base di codice e nell'implementazione di processi per il testing e il rafforzamento della sicurezza. I risultati del lavoro dei modelli AI sono sottoposti a una verifica manuale obbligatoria e a una revisione da parte di ingegneri specializzati nella sicurezza informatica.
Nella prima fase del programma sono stati coinvolti 19 progetti aperti, con membri del team di Trail of Bits dedicati a tempo pieno e dotati degli strumenti di Codex e del modello GPT‑5.5‑Cyber. Tra i progetti supportati ci sono cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, Go, freenginx e Python. È stato notato che nella fase iniziale sono già state identificate centinaia di errori e preparati decine di correzioni.
Tra i progetti in cui sono state recentemente scoperte vulnerabilità utilizzando Codex e GPT‑5.5‑Cyber, si segnalano 24 exploit per il local privilege escalation nel kernel Linux, una vulnerabilità root di 23 anni nell'implementazione dei semaphore System V nel kernel OpenBSD, 7 exploit per il local privilege escalation su FreeBSD, 4 vulnerabilità in dnsmasq, la vulnerabilità HTTP/2 Bomb in NGINX, Apache, IIS e Pingora, exploitando vulnerabilità in Chrome, Safari e Firefox. Oltre a risolvere specifiche vulnerabilità, il progetto prevede la creazione di un'infrastruttura per l'utilizzo futuro di agenti AI nel supporto del software open source, inclusa la sviluppo di test specializzati, fuzzer e analizzatori di codice.
Fonte: opennet.ru
