Daybreak: alati za zaštitu svake organizacije na svijetu

Proširujemo Daybreak⁠ kako bismo olakšali široku dostupnost zakrpa za ranjivi softver brzinom mašine. Na primjer, primijenili smo naše modele za otkrivanje i kreiranje zakrpa za kritične ranjivosti⁠(otvara se u novom prozoru) u glavnim preglednicima, mrežnoj infrastrukturi i operativnim sistemima kao što su FreeBSD i Linux kernel. Da bi se povećao utjecaj ovih mogućnosti:

• Codex Security: Pokrećemo ažuriranje Codex Security dodatka⁠ koje implementira ono što smo naučili iz interne i korisničke upotrebe naših modela u rješenje za ubrzavanje procesa otkrivanja i zakrpljivanja ranjivosti u postojećim sistemima, kao i za automatsko sprečavanje da nove ranjivosti ikada dospiju u produkciju.
• GPT‑5.5‑Cyber: Nakon početnog pretpregleda samo u permisivnom režimu, lansiramo punu verziju GPT‑5.5‑Cyber u okviru našeg nastavljenog ograničenog objavljivanja pouzdanim stručnjacima za odbranu. Ovaj model postavlja novi najbolji dosadašnji rezultat na CyberGymu, dostižući 85,6% u poređenju s 81,8% za GPT‑5.5.
• Program za partnere Daybreak Cyber⁠: Omogućava sigurnosnim partnerima da prednosti prošire na više organizacija putem naših najsposobnijih modela s pouzdanim pristupom u njihovim proizvodima i uslugama.
• Patch the Planet⁠: inicijativa osnovana u saradnji sa Trail of Bits, HackerOneom, Kalifornijom, istraživačima i održavaocima, sa ciljem da se široko korištenim open-source projektima pomogne da od nalaza pređu na ispravke.
  • Više od 30 projekata otvorenog koda obavezalo se da će učestvovati, a među prvim učesnicima su cURL, Go, Python, Sigstore i pyca/cryptography.
  • Kroz Patch the Planet sarađujemo s istraživačima, održavateljima, preduzećima i partnerima kako bismo moćne kibernetičke sposobnosti učinili dostupnim braniocima uz odgovarajući pristup, upravljanje i ljudski nadzor. Čujte šta Clint i Dan kažu o ovome ovdje⁠(otvara se u novom prozoru).

Umjetna inteligencija promijenila je fiziku kibernetičke sigurnosti. Granični AI modeli sve više ubrzavaju otkrivanje ranjivosti. Usko grlo je historijski bilo pronalaženje ranjivosti, ali sada su branioci preplavljeni brojem pronađenih ranjivosti. Umjesto toga, usko grlo sada je popravljanje ranjivosti.

Godinama je pronalaženje ozbiljnih ranjivosti zahtijevalo rijetku stručnost, vrijeme i duboko poznavanje složenih sistema. Sada modeli mogu navigirati velikim bazama koda, rasuđivati kroz putanje napada, potvrđivati hipoteze i otkrivaju sigurnosne probleme koji bi inače mogli ostati skriveni. Braniocima je apsolutno potreban pristup ovim mogućnostima, a potrebni su im i alati za otklanjanje onoga što sada možemo pronaći, prije nego što to učine napadači.

Izvještaji o ranjivostima, sami po sebi, ne štite nikoga. Vrijednost proizlazi iz potvrđivanja problema, razumijevanja njegovog utjecaja, razvoja i testiranja zakrpe, koordiniranja objelodanjivanja i pomaganja timovima da primijene popravak. Ulažemo zajedno s našim partnerima kako bismo poboljšali ove potonje korake, s ciljem da značajno osnažimo branioce i pretvorimo sposobnosti modela u smanjenje rizika u stvarnom svijetu.

Granične odbrambene sposobnosti ne bi trebale biti koncentrirane u rukama nekolicine. Softver prožima sve aspekte života, od kritične infrastrukture do poslovnih aplikacija i vladinih mreža. Kako umjetna inteligencija (AI) mijenja tempo otkrivanja ranjivosti, odbrambenim timovima svugdje potreban je demokratiziran pristup ovim modelima kako bi pronašli, otklonili i zaštitili svoju infrastrukturu prije nego što napadači mogu identificirati i zloupotrijebiti te propuste.

Daybreak objedinjuje granične kibernetičke sposobnosti OpenAI-jevih modela, Trusted Access for Cyber, radne tokove Codex Security i partnere iz ekosistema kako bi pomogao odobrenim braniocima da validiraju ranjivosti, prioritetiziraju rizik, generiraju i testiraju ispravke, te proizvode dokaze unutar postojećih sigurnosnih i razvojnih radnih tokova. Naš cilj je pružiti organizacijama alate koji su im potrebni da ostanu zaštićeni, čak i dok se okruženje kibernetičkih prijetnji ubrzano mijenja.

Od pokretanja usluge Codex Security cloud kao istraživačkog pretpregleda u martu, skenirano je preko 30 miliona promjena u više od 30.000 baza koda; ljudski pregledavači su ručno označili da je više od 70.000 nalaza otklonjeno, a za više od 500.000 nalaza automatski je utvrđeno da su otklonjeni.

Ovo je razmjer na kojem se zakrpe sada moraju primjenjivati.

Codex Security smo izgradili na jednostavnoj premisi: da uz svakog softverskog programera bude ekvivalent sigurnosnog inženjera, integrirajući se direktno u Codex. Umjesto da samo generiše upozorenja, Codex Security će razumjeti kod vašeg tima i njegov model prijetnji (ili će ga generisati ako ne postoji), identificirati vjerovatne ranjivosti, utvrditi da li je pogođeni kod dosežan, prikupiti dokaze i pružiti korake za validaciju, razviti ciljanu zakrpu i provjeriti rezultat. Ljudi i dalje imaju kontrolu nad time koje nalaze za istraživanje, koje promjene treba primijeniti i koje informacije podijeliti.

Danas objavljujemo ažuriranje za sigurnosni dodatak Codex⁠ koje omogućava tokove rada za defanzivnu sigurnost spremne za korištenje. Programeri mogu pokrenuti dubinska skeniranja ili pregledati nedavne izmjene, generisati izvještaje s ozbiljnošću, pogođenim lokacijama u kodu, dokazima validacije i smjernicama za otklanjanje, pratiti putanje napada, izraditi modele prijetnji, validirati nalaze i generisati zakrpe prilagođene bazi koda za pregled.

Dodatak,⁠ takođe, može trijažirati i validirati postojeće nalaze iz skenera, sigurnosnih obavještenja, izvještaja iz bug bounty programa ili sistema za upravljanje tiketima, a zatim automatizirati generiranje zakrpa u velikom obimu kako bi se brzo riješio zaostatak ranjivosti. Kada Codex Security dovrši skeniranje, također može izvesti podatke u postojeći sistem za upravljanje ranjivostima ili se integrirati s alatima pomoću SARIF datoteka, CodeQL upita i još mnogo toga. Dodatak čini ove mogućnosti mnogo pristupačnijim za podršku automatiziranim tokovima obrade uz Codex CLI ili za integraciju u radne tokove programera u aplikaciji Codex.

Objavljujemo ažuriranje za GPT‑5.5‑Cyber, naš model koji je i permisivniji i sposobniji za napredan, ovlašten rad u oblasti kibernetičke sigurnosti.

Naš prvi pregled GPT‑5.5‑Cyber dizajniran je prvenstveno da smanji nepotrebna odbijanja u specijaliziranim tokovima rada. Ovo ažuriranje ide korak dalje. To je naš do sada najjači model za pronalaženje i pomaganje u zakrpavanju softverskih ranjivosti, uz zadržavanje GPT‑5.5-ove inteligencija opće namjene i sposobnost rada na dugim, složenim zadacima.

Model može podržati dublju analizu u velikim bazama koda: identificiranje komponenti relevantnih za sigurnost, praćenje da li je ranjivi kod dostižan, provjeru vjerovatnih problema u kontroliranim okruženjima, razvoj i testiranje zakrpa, te pripremu dokaza za ljudski pregled. Cilj je pomoći timovima za odbranu da prođu kroz cijeli ciklus otklanjanja problema — a ne samo proizvesti još nalaza.

Na CyberGym-u, platformi koja mjeri može li agent reproducirati poznate ranjivosti u softverskim okruženjima, ažurirani GPT‑5.5‑Cyber dosegao je 85,6% u evaluacijama s jednim model, u poređenju sa 81,8% za GPT‑5.5. Ovo je najviši CyberGym rezultat koji smo izmjerili za pojedinačni model.

GPT‑5.5‑Cyber je također nadmašio GPT‑5.5 na dva zahtjevna sigurnosna benchmarka iz stvarnog svijeta: 39,5% naspram 25,95% na testu ExploitGym, koji provjerava mogu li agenti pretvoriti poznate ranjivosti u funkcionalne eksploite koji omogućavaju neovlašteno izvršavanje koda. Na benchmarku SEC-bench Pro, koji procjenjuje dugoročno otkrivanje ranjivosti i generisanje dokaza koncepta na složenim softverskim ciljevima, GPT‑5.5‑Cyber dostigao je 69,8%, u poređenju sa 63,1% za GPT‑5.5.

Benchmark su samo jedan dio priče. Ono što je u praksi važno jeste da li model može pronaći stvarne ranjivosti, razlikovati probleme koji zahtijevaju djelovanje od šuma i pomoći braniteljima da sigurno implementiraju ispravke. Nastavljamo procjenjivati performanse modela na složenim repozitorijima i u stvarnim tokovima rada za sanaciju dok se koordinirane objave privode kraju.

Vodimo kontinuiran dijalog sa vladom SAD-a o našem pristupu kibernetičkoj sigurnosti, uključujući današnje najave i našu pripremu za predstojeća izdanja modela. To uključuje nastavak saradnje s Centrom za standarde i inovacije u oblasti umjetne inteligencije (CAISI) na testiranju prije uvođenja za GPT‑5.5 i 5.5-Cyber, kao i rad s Uredom nacionalnog direktora za kibernetičku sigurnost (ONCD) i Uredom za naučnu i tehnološku politiku (OSTP) na implementaciji nedavne Izvršne uredbe⁠(otvara se u novom prozoru) i povezanih industrijskih standarda.

Za većinu branilaca, GPT‑5.5 s Trusted Access for Cyber i Codex Security i dalje ostaje prava početna tačka. GPT‑5.5‑Cyber je namijenjen provjerenim odbrambenim stručnjacima čiji ovlašteni rad zahtijeva naše najnaprednije kibernetičke mogućnosti i permisivnije ponašanje, uz snažniju verifikaciju, nadzor, kontrole definiranog opsega i pregled. Tokom ranog rada na projektu Daybreak, GPT‑5.5 i Codex Security pomogli su stručnjacima za odbranu da identificiraju i potvrde ranjivosti u široko korištenim sistemima, uključujući implementacije Firefox, V8, Safari, OpenBSD, FreeBSD i HTTP/2⁠.

Kao dio ovog proširenja, takođe pokrećemo OpenAI Daybreak cyber partner program ⁠s vodećim pružaocima sigurnosnog softvera i usluga. Kroz program, partneri koji učestvuju mogu koristiti GPT‑5.5 s Trusted Access for Cyber — naš primarni model za većinu odbrambenih tokova rada u oblasti kibernetičke sigurnosti — u sigurnosnim proizvodima i uslugama koje pružaju korisnicima. To omogućava njihovim klijentima da iskoriste odbrambene sposobnosti modela i učine svoj softver otpornijim, ali zadržava direktan pristup modelu u rukama partnera koji učestvuju.

Takođe ćemo sarađivati sa partnerima programa kako bismo nastavili jačati zaštitne mjere, nadzor i standarde za sprječavanje zloupotrebe potrebne za odgovorno uvođenje ovih mogućnosti širom sigurnosnog ekosistema. Ovo uvodimo s početnom grupom partnera⁠ i planiramo nastaviti širiti na više organizacija u narednim mjesecima.

Patch the Planet je inicijativa osmišljena da pomogne održavaocima da pređu od nalaza do ispravki. Osnovani s Trail of Bits, a u saradnji s HackerOne i Calif, finansiramo stručne istraživače sigurnosti i opremamo ih alatkom Codex Security i našim naprednim modelima za direktan rad s održavaocima projekata otvorenog koda.

Softver otvorenog koda pokreće proizvode, javne usluge, alate za programere i kritičnu infrastrukturu u različitim sektorima. Ranjivost u široko korištenoj mrežnoj biblioteci može utjecati na hiljade zavisnih sistema. Ipak, mnogi od ovih projekata održavaju se zahvaljujući vrlo malim timovima s ograničenim vremenom i finansiranjem. Istraživanje Linux Foundationa i Harvarda⁠(otvara se u novom prozoru) pokazalo je da je 94 posto široko korištenih projekata koje je proučavalo imalo manje od deset programera odgovornih za više od 90 posto koda dodanog tokom jedne godine.

Kako umjetna inteligencija omogućava brže pronalaženje i zakrpljivanje većeg broja ranjivosti, ona takođe stvara više posla za održavatelje, koji moraju pregledati hiljade izvještaja, od kojih su mnogi lažno pozitivni i niskog kvaliteta. Održavaoci ne bi trebali ostati s većim brojem prijava, a bez dodatnih kapaciteta za njihovo rješavanje. Zato je Patch the Planet zasnovan na stručnoj ljudskoj sigurnosnoj provjeri.

Svaki angažman počinje konsultacijama između naših istraživača sigurnosti i održavalaca kojima pomažu. Održavaoci definiraju svoje prioritete, preference i uspostavljene procese objelodanjivanja. Sigurnosni istraživači Patch the Planet zatim upravljaju radom od početka do kraja – validirajući i uklanjajući duplikate ranjivosti i zakrpa prije nego što dođu do održavalaca, čime se značajno smanjuje opterećenje održavalaca i ubrzava sanaciju.

Projekti koji učestvuju dobijaju ChatGPT Pro, uslovni pristup usluzi Codex Security i API kredite za osnovni razvoj, automatizaciju održavatelja i tokove rada za izdanja.

Početni petodnevni sprint na više projekata otkrio je stotine problema za pregled, rezultirao spajanjem desetina zakrpa uz još mnoge u toku, te uspostavio višekratno upotrebljive tokove rada za fuzzing, analizu varijanti, diferencijalno testiranje i testiranje zasnovano na specifikacijama. Više možete pročitati na blogu Trail of Bits ovdje⁠(otvara se u novom prozoru).

Pronalazak ranjivosti je važan, ali prava zaštita svijeta dolazi kad se ispravka uspješno primijeni — a za to su potrebni saradnja i podrška zajednice.

Također blisko sarađujemo sa vladama i institucijama širom svijeta kako bismo ojačali njihove odbrambene kapacitete u oblasti kibernetičke sigurnosti i zaštitili kritičnu infrastrukturu. Blisko sarađujemo s Vladom SAD-a i relevantnim saveznim agencijama dok se pripremamo za AI modele koji su sve sposobniji u kibernetičkom domenu. Tokom proteklog mjeseca već smo uspostavili partnerstva Trusted Access for Cyber s Australijom, Kanadom, Francuskom, Njemačkom, Japanom, Republikom Korejom i institucijama EU-a poput ENISA-e. Također imamo sve snažnije i pouzdano partnerstvo s vladom Ujedinjenog Kraljevstva u oblasti kibernetičke sigurnosti, testiranja i evaluacije, kao i drugim oblastima od zajedničkog interesa.

Planiramo direktno sarađivati sa kvalificiranim operatorima kritične infrastrukture, uključujući vladine mreže, kako bismo razvili zaštitne mjere prilagođene sistemima kojima upravljaju. Fokus ovog rada je učiniti naprednu vještačku inteligenciju korisnijom za odbrambene timove, istovremeno otežavajući zlonamjernim akterima da nanesu štetu u stvarnom svijetu.

Takođe ćemo sarađivati sa korporativnim klijentima i pouzdanim partnerima kako bismo uključili širi kontekst i identifikatore o konkretnim sistemima kojima upravljaju ili koje štite, čime ćemo ojačati naše mjere zaštite kibernetičke sigurnosti i sposobnost sprečavanja štetnih kibernetičkih aktivnosti povezanih sa kritičnim uslugama.

Daybreak okuplja modele, Codex Security, Patch the Planet, stručne istraživače, održavaoce, sigurnosne partnere, operatore kritične infrastrukture i pouzdane kontrole pristupa kako bi pomogli ljudskim braniocima da odgovore na izazov.

Organizacije u javnom i privatnom sektoru mogu raditi s OpenAI Daybreakom kako bi identificirale, validirale i sanirale ranjivosti u softveru koji razvijaju i na koji se oslanjaju. Programeri i održavaoci mogu pokrenuti Codex Security⁠ na kodu za koji su odgovorni, pregledati nalaze i pomoći u implementaciji ispravki. Sigurnosni partneri i praktičari mogu koristiti naše granične modele kako bi ojačali svoje odbrambene alate i brzo omogućili te mogućnosti većem broju organizacija.

Cilj je prevazići korištenje modela za pronalaženje više ranjivosti i krenuti ka svijetu sigurnijeg softvera i kibernetičke otpornosti.