Proširujemo Daybreak kako bismo olakšali široku dostupnost zakrpa za ranjivi softver brzinom stroja. Primjerice, primijenili smo svoje modele za otkrivanje i generiranje zakrpa za kritične ranjivosti(otvara se u novom prozoru) u vodećim preglednicima, mrežnoj infrastrukturi i operacijskim sustavima kao što su FreeBSD i Linux kernel. Da bi se povećao učinak ovih mogućnosti:
- Codex Security: objavljujemo ažuriranje za dodatak Codex Security koji u rješenje ugrađuje ono što smo naučili iz interne i korisničke upotrebe naših modela, kako bismo ubrzali proces otkrivanja i krpanja ranjivosti u postojećim sustavima, kao i automatski spriječili da nove ranjivosti ikada dođu do produkcije.
- GPT‑5.5‑Cyber: nakon početnog pretpregleda ograničenog samo na dozvoljeni način rada, lansiramo punu verziju GPT‑5.5‑Cyber u okviru našeg nastavljenog ograničenog izdanja namijenjenog provjerenim stručnjacima za kibernetičku obranu. Ovaj model postavlja nove vrhunske performanse na CyberGymu, dosežući 85,6 % u usporedbi s 81,8 % za GPT‑5.5.
- Partnerski program Daybreak Cyber: omogućuje partnerima u području sigurnosti da prošire prednosti na veći broj organizacija putem naših najnaprednijih modela s pouzdanim pristupom u svojim proizvodima i uslugama.
- Patch the Planet: inicijativa osnovana s tvrtkom Trail of Bits u suradnji s HackerOneom, Califom, istraživačima i održavateljima kako bi se široko korištenim projektima otvorenog kôda pomoglo prijeći od nalaza do ispravaka.
- Više od 30 projekata otvorenog kôda obvezalo se sudjelovati, a među početnim sudionicima su cURL, Go, Python, Sigstore i pyca/cryptography.
- Unutar inicijative Patch the Planet surađujemo s istraživačima, održavateljima, poduzećima i partnerima kako bismo braniteljima učinili dostupnima moćne kibernetičke mogućnosti uz odgovarajući pristup, upravljanje i ljudski nadzor. Ovdje(otvara se u novom prozoru) saznajte što Clint i Dan kažu o tome.
Umjetna inteligencija promijenila je temeljna pravila kibernetičke sigurnosti. Granični AI modeli sve više ubrzavaju otkrivanje ranjivosti. Povijesno gledano, usko grlo bilo je otkrivanje ranjivosti, no sada su timovi za obranu preopterećeni brojem otkrivenih ranjivosti. Umjesto toga, usko grlo sada je krpanje ranjivosti.
Godinama je pronalaženje ozbiljnih ranjivosti zahtijevalo rijetku stručnost, vrijeme i duboko poznavanje složenih sustava. Sada se modeli mogu snalaziti u velikim bazama kôda, analizirati putanje napada, potvrđivati hipoteze i otkrivati sigurnosne probleme koji bi inače mogli ostati skriveni. Timovima za obranu nužno je potreban pristup tim mogućnostima, kao i alati za otklanjanje onoga što sada možemo pronaći, prije nego što to učine napadači.
Izvješća o ranjivostima sama po sebi ne štite nikoga. Vrijednost proizlazi iz potvrđivanja problema, razumijevanja njegova utjecaja, razvoja i testiranja zakrpe, koordiniranja objave i pomaganja timovima pri implementaciji ispravka. Ulažemo na ovom polju zajedno s našim partnerima kako bismo poboljšali potonje navedene korake, s ciljem da znatno osnažimo branitelje i pretvorimo sposobnosti modela u stvarno smanjenje rizika.
Granične obrambene sposobnosti ne bi smjele biti koncentrirane u rukama nekolicine. Softver je prisutan u svim aspektima života, od kritične infrastrukture do poslovnih aplikacija i državnih mreža. Kako umjetna inteligencija mijenja tempo otkrivanja ranjivosti, stručnjacima za obranu diljem svijeta potreban je demokratiziran pristup tim modelima kako bi mogli pronaći i otkloniti te propuste te zaštititi vlastitu infrastrukturu prije nego što ih napadači uspiju identificirati i zloupotrijebiti.
Daybreak objedinjuje granične kibernetičke sposobnosti OpenAI-jevih modela, Trusted Access for Cyber, radne tijekove Codex Securityja i partnere iz ekosustava kako bi odobrenim braniteljima pomogao potvrditi ranjivosti, odrediti prioritete rizika, generirati i testirati ispravke te izraditi dokaze unutar postojećih sigurnosnih i razvojnih radnih tijekova. Naš je cilj organizacijama pružiti alate koji su im potrebni kako bi ostale sigurne čak i dok se okruženje kibernetičkih prijetnji nastavlja ubrzano razvijati.
Od pokretanja usluge Codex Security cloud u istraživačkom pretpregledu u ožujku, skenirala je više od 30 milijuna promjena u više od 30.000 baza kôda; ljudski pregledavatelji ručno su označili više od 70.000 nalaza kao ispravljene, a za više od 500.000 nalaza automatski je utvrđeno da su ispravljeni.
To je razmjer na kojem se sada moraju implementirati zakrpe.
Codex Security izgradili smo na jednostavnoj ideji: izravnom integracijom u Codex postaviti ekvivalent sigurnosnog inženjera uz svakog razvojnog programera. Umjesto da samo generira upozorenja, Codex Security razumjet će kôd vašeg tima i njegov model prijetnji (ili će ga generirati ako ne postoji), prepoznati vjerojatne ranjivosti, utvrditi je li pogođeni kôd dostupan, prikupiti dokaze za pružanje koraka za provjeru valjanosti, razviti ciljanu zakrpu i provjeriti rezultat. Ljudi i dalje kontroliraju koje će nalaze istražiti, koje će promjene primijeniti i koje će informacije podijeliti.
Danas objavljujemo ažuriranje dodatka Codex Security koje omogućuje spremne obrambene sigurnosne tijekove rada. Programeri mogu pokretati dubinska skeniranja ili pregledavati nedavne promjene, generirati izvješća o ozbiljnosti, zahvaćenim lokacijama kôda, dokazima valjanosti i smjernicama za rješavanje problema, pratiti putanje napada, izrađivati modele prijetnji, potvrđivati nalaze i generirati zakrpe specifične za kodnu bazu za pregled.
Postavite skeniranje koje obuhvaća cijelu bazu kôda, podskup baze kôda ili određenu promjenu ili potvrdu (commit).
Dodatak također može trijažirati i validirati postojeće nalaze iz skenera, sigurnosnih obavijesti, izvješća o programima nagrađivanja za pronalazak sigurnosnih propusta ili sustava za upravljanje tiketima. Nakon toga može automatizirati generiranje zakrpa u velikim količinama kako bi se brzo riješio zaostatak ranjivosti. Kada Codex Security dovrši skeniranje, može i izvesti podatke u postojeći sustav za upravljanje ranjivostima ili se integrirati u alate pomoću SARIF datoteka, CodeQL upita i još mnogo toga. Dodatak znatno olakšava pristup tim mogućnostima i podržava automatizirane tokove rada uz Codex CLI ili integraciju u tijekove rada razvojnih programera u aplikaciji Codex.
Objavljujemo ažuriranje za GPT‑5.5‑Cyber, naš model koji je istodobno fleksibilniji i sposobniji za napredan, ovlašteni rad na području kibernetičke sigurnosti.
Naš početni pretpregled GPT‑5.5‑Cyber osmišljen je prvenstveno kako bi se smanjila nepotrebna odbijanja u specijaliziranim radnim tijekovima. Ovo ažuriranje ide korak dalje. To je naš dosad najjači model za pronalaženje softverskih ranjivosti i pomoć u zakrpama, uz zadržavanje GPT‑5.5‑ove inteligencija opće namjene i sposobnost rada na dugim, složenim zadacima.
Model može podržati dublju analizu velikih baza kôda: identificiranje komponenti relevantnih za sigurnost, praćenje može li se ranjivi kôd doseći, potvrđivanje vjerojatnih problema u kontroliranim okruženjima, razvoj i testiranje zakrpa te pripremu dokaza za ljudski pregled. Cilj je pomoći braniteljima da prođu kroz cijeli ciklus sanacije, a ne samo stvoriti više nalaza.
Na CyberGymu, koji mjeri može li agent reproducirati poznate ranjivosti u softverskim okruženjima, ažurirani GPT‑5.5‑Cyber dosegnuto je 85,6 % u procjenama s jednim modelom, u usporedbi s 81,8 % za GPT‑5.5. Ovo je najviši CyberGym rezultat koji smo izmjerili za jedan model.
GPT‑5.5‑Cyber također je nadmašio GPT‑5.5 na dvama zahtjevnim sigurnosnim referentnim testovima (benchmarks) iz stvarnog svijeta: 39,5 % naspram 25,95 % na ExploitGymu, koji testira mogu li agenti pretvoriti poznate ranjivosti u funkcionalne exploite koji postižu neovlašteno izvršavanje kôda. Na SEC-bench Pro, koji procjenjuje otkrivanje ranjivosti na dugoročnom razdoblju i generiranje dokaza koncepta na složenim softverskim ciljevima, GPT‑5.5‑Cyber dosegao je 69,8 %, u usporedbi sa 63,1 % za GPT‑5.5.
Referentne vrijednosti samo su jedan dio priče. Ono što je u praksi važno jest može li model pronaći stvarne ranjivosti, razlikovati probleme na koje se može djelovati od šuma te pomoći obrambenim timovima da sigurno uvedu ispravke. Nastavljamo procjenjivati performanse modela na složenim repozitorijima i u stvarnim tijekovima rada za sanaciju dok se koordinirane objave privode kraju.
Vodili smo kontinuiran dijalog s vladom SAD-a o našem pristupu kibernetičkoj sigurnosti, uključujući današnje najave i pripreme za nadolazeća izdanja modela. To uključuje nastavak suradnje s Centrom za standarde i inovacije u području umjetne inteligencije (CAISI) na testiranju prije uvođenja za GPT‑5.5 i 5.5-Cyber, kao i rad s Uredom nacionalnog direktora za kibernetička pitanja (ONCD) i Uredom za znanstvenu i tehnološku politiku (OSTP) na provedbi nedavne izvršne uredbe(otvara se u novom prozoru) i povezanih industrijskih standarda.
Za većinu stručnjaka za kibernetičku obranu, GPT‑5.5 uz Trusted Access for Cyber i Codex Security i dalje je pravo polazište. GPT‑5.5‑Cyber namijenjen je provjerenim stručnjacima za obranu čiji ovlašteni rad zahtijeva naše najnaprednije kibernetičke mogućnosti i fleksibilnije ponašanje, u kombinaciji sa snažnijom provjerom, nadzorom, kontrolama definiranog opsega i pregledom. U okviru ranog rada na Daybreaku, GPT‑5.5 i Codex Security pomogli su stručnjacima za obranu identificirati i potvrditi ranjivosti u široko korištenim sustavima, uključujući implementacije Firefoxa, V8-a, Safarija, OpenBSD-a, FreeBSD-a i HTTP/2-a.
U sklopu ovog proširenja pokrećemo i partnerski program OpenAI Daybreak Cyber s vodećim pružateljima sigurnosnog softvera i usluga. U okviru programa, partneri koji sudjeluju mogu upotrebljavati GPT‑5.5 s Pouzdanim pristupom za Cyber — naš primarni model za većinu obrambenih tijekova rada u području kibernetičke sigurnosti — u sigurnosnim proizvodima i uslugama koje pružaju korisnicima. To njihovim klijentima omogućuje da iskoriste obrambene sposobnosti modela i učine svoj softver otpornijim, dok izravan pristup modelu ostaje u rukama partnera koji sudjeluju.
Također ćemo surađivati s partnerima programa kako bismo nastavili jačati zaštitne mjere, nadzor i standarde za sprječavanje zlouporabe potrebne za odgovornu primjenu tih mogućnosti u cijelom sigurnosnom ekosustavu. Ovo uvodimo s početnom skupinom partnera i planiramo ga u nadolazećim mjesecima nastaviti proširivati na dodatne organizacije.
Patch the Planet je inicijativa osmišljena kako bi održavateljima pomogla prijeći od nalaza do ispravaka. Pokrenuto s tvrtkom Trail of Bits te u suradnji s tvrtkama HackerOne i Calif, financiramo stručne sigurnosne istraživače i opremamo ih rješenjem Codex Security i našim naprednim modelima za izravan rad s održavateljima projekata otvorenog kôda.
Softver otvorenog kôda pokreće proizvode, javne usluge, razvojne alate i kritičnu infrastrukturu u različitim sektorima. Ranjivost u široko korištenoj mrežnoj biblioteci može utjecati na tisuće ovisnih sustava. Ipak, mnoge od tih projekata održavaju vrlo mali timovi s ograničenim vremenom i financiranjem. Istraživanje Linux Foundationa i Harvarda(otvara se u novom prozoru) utvrdilo je da je 94 posto široko korištenih projekata obuhvaćenih istraživanjem imalo manje od deset programera odgovornih za više od 90 posto kôda dodanog tijekom godine.
Kako umjetna inteligencija omogućuje brže pronalaženje i krpanje većeg broja ranjivosti, istovremeno povećava opterećenje održavatelja, koji moraju pregledati tisuće izvješća, od kojih su mnoga lažno pozitivna i niske kvalitete. Održavatelji ne bi smjeli ostati s većim brojem prijava, a bez dodatnih kapaciteta za njihovo rješavanje. Zato se Patch the Planet temelji na stručnom ljudskom sigurnosnom pregledu.
Svaki angažman započinje konzultacijama između naših sigurnosnih istraživača i održavatelja kojima naši istraživači pomažu. Održavatelji definiraju svoje prioritete, preferencije i utvrđene postupke otkrivanja. Sigurnosni istraživači iz Patch the Planeta zatim upravljaju radom od početka do kraja — validiraju i uklanjaju duplikate ranjivosti i zakrpa prije nego što dođu do održavatelja, čime se znatno smanjuje opterećenje održavatelja i ubrzava sanaciju.
Projekti koji sudjeluju dobivaju ChatGPT Pro, uvjetni pristup Codex Securityju i API kredite za temeljni razvoj, automatizaciju održavatelja i tijekove rada za izdanja.
Početni petodnevni sprint u više projekata otkrio je stotine problema za pregled, spojio desetke zakrpa uz još mnoge u tijeku te uspostavio višekratno upotrebljive radne tokove za fuzz testiranje, analizu varijanti, diferencijalno testiranje i testiranje temeljeno na specifikacijama. Više o tome možete pročitati na blogu Trail of Bits ovdje(otvara se u novom prozoru).
Pronalaženje ranjivosti važno je, ali svijet štiti tek uspješna primjena ispravka, a za to su potrebni suradnja i podrška zajednice.
Također blisko surađujemo s vladama i institucijama diljem svijeta kako bismo ojačali njihove obrambene sposobnosti u području kibernetičke sigurnosti i zaštitili kritičnu infrastrukturu. Blisko surađujemo s Vladom SAD-a i nadležnim saveznim agencijama dok se pripremamo za modele umjetne inteligencije koji su sve sposobniji u kibernetičkom području. U proteklih mjesec dana već smo uspostavili partnerstva u okviru programa Trusted Access for Cyber s Australijom, Kanadom, Francuskom, Njemačkom, Japanom, Republikom Korejom i institucijama EU-a poput ENISA-e. Također imamo sve snažnije partnerstvo utemeljeno na povjerenju s vladom Ujedinjenog Kraljevstva u području kibernetičke sigurnosti, testiranja i procjene, kao i u drugim područjima od zajedničkog interesa.
Planiramo izravno surađivati s ovlaštenim operatorima kritične infrastrukture, uključujući vladine mreže, kako bismo razvili zaštitne mjere prilagođene sustavima kojima upravljaju. Fokus je ovog rada učiniti naprednu umjetnu inteligenciju korisnijom onima koji se bave obranom, a zlonamjernim akterima otežati nanošenje štete u stvarnom svijetu.
Također ćemo surađivati s korporativnim korisnicima i pouzdanim partnerima kako bismo uključili širi kontekst i identifikatore za konkretne sustave kojima upravljaju ili koje štite, čime ćemo ojačati naše zaštitne mehanizme kibernetičke sigurnosti i sposobnost sprječavanja štetnih kibernetičkih aktivnosti povezanih s kritičnim uslugama.
Daybreak objedinjuje model, Codex Security, Patch the Planet, stručne istraživače, održavatelje, sigurnosne partnere, operatore kritične infrastrukture i pouzdane kontrole pristupa kako bi ljudskim braniteljima pomogao da odgovore na izazov.
Organizacije iz javnog i privatnog sektora mogu surađivati s OpenAI Daybreakom kako bi identificirale, potvrdile i otklonile ranjivosti u softveru koji izrađuju i na koji se oslanjaju. Programeri i održavatelji mogu pokrenuti Codex Security na kôdu za koji su odgovorni, pregledati nalaze i pomoći u uvođenju popravaka. Sigurnosni partneri i stručnjaci mogu upotrebljavati naše granične modele kako bi ojačali svoje obrambene alate i brzo učinili te mogućnosti dostupnima većem broju organizacija.
Cilj je prijeći s korištenja modela za pronalaženje ranjivosti na svijet sigurnijeg softvera i kibernetičke otpornosti.
