Daybreak: Alat untuk mengamankan setiap organisasi di dunia

Kami memperluas Daybreak⁠ untuk membantu memeratakan penambalan perangkat lunak rentan dengan kecepatan mesin. Misalnya, kami telah menerapkan model kami untuk menemukan dan membuat patch bagi kerentanan kritis⁠(terbuka di jendela baru) di browser utama, infrastruktur jaringan, dan sistem operasi seperti FreeBSD dan kernel Linux. Untuk memperluas dampak kemampuan ini:

• Codex Security: Kami meluncurkan pembaruan untuk plugin Codex Security⁠, yang menerapkan pembelajaran kami dari penggunaan internal dan pelanggan terhadap model kami ke dalam solusi untuk mempercepat proses menemukan dan menambal kerentanan di sistem yang ada, sekaligus secara otomatis mencegah kerentanan baru masuk ke produksi.
• GPT‑5.5‑Cyber: Setelah pratinjau awal yang hanya bersifat permisif, kami meluncurkan versi lengkap GPT‑5.5‑Cyber melalui rilis terbatas berkelanjutan kami kepada praktisi pertahanan siber tepercaya. Model ini menetapkan performa mutakhir baru pada CyberGym, mencapai 85,6% dibandingkan dengan 81,8% untuk GPT‑5.5.
• Daybreak Cyber Partner Program⁠: Memungkinkan mitra keamanan memperluas manfaat ke lebih banyak organisasi melalui model kami yang paling mumpuni dengan akses tepercaya dalam produk dan layanan mereka.
• Patch the Planet⁠: sebuah inisiatif yang didirikan bersama Trail of Bits melalui kolaborasi dengan HackerOne, Calif, para peneliti, dan pengelola untuk membantu proyek sumber terbuka yang banyak digunakan beralih dari temuan ke perbaikan.
  • Lebih dari 30 proyek sumber terbuka telah berkomitmen untuk berpartisipasi, dengan peserta awal termasuk cURL, Go, Python, Sigstore, dan pyca/cryptography.
  • Melalui Patch the Planet, kami bekerja sama dengan peneliti, pengelola, perusahaan, dan mitra untuk menyediakan kapabilitas siber yang kuat bagi para pembela dengan akses, tata kelola, dan pengawasan manusia yang sesuai. Simak penjelasan Clint dan Dan tentang hal ini di sini⁠(terbuka di jendela baru).

AI telah mengubah dinamika mendasar keamanan siber. Model AI terdepan semakin mempercepat penemuan kerentanan. Secara historis, hambatannya adalah menemukan kerentanan, tetapi kini tim pertahanan kewalahan dengan banyaknya kerentanan yang ditemukan. Sebaliknya, hambatan utamanya kini adalah memasang patch kerentanan.

Selama bertahun-tahun, menemukan kerentanan serius membutuhkan keahlian langka, waktu, dan pemahaman mendalam terhadap sistem yang kompleks. Kini, model dapat menavigasi basis kode besar, menalar jalur serangan, memvalidasi hipotesis, dan mengungkap masalah keamanan yang, jika tidak demikian, mungkin tetap tersembunyi. Tim pertahanan mutlak membutuhkan akses ke kemampuan ini, dan juga membutuhkan alat untuk memperbaiki hal-hal yang kini dapat ditemukan, sebelum penyerang menemukannya.

Laporan kerentanan, dengan sendirinya, tidak melindungi siapa pun. Nilai tersebut berasal dari memvalidasi masalah, memahami dampaknya, mengembangkan dan menguji patch, mengoordinasikan pengungkapan, dan membantu tim menerapkan perbaikan. Kami berinvestasi bersama para mitra kami untuk meningkatkan langkah-langkah tahap akhir ini, guna memperkuat pihak pertahanan secara signifikan dan mengubah kemampuan model menjadi pengurangan risiko di dunia nyata.

Kemampuan pertahanan terdepan tidak boleh terkonsentrasi di tangan segelintir pihak. Perangkat lunak digunakan di semua aspek kehidupan, mulai dari infrastruktur kritis hingga aplikasi bisnis dan jaringan pemerintah. Seiring AI mengubah laju penemuan kerentanan, para pembela di mana pun memerlukan akses yang lebih merata ke model-model ini untuk menemukan, memperbaiki, dan melindungi infrastruktur mereka sebelum penyerang dapat mengidentifikasi dan mengeksploitasi kelemahan tersebut.

Daybreak menyatukan kapabilitas siber terdepan dari model OpenAI, Trusted Access for Cyber, alur kerja Codex Security, dan mitra ekosistem untuk membantu pembela yang disetujui memvalidasi kerentanan, memprioritaskan risiko, menghasilkan dan menguji perbaikan, serta menghasilkan bukti di dalam alur kerja keamanan dan pengembangan yang sudah ada. Tujuan kami adalah membekali organisasi dengan alat yang mereka butuhkan agar tetap aman, bahkan ketika lanskap ancaman siber terus berkembang semakin cepat.

Sejak Codex Security cloud diluncurkan dalam pratinjau riset pada bulan Maret, layanan ini telah memindai lebih dari 30 juta commit di lebih dari 30.000 basis kode; peninjau manusia telah menandai secara manual lebih dari 70.000 temuan sebagai telah diperbaiki, dan lebih dari 500.000 temuan telah secara otomatis ditentukan sebagai telah diperbaiki.

Penerapan patch kini harus dilakukan pada skala ini.

Kami membangun Codex Security berdasarkan premis sederhana: menghadirkan dukungan setara insinyur keamanan untuk setiap pengembang perangkat lunak melalui integrasi langsung ke Codex. Alih-alih hanya menghasilkan peringatan, Codex Security akan memahami kode tim Anda dan model ancamannya (atau membuatnya jika belum ada), mengidentifikasi kerentanan yang mungkin terjadi, menentukan apakah kode yang terdampak dapat dijangkau, mengumpulkan bukti untuk menyediakan langkah-langkah validasi, mengembangkan perbaikan yang terarah, dan memverifikasi hasilnya. Manusia tetap memegang kendali atas temuan mana yang akan diselidiki, perubahan mana yang akan diterapkan, dan informasi apa yang akan dibagikan.

Hari ini, kami merilis pembaruan untuk plugin Codex Security⁠ yang memungkinkan alur kerja keamanan defensif siap pakai. Pengembang dapat menjalankan pemindaian mendalam atau meninjau perubahan terbaru, menghasilkan laporan dengan tingkat keparahan, lokasi kode terdampak, bukti validasi, dan panduan remediasi, melacak jalur serangan, membangun model ancaman, memvalidasi temuan, serta menghasilkan patch khusus basis kode untuk ditinjau.

Plugin⁠ ini juga dapat melakukan triase dan memvalidasi temuan yang ada dari pemindai, advisory, laporan bug bounty, atau sistem tiket, lalu mengotomatiskan pembuatan patch dalam skala besar untuk menutup backlog kerentanan dengan cepat. Setelah Codex Security menyelesaikan pemindaian, Codex Security juga dapat mengekspor ke sistem manajemen kerentanan yang sudah ada atau mengintegrasikan ke dalam alat dengan file SARIF, kueri CodeQL, dan lainnya. Plugin ini membuat berbagai kemampuan ini jauh lebih mudah diakses, baik untuk mendukung pipeline otomatis dengan Codex CLI maupun untuk mengintegrasikan ke dalam alur kerja pengembang di aplikasi Codex.

Kami merilis pembaruan untuk GPT‑5.5‑Cyber, model kami yang lebih permisif sekaligus lebih mumpuni untuk pekerjaan keamanan siber tingkat lanjut yang diotorisasi.

Pratinjau awal kami untuk GPT‑5.5‑Cyber dirancang terutama untuk mengurangi penolakan yang tidak perlu dalam alur kerja khusus. Pembaruan ini melangkah lebih jauh. Model ini adalah model terkuat kami sejauh ini untuk menemukan dan membantu memperbaiki kerentanan perangkat lunak, sekaligus mempertahankan kecerdasan serbaguna GPT‑5.5 dan kemampuan untuk mengerjakan tugas-tugas yang panjang dan kompleks.

Model dapat mendukung analisis yang lebih mendalam di seluruh basis kode besar: mengidentifikasi komponen yang relevan dengan keamanan, menelusuri apakah kode rentan dapat dijangkau, memvalidasi kemungkinan masalah di lingkungan terkendali, mengembangkan dan menguji patch, serta menyiapkan bukti untuk peninjauan oleh manusia. Tujuannya adalah membantu tim pertahanan melewati seluruh siklus remediasi—bukan sekadar menghasilkan lebih banyak temuan.

Pada CyberGym, yang mengukur apakah suatu agen dapat mereproduksi kerentanan yang diketahui dalam lingkungan perangkat lunak, GPT‑5.5‑Cyber yang diperbarui mencapai 85,6% dalam evaluasi model tunggal, sedangkan hanya 81,8% untuk GPT‑5.5. Ini adalah skor CyberGym tertinggi yang pernah kami ukur dari satu model.

GPT‑5.5‑Cyber juga mengungguli GPT‑5.5 pada dua tolok ukur keamanan dunia nyata yang menantang: 39,5% versus 25,95% pada ExploitGym, yang menguji apakah agen dapat mengubah kerentanan yang diketahui menjadi eksploit yang berfungsi dan mencapai eksekusi kode tanpa otorisasi. Pada SEC-bench Pro, yang mengevaluasi penemuan kerentanan jangka panjang dan pembuatan proof-of-concept di berbagai target perangkat lunak yang kompleks, GPT‑5.5‑Cyber mencapai 69,8%, sedangkan hanya 63,1% untuk GPT‑5.5.

Tolok ukur hanyalah salah satu bagian dari gambaran keseluruhan. Yang penting dalam praktiknya adalah apakah suatu model dapat menemukan kerentanan nyata, membedakan masalah yang dapat ditindaklanjuti dari noise, dan membantu tim pertahanan menerapkan perbaikan dengan aman. Kami terus mengevaluasi kinerja model pada repositori kompleks dan alur kerja remediasi nyata seiring berakhirnya pengungkapan terkoordinasi.

Kami telah menjalin dialog berkelanjutan dengan pemerintah AS mengenai pendekatan siber kami, termasuk pengumuman hari ini dan persiapan kami untuk rilis model mendatang. Hal ini mencakup kolaborasi berkelanjutan dengan Center for AI Standards and Innovation (CAISI) dalam pengujian pra-peluncuran untuk GPT‑5.5 dan 5.5-Cyber, serta kerja sama dengan Office of the National Cyber Director (ONCD) dan Office of Science and Technology Policy (OSTP) dalam implementasi Keputusan Eksekutif⁠(terbuka di jendela baru) terbaru dan standar industri terkait.

Bagi sebagian besar pembela, GPT‑5.5 dengan Trusted Access for Cyber dan Codex Security tetap menjadi titik awal yang tepat. GPT‑5.5‑Cyber ditujukan bagi pembela terverifikasi yang pekerjaan terotorisasinya memerlukan kemampuan siber kami yang paling canggih dan perilaku yang lebih permisif, yang dilengkapi dengan verifikasi yang lebih kuat, pemantauan, kontrol bercakupan, dan peninjauan. Di berbagai pekerjaan awal Daybreak, GPT‑5.5 dan Codex Security telah membantu para pembela mengidentifikasi dan memvalidasi kerentanan pada implementasi sistem yang banyak digunakan, termasuk Firefox, V8, Safari, OpenBSD, FreeBSD, dan HTTP/2⁠.

Sebagai bagian dari ekspansi ini, kami juga meluncurkan OpenAI Daybreak Cyber Partner Program ⁠bersama penyedia perangkat lunak dan layanan keamanan terkemuka. Melalui program ini, mitra yang berpartisipasi dapat menggunakan GPT‑5.5 dengan Trusted Access for Cyber—model utama kami untuk sebagian besar alur kerja keamanan siber defensif—dalam produk dan layanan keamanan yang mereka sediakan kepada pelanggan. Hal ini memungkinkan pelanggan mereka mendapatkan manfaat dari kemampuan defensif model dan membuat perangkat lunak mereka lebih tangguh, tetapi menjaga akses langsung ke model tetap berada di tangan mitra yang berpartisipasi.

Kami juga akan berkolaborasi dengan mitra program untuk terus memperkuat langkah-langkah pengamanan, pemantauan, dan standar pencegahan penyalahgunaan yang diperlukan untuk menerapkan kemampuan ini secara bertanggung jawab di seluruh ekosistem keamanan. Kami meluncurkan ini bersama kelompok awal mitra⁠ dan berencana untuk terus memperluasnya ke lebih banyak organisasi dalam beberapa bulan mendatang.

Patch the Planet adalah inisiatif yang dibuat untuk membantu pengelola menindaklanjuti temuan menjadi perbaikan. Didirikan bersama Trail of Bits, dan berkolaborasi dengan HackerOne serta Calif, kami mendanai peneliti keamanan ahli dan membekali mereka dengan Codex Security serta model canggih kami untuk bekerja langsung dengan pengelola sumber terbuka.

Perangkat lunak sumber terbuka mendukung produk, layanan publik, alat pengembang, dan infrastruktur kritis di berbagai sektor. Kerentanan pada pustaka jaringan yang banyak digunakan dapat memengaruhi ribuan sistem hilir. Namun, banyak dari proyek ini ditopang oleh tim yang sangat kecil dengan waktu dan pendanaan yang terbatas. Riset dari Linux Foundation dan Harvard⁠(terbuka di jendela baru) menemukan bahwa 94 persen proyek yang banyak digunakan yang ditelitinya memiliki kurang dari sepuluh pengembang yang bertanggung jawab atas lebih dari 90 persen kode yang ditambahkan dalam setahun.

Seiring AI memungkinkan lebih banyak kerentanan ditemukan dan ditambal dengan lebih cepat, teknologi ini juga menambah beban kerja bagi para pengelola, yang harus menyaring ribuan laporan, banyak di antaranya merupakan positif palsu berkualitas rendah. Pengelola tidak seharusnya dibebani lebih banyak laporan tanpa kapasitas tambahan untuk menindaklanjutinya. Itulah sebabnya Patch the Planet dibangun berdasarkan tinjauan keamanan oleh para ahli.

Setiap keterlibatan dimulai dengan konsultasi antara peneliti keamanan kami dan para pengelola yang mereka bantu. Pengelola menentukan prioritas, preferensi, dan proses pengungkapan yang telah ditetapkan. Peneliti keamanan Patch the Planet kemudian mengelola pekerjaan tersebut dari awal hingga akhir—memvalidasi dan melakukan deduplikasi terhadap kerentanan maupun patch sebelum sampai ke pengelola, sehingga secara signifikan mengurangi beban pengelola dan mempercepat remediasi.

Proyek yang berpartisipasi menerima ChatGPT Pro, akses bersyarat ke Codex Security, dan kredit API untuk pengembangan inti, otomatisasi pengelola, dan alur kerja rilis.

Sprint awal selama lima hari di beberapa proyek mengungkap ratusan isu untuk ditinjau, menggabungkan puluhan patch dengan lebih banyak lagi yang sedang dikerjakan, serta membangun alur kerja fuzzing, analisis varian, pengujian diferensial, dan pengujian berbasis spesifikasi yang dapat digunakan kembali. Anda dapat membaca lebih lanjut di blog Trail of Bits di sini⁠(terbuka di jendela baru).

Menemukan kerentanan itu penting, tetapi menerapkan perbaikanlah yang melindungi dunia, dan hal itu membutuhkan kolaborasi serta dukungan komunitas.

Kami juga bekerja sama erat dengan pemerintah dan lembaga di seluruh dunia untuk meningkatkan kemampuan pertahanan keamanan siber mereka dan melindungi infrastruktur kritis. Kami telah bekerja sama secara erat dengan Pemerintah AS dan lembaga federal terkait saat kami mempersiapkan diri untuk menghadapi model AI dengan kapabilitas siber yang semakin meningkat. Dalam sebulan terakhir, kami telah menjalin kemitraan Trusted Access for Cyber dengan Australia, Kanada, Prancis, Jerman, Jepang, Republik Korea, serta lembaga-lembaga Uni Eropa seperti ENISA. Kami juga memiliki kemitraan yang terus berkembang dan tepercaya dengan pemerintah Britania Raya di bidang siber, pengujian dan evaluasi, serta area lain yang menjadi kepentingan bersama.

Kami berencana untuk bekerja secara langsung dengan operator infrastruktur kritis yang memenuhi syarat, termasuk jaringan pemerintah, untuk mengembangkan langkah pengamanan yang disesuaikan dengan sistem yang mereka operasikan. Fokus dari pekerjaan ini adalah menjadikan AI canggih lebih bermanfaat bagi pembela, sekaligus mempersulit pelaku yang berniat jahat untuk menimbulkan bahaya nyata di dunia nyata.

Kami juga akan bekerja sama dengan pelanggan perusahaan dan mitra tepercaya untuk memasukkan konteks dan pengenal yang lebih luas tentang sistem spesifik yang mereka operasikan atau lindungi, sehingga memperkuat perlindungan keamanan siber kami dan kemampuan kami untuk mencegah aktivitas siber berbahaya yang melibatkan layanan penting.

Daybreak menyatukan model, Codex Security, Patch the Planet, peneliti ahli, pengelola, mitra keamanan, operator infrastruktur kritis, dan kontrol akses tepercaya untuk membantu para pembela manusia menjawab tantangan.

Organisasi di sektor publik dan swasta dapat bekerja sama dengan OpenAI Daybreak untuk mengidentifikasi, memvalidasi, dan mengatasi kerentanan di seluruh perangkat lunak yang mereka bangun dan andalkan. Pengembang dan pengelola dapat menjalankan Codex Security⁠ pada kode yang mereka miliki, meninjau temuan, dan membantu menerapkan perbaikan. Mitra dan praktisi keamanan dapat menggunakan model terdepan kami untuk memperkuat alat defensif mereka dan menghadirkan kemampuan tersebut ke lebih banyak organisasi dengan cepat.

Tujuannya adalah melampaui sekadar penggunaan model untuk menemukan lebih banyak kerentanan, menuju dunia dengan perangkat lunak yang lebih aman dan ketahanan siber.