Daybreak: strumenti per proteggere ogni organizzazione al mondo

Stiamo ampliando Daybreak⁠ per contribuire a democratizzare la gestione delle patch per il software vulnerabile alla velocità delle macchine. Ad esempio, abbiamo applicato i nostri modelli per scoprire e generare patch per vulnerabilità critiche⁠(si apre in una nuova finestra) nei principali browser, nelle infrastrutture di rete e nei sistemi operativi come FreeBSD e il kernel Linux. Per ampliare l’impatto di queste funzionalità:

• Codex Security: stiamo lanciando un aggiornamento del plugin Codex Security⁠, che integra quanto abbiamo appreso dall’uso interno e da parte dei clienti dei nostri modelli in una soluzione per accelerare il processo di individuazione e correzione delle vulnerabilità nei sistemi esistenti, oltre a impedire automaticamente che nuove vulnerabilità raggiungano mai la produzione.
• GPT‑5.5‑Cyber: Dopo un’anteprima iniziale solo permissiva, lanciamo la versione completa di GPT‑5.5‑Cyber attraverso il nostro rilascio limitato continuativo a difensori fidati. Questo modello stabilisce un nuovo stato dell’arte in termini di prestazioni su CyberGym, raggiungendo l’85,6% rispetto all’81,8% di GPT‑5.5.
• Daybreak Cyber Partner Program⁠: consentire ai partner per la sicurezza di estendere i benefici a un numero maggiore di organizzazioni tramite i nostri modelli più avanzati, con accesso affidabile ai loro prodotti e servizi.
• Patch the Planet⁠: un'iniziativa fondata con Trail of Bits in collaborazione con HackerOne, Calif, ricercatori e manutentori per aiutare progetti open source ampiamente utilizzati a passare dalle vulnerabilità individuate alle correzioni.
  • Più di 30 progetti open source si sono impegnati a partecipare, con partecipanti iniziali tra cui cURL, Go, Python, Sigstore e pyca/cryptography.
  • Con Patch the Planet, collaboriamo con ricercatori, manutentori, aziende e partner per rendere disponibili ai difensori potenti capacità cibernetiche, con adeguati meccanismi di accesso, governance e supervisione umana. Scopri cosa dicono Clint e Dan al riguardo qui⁠(si apre in una nuova finestra).

L’IA ha cambiato le dinamiche della cybersicurezza. I modelli di IA di frontiera stanno accelerando sempre più la scoperta di vulnerabilità. Storicamente, il collo di bottiglia è stato individuare le vulnerabilità, ma ora i difensori sono sopraffatti dal numero di vulnerabilità individuate. Invece, il collo di bottiglia ora è correggere le vulnerabilità.

Per anni, individuare vulnerabilità gravi richiedeva competenze rare, tempo e una profonda familiarità con sistemi complessi. Ora i modelli possono esplorare codebase di grandi dimensioni, ragionare sui percorsi di attacco, convalidare ipotesi e far emergere problemi di sicurezza che altrimenti potrebbero rimanere nascosti. I team di difesa hanno assolutamente bisogno di accedere a queste capacità, e anche di strumenti per correggere ciò che oggi siamo in grado di individuare, prima che lo facciano gli attaccanti.

I rapporti sulle vulnerabilità da soli non proteggono nessuno. Il valore deriva dalla convalida del problema, dalla comprensione del suo impatto, dallo sviluppo e dal test di una patch, dal coordinamento della divulgazione e dal supporto ai team nella distribuzione della correzione. Stiamo investendo insieme ai nostri partner per migliorare queste ultime fasi, al fine di potenziare notevolmente i difensori e convertire le capacità del modello in una riduzione concreta del rischio.

Le capacità difensive di frontiera non dovrebbero essere concentrate nelle mani di pochi. Il software interessa ogni aspetto della vita, dalle infrastrutture critiche alle applicazioni aziendali e alle reti governative. Man mano che l'IA cambia il ritmo dell'individuazione delle vulnerabilità, i difensori di tutto il mondo hanno bisogno di un accesso democratizzato a questi modelli per trovare e correggere queste falle e proteggere la propria infrastruttura prima che gli attaccanti possano identificarle e sfruttarle.

Daybreak riunisce le capacità cyber di frontiera dei modelli di OpenAI, Trusted Access for Cyber, i flussi di lavoro di sicurezza Codex e i partner dell'ecosistema per aiutare i difensori autorizzati a validare le vulnerabilità, assegnare priorità al rischio, generare e testare correzioni e produrre evidenze all'interno dei flussi di lavoro di sicurezza e sviluppo esistenti. Il nostro obiettivo è fornire alle organizzazioni gli strumenti di cui hanno bisogno per proteggersi, anche mentre il panorama delle minacce informatiche continua a evolversi sempre più rapidamente.

Da quando Codex Security cloud è stato lanciato in anteprima di ricerca a marzo, ha analizzato oltre 30 milioni di commit su più di 30.000 basi di codice; i revisori umani hanno contrassegnato manualmente più di 70.000 risultati come risolti e oltre 500.000 risultati sono stati automaticamente determinati come risolti.

Questa è la scala a cui oggi devono essere distribuite le patch.

Abbiamo creato Codex Security a partire da una premessa semplice: mettere l’equivalente di un ingegnere della sicurezza accanto a ogni sviluppatore software, grazie all’integrazione diretta in Codex. Anziché limitarsi a generare avvisi, Codex Security comprenderà il codice del tuo team e il relativo modello delle minacce (o ne genererà uno se non esiste), identificherà vulnerabilità plausibili, determinerà se il codice interessato è raggiungibile, raccoglierà prove per fornire passaggi di convalida, svilupperà una patch mirata e verificherà il risultato. Gli esseri umani mantengono il controllo su quali risultati esaminare, quali modifiche applicare e quali informazioni condividere.

Oggi rilasciamo un aggiornamento al plugin Codex Security⁠ che abilita flussi di lavoro di sicurezza difensiva pronti all’uso. Gli sviluppatori possono eseguire scansioni approfondite o esaminare le modifiche recenti, generare report con gravità, posizioni del codice interessate, evidenze di validazione e indicazioni per la correzione, tracciare percorsi di attacco, creare modelli di minaccia, convalidare i risultati e generare patch specifiche per la base di codice da sottoporre a revisione.

Il plugin⁠ può anche assegnare priorità, analizzare e convalidare i risultati esistenti provenienti da scanner, advisory, report di bug bounty o sistemi di ticketing, quindi automatizzare la generazione di patch su larga scala per smaltire rapidamente un arretrato di vulnerabilità. Quando Codex Security completa una scansione, può anche esportare i risultati in un sistema di gestione delle vulnerabilità esistente o integrarsi con strumenti tramite file SARIF, query CodeQL e altro ancora. Il plugin rende queste funzionalità molto più accessibili per supportare pipeline automatizzate con Codex CLI o integrarle nei flussi di lavoro degli sviluppatori nell’app Codex.

Stiamo rilasciando un aggiornamento per GPT‑5.5‑Cyber, il nostro modello più permissivo e più capace per attività avanzate e autorizzate di cybersicurezza.

La nostra anteprima iniziale di GPT‑5.5‑Cyber è stata progettata principalmente per ridurre i rifiuti non necessari nei flussi di lavoro specializzati. Questo aggiornamento va oltre. È il nostro modello più potente finora per individuare e correggere le vulnerabilità software, mantenendo al contempo le funzionalità di intelligenza di uso generale di GPT‑5.5 e la capacità di operare su attività lunghe e complesse.

Il modello può supportare analisi più approfondite su codebase di grandi dimensioni: identificare componenti rilevanti per la sicurezza, verificare se il codice vulnerabile sia raggiungibile, convalidare probabili problemi in ambienti controllati, sviluppare e testare patch e preparare evidenze per la revisione umana. L’obiettivo è aiutare i difensori a completare l’intero ciclo di correzione, non semplicemente a produrre altri rilevamenti.

Su CyberGym, che misura se un agente è in grado di riprodurre vulnerabilità note in ambienti software, il modello GPT‑5.5‑Cyber aggiornato ha raggiunto l’85,6% nelle valutazioni a modello singolo, rispetto all’81,8% di GPT‑5.5. Questo è il punteggio CyberGym più alto che abbiamo misurato da un singolo modello.

GPT‑5.5‑Cyber ha anche superato GPT‑5.5 in due impegnativi benchmark di sicurezza reali: 39,5% contro 25,95% su ExploitGym, che verifica se gli agenti siano in grado di trasformare vulnerabilità note in exploit funzionanti che ottengono l’esecuzione non autorizzata di codice. Su SEC-bench Pro, che valuta la scoperta di vulnerabilità a lungo orizzonte e la generazione di proof-of-concept su target software complessi, GPT‑5.5‑Cyber ha raggiunto il 69,8%, rispetto al 63,1% di GPT‑5.5.

I benchmark sono solo una parte del quadro. Ciò che conta nella pratica è se un modello è in grado di individuare vulnerabilità reali, distinguere i problemi su cui è possibile intervenire dal rumore e aiutare i difensori a implementare correzioni in modo sicuro. Continuiamo a valutare le prestazioni del modello su repository complessi e flussi di lavoro di correzione reali, man mano che si concludono le divulgazioni coordinate.

Abbiamo mantenuto un dialogo costante con il governo degli Stati Uniti sul nostro approccio alla sicurezza informatica, inclusi gli annunci di oggi e la nostra preparazione per i prossimi rilasci di modelli. Ciò include il proseguimento della collaborazione con il Center for AI Standards and Innovation (CAISI) sui test pre-distribuzione per GPT‑5.5 e 5.5-Cyber, nonché il lavoro con l’Office of the National Cyber Director (ONCD) e l’Office of Science and Technology Policy (OSTP) sull’attuazione del recente Ordine esecutivo⁠(si apre in una nuova finestra) e degli standard di settore associati.

Per la maggior parte dei difensori, GPT‑5.5 con Trusted Access for Cyber e Codex Security rimane il punto di partenza ideale. GPT‑5.5‑Cyber è destinato a difensori verificati la cui attività autorizzata richiede le nostre capacità cyber più avanzate e un comportamento più permissivo, insieme a verifiche più rigorose, monitoraggio, controlli con ambito definito e revisione. Nell’ambito dei primi lavori di Daybreak, GPT‑5.5 e Codex Security hanno aiutato i difensori a identificare e convalidare vulnerabilità in sistemi ampiamente utilizzati, incluse le implementazioni di Firefox, V8, Safari, OpenBSD, FreeBSD e HTTP/2⁠.

Nell’ambito di questa espansione, stiamo inoltre lanciando l’ OpenAI Daybreak Cyber Partner Program ⁠con i principali fornitori di software e servizi per la sicurezza informatica. Attraverso il programma, i partner partecipanti possono utilizzare GPT‑5.5 con Trusted Access for Cyber, il nostro modello principale per la maggior parte dei flussi di lavoro di cybersicurezza difensiva, nei prodotti e servizi di sicurezza che forniscono ai clienti. Ciò consente ai loro clienti di beneficiare delle capacità difensive del modello e di rendere il loro software più resiliente, mantenendo però l’accesso diretto al modello nelle mani dei partner partecipanti.

Collaboreremo inoltre con i partner del programma per continuare a rafforzare le misure di salvaguardia, il monitoraggio e gli standard di prevenzione degli abusi necessari per distribuire queste capacità in modo responsabile in tutto l'ecosistema della sicurezza. Stiamo avviando il lancio con un primo gruppo di partner⁠ e prevediamo di continuare a coinvolgere altre organizzazioni nei prossimi mesi.

Patch the Planet è un’iniziativa creata per aiutare i manutentori a passare dalle segnalazioni alle correzioni. Fondata con Trail of Bits e in collaborazione con HackerOne e Calif, stiamo finanziando ricercatori esperti in sicurezza e li dotiamo di Codex Security e dei nostri modelli avanzati per collaborare direttamente con i manutentori open source.

Il software open source alimenta prodotti, servizi pubblici, strumenti per sviluppatori e infrastrutture critiche in diversi settori. Una vulnerabilità in una libreria di rete ampiamente utilizzata può interessare migliaia di sistemi a valle. Eppure molti di questi progetti sono portati avanti da team molto piccoli, con tempo e finanziamenti limitati. Una ricerca della Linux Foundation e di Harvard⁠(si apre in una nuova finestra) ha rilevato che il 94% dei progetti ampiamente utilizzati esaminati aveva meno di dieci sviluppatori responsabili di oltre il 90% del codice aggiunto in un anno.

Man mano che l'IA consente di individuare e correggere le vulnerabilità più rapidamente, crea al tempo stesso più lavoro per i manutentori, che devono passare al vaglio migliaia di segnalazioni, molte delle quali si rivelano falsi positivi di scarsa qualità. I manutentori non dovrebbero ritrovarsi con più segnalazioni e senza risorse aggiuntive per risolverle. Ecco perché Patch the Planet si basa su revisioni della sicurezza condotte da esperti umani.

Ogni collaborazione inizia con una consultazione tra i nostri ricercatori di sicurezza e i manutentori a cui stanno offrendo supporto. I manutentori definiscono le proprie priorità, preferenze e procedure di divulgazione consolidate. I ricercatori di sicurezza di Patch the Planet gestiscono quindi il lavoro dall’inizio alla fine, convalidando ed eliminando i duplicati sia delle vulnerabilità sia delle patch prima che arrivino ai manutentori, riducendo significativamente il carico di lavoro per i manutentori e accelerando la risoluzione.

I progetti partecipanti ricevono ChatGPT Pro, accesso condizionato a Codex Security e crediti API per lo sviluppo core, l’automazione delle attività dei maintainer e i workflow di rilascio.

Lo sprint iniziale di cinque giorni su più progetti ha portato alla luce centinaia di problemi da esaminare, ha integrato decine di patch, con altre in corso, e ha creato flussi di lavoro riutilizzabili per fuzzing, analisi delle varianti, test differenziale e test basati su specifiche. Puoi saperne di più sul blog di Trail of Bits qui⁠(si apre in una nuova finestra).

Individuare le vulnerabilità è importante, ma è l’applicazione delle correzioni a proteggere il mondo, e questo richiede collaborazione e il supporto della comunità.

Collaboriamo inoltre a stretto contatto con governi e istituzioni di tutto il mondo per rafforzare le loro capacità difensive in materia di sicurezza informatica e proteggere le infrastrutture critiche. Abbiamo lavorato a stretto contatto con il Governo degli Stati Uniti e le agenzie federali competenti mentre ci prepariamo a modelli di IA con capacità informatiche sempre più avanzate. Nell’ultimo mese abbiamo già instaurato partnership Trusted Access for Cyber con l’Australia, il Canada, la Francia, la Germania, il Giappone, la Repubblica di Corea e istituzioni dell’UE come ENISA. Abbiamo inoltre una partnership in crescita e basata sulla fiducia con il governo del Regno Unito in materia di sicurezza informatica, test e valutazione, e in altre aree di interesse reciproco.

Prevediamo di collaborare direttamente con gli operatori idonei di infrastrutture critiche, comprese le reti governative, per sviluppare misure di salvaguardia su misura per i sistemi che gestiscono. Il fulcro di questo lavoro è rendere l'IA avanzata più utile ai difensori, rendendo al contempo più difficile agli attori malevoli causare danni concreti.

Collaboreremo inoltre con clienti aziendali e partner di fiducia per integrare informazioni di contesto più ampie e identificatori relativi ai sistemi specifici che gestiscono o proteggono, rafforzando le nostre misure di protezione per la sicurezza informatica e la nostra capacità di prevenire attività informatiche dannose che coinvolgono servizi critici.

Daybreak riunisce modelli, Codex Security, Patch the Planet, ricercatori esperti, manutentori, partner per la sicurezza, operatori di infrastrutture critiche e controlli di accesso affidabili per aiutare i difensori umani a essere all’altezza della sfida.

Le organizzazioni del settore pubblico e privato possono collaborare con OpenAI Daybreak per identificare, convalidare e correggere le vulnerabilità nel software che sviluppano e su cui fanno affidamento. Gli sviluppatori e i manutentori possono eseguire Codex Security⁠ sul codice di loro proprietà, esaminare i risultati e contribuire all’integrazione delle correzioni. I partner e i professionisti della sicurezza possono usare i nostri modelli di frontiera per rafforzare i propri strumenti di difesa e mettere rapidamente queste capacità a disposizione di un maggior numero di organizzazioni.

L'obiettivo è andare oltre l'uso dei modelli per individuare un maggior numero di vulnerabilità, verso un mondo caratterizzato da software più sicuro e resilienza informatica.