Daybreak: Алатки за заштита на секоја организација во светот

Го прошируваме Daybreak⁠ за да помогнеме во демократизирањето на закрпувањето ранлив софтвер со машинска брзина. На пример, ги применивме нашите модели за откривање и генерирање закрпи за критични ранливости⁠(се отвора во нов прозорец) во главните прелистувачи, мрежната инфраструктура и оперативните системи како што се FreeBSD и јадрото на Linux. За да се зголеми влијанието на овие можности:

• Codex Security: Објавуваме ажурирање на приклучокот Codex Security⁠, кое го преточува она што го научивме од интерната употреба и од употребата од страна на клиентите на нашите модели во решение за забрзување на процесот на откривање и поправање ранливости во постојните системи, како и за автоматско спречување нови ранливости воопшто да стигнат до продукција.
• GPT‑5.5‑Cyber: По првичната прегледна верзија со дозволен режим, ја лансираме целосната верзија на GPT‑5.5‑Cyber преку нашето континуирано ограничено издание за доверени бранители. Овој модел поставува најсовремени перформанси на CyberGym, достигнувајќи 85,6 % во споредба со 81,8 % за GPT‑5.5.
• Партнерска програма Daybreak Cyber⁠: Им овозможува на безбедносните партнери да ги прошират придобивките до повеќе организации преку нашите најспособни модели со доверлив пристап во нивните производи и услуги.
• Patch the Planet⁠: иницијатива основана заедно со Trail of Bits во соработка со HackerOne, Calif, истражувачи и одржувачи, за да им помогне на широко користените проекти со отворен код да преминат од наоди кон поправки.
  • Повеќе од 30 проекти со отворен код се обврзаа да учествуваат, при што меѓу првичните учесници се cURL, Go, Python, Sigstore и pyca/cryptography.
  • Со Patch the Planet, соработуваме со истражувачи, одржувачи, претпријатија и партнери за да им овозможиме на бранителите пристап до моќни сајбер-способности со соодветен пристап, управување и човечки надзор. Слушнете од Клинт и Ден за ова тука⁠(се отвора во нов прозорец).

Вештачката интелигенција ја промени физиката на сајбер-безбедноста. Најсовремените модели на вештачка интелигенција сè повеќе го забрзуваат откривањето на ранливости. Историски гледано, тесното грло беше пронаоѓањето ранливости, но сега тимовите за одбрана се преоптоварени од бројот на пронајдени ранливости. Наместо тоа, тесното грло сега е закрпувањето на ранливости.

Со години, пронаоѓањето сериозни ранливости бараше ретка експертиза, време и длабоко познавање на сложени системи. Сега, моделот може да навигира низ големи кодни бази, да резонира низ патеки за напад, да валидира хипотези и да открива безбедносни проблеми што инаку би можеле да останат скриени. На бранителите им е апсолутно потребен пристап до овие можности, а им се потребни и алатки за да го отстранат она што сега можеме да го откриеме, пред напаѓачите да го сторат тоа.

Извештаите за ранливости сами по себе не штитат никого. Вредноста произлегува од потврдување на проблемот, разбирање на неговото влијание, развивање и тестирање закрпа, координирање на објавувањето и помагање на тимовите да ја применат поправката. Инвестираме заедно со нашите партнери за да ги подобриме овие последни чекори, за да ги зајакнеме бранителите и да ја претвориме способноста на моделот во реално намалување на ризикот.

Граничните одбранбени способности не треба да бидат концентрирани во рацете на малкумина. Софтверот е присутен во сите аспекти на животот, од критична инфраструктура до деловни апликации и владини мрежи. Како што вештачката интелигенција го менува темпото на откривање ранливости, на бранителите насекаде им е потребен демократизиран пристап до овие модели за да ја пронајдат, поправат и заштитат својата инфраструктура пред напаѓачите да можат да ги идентификуваат и злоупотребат овие пропусти.

Daybreak ги обединува граничните сајбер-способности на моделите на OpenAI, Trusted Access for Cyber, работните текови на Codex Security и партнерите од екосистемот за да им помогне на одобрените бранители да ги потврдуваат ранливостите, да го приоритизираат ризикот, да генерираат и тестираат поправки и да создаваат докази во постојните работни текови за безбедност и развој. Нашата цел е да им ги обезбедиме на организациите алатките што им се потребни за да останат безбедни, и покрај тоа што окружувањето со сајбер-закани продолжува да се развива со сè побрзо темпо.

Од лансирањето на Codex Security во облак како истражувачка прегледна верзија во март, тој скенираше над 30 милиони комити во повеќе од 30.000 кодни бази; човечки рецензенти рачно означија повеќе од 70.000 наоди како поправени, а за над 500.000 наоди автоматски беше утврдено дека се поправени.

Ова е обемот на кој сега мора да се врши закрпувањето.

Codex Security го изградивме врз едноставна претпоставка: да го поставиме еквивалентот на инженер за безбедност покрај секој програмер на софтвер преку директна интеграција во Codex. Наместо само да генерира предупредувања, Codex Security ќе го разбере кодот на вашиот тим и неговиот модел на закани (или ќе генерира еден ако не постои), ќе идентификува веројатни ранливости, ќе утврди дали засегнатиот код е достижен, ќе собере докази за да обезбеди чекори за валидација, ќе развие насочена закрпа и ќе го провери резултатот. Луѓето ја задржуваат контролата врз тоа кои наоди ќе се истражат, кои промени ќе се применат и кои информации ќе се споделат.

Денес објавуваме ажурирање на приклучокот Codex Security plugin⁠ што овозможува готови работни текови за одбранбена безбедност. Програмерите можат да извршуваат длабински скенирања или да ги прегледуваат неодамнешните промени, да генерираат извештаи со сериозност, засегнати локации во кодот, докази за валидација и насоки за санирање, да следат патеки на напад, да градат модели на закани, да ги валидираат наодите и да генерираат закрпи специфични за кодната база за преглед.

Приклучокот⁠ може исто така да ги сортира и валидира постојните наоди од скенери, безбедносни известувања, извештаи за награди за пријавување грешки или системи за тикети, а потоа да го автоматизира генерирањето закрпи во голем обем, за брзо да се расчисти заостанатиот список на ранливости. Кога Codex Security ќе заврши скенирање, може и да ги извезе резултатите во постоечки систем за управување со ранливости или да се интегрира во алатки со SARIF-датотеки, CodeQL-прашања и друго. Приклучокот ги прави овие можности многу подостапни за поддршка на автоматизирани процеси со Codex CLI или за интеграција во работните текови на програмерите во апликацијата Codex.

Објавуваме ажурирање на GPT‑5.5‑Cyber, нашиот модел кој е истовремено попермисивен и поспособен за напредна, овластена работа во областа на сајбер-безбедноста.

Нашата првична претпрегледна верзија на GPT‑5.5‑Cyber беше осмислена првенствено за да ги намали непотребните одбивања во специјализирани работни текови. Ова ажурирање оди чекор понатаму. Тоа е нашиот најсилен модел досега за пронаоѓање и помагање при закрпување на софтверски ранливости, притоа задржувајќи ги GPT‑5.5-овите интелигенција со општа намена и способност за работа на долги, сложени задачи.

Моделот може да изврши подлабока анализа низ големи бази на код: идентификување на компоненти релевантни за безбедноста, следење дали ранливиот код е достапен, потврдување на веројатни проблеми во контролирани средини, развивање и тестирање закрпи и подготвување докази за човечки преглед. Целта е да им се помогне на одбранбените тимови да го поминат целосниот циклус на санирање — а не едноставно да се генерираат повеќе наоди.

На CyberGym, кој мери дали агент може да репродуцира познати ранливости во софтверски околини, ажурираниот GPT‑5.5‑Cyber достигна 85,6 % при евалуации со еден модел, во споредба со 81,8 % за GPT‑5.5. Ова е највисокиот резултат на CyberGym што сме го измериле кај еден единствен модел.

GPT‑5.5‑Cyber исто така постигна подобри резултати од GPT‑5.5 на два захтевни безбедносни бенчмаркови од реалниот свет: 39,5 % наспроти 25,95 % на ExploitGym, кој тестира дали агентите можат да ги претворат познатите ранливости во функционални експлоити што постигнуваат неовластено извршување на код. На SEC-bench Pro, кој го оценува откривањето на ранливости со долг временски период и генерирањето на доказ за концепт кај сложени софтверски цели, GPT‑5.5‑Cyber достигна 69,8 %, во споредба со 63,1 % за GPT‑5.5.

Одредниците се само еден дел од приказната. Она што е важно во пракса е дали модел може да пронајде вистински ранливости, да разликува проблеми по кои може да се постапи од шум, и да им помогне на тимовите за одбрана безбедно да ги применат поправките. Продолжуваме да ги оценуваме перформансите на моделот на сложени репозиториуми и реални работни текови за санација, како што завршуваат координираните обелоденувања.

Имавме континуиран дијалог со Владата на Соединетите Американски Држави за нашата сајбер-стратегија, вклучувајќи ги денешните соопштенија и подготовките за претстојните изданија на модели. Тоа вклучува продолжена соработка со Центарот за стандарди и иновации во областа на вештачка интелигенција (ВИ) за тестирање пред пуштање во употреба на GPT‑5.5 и 5.5-Cyber, како и работа со Канцеларијата на националниот сајбер-директор (ONCD) и Канцеларијата за научна и технолошка политика (OSTP) за спроведување на неодамнешната Извршна наредба⁠(се отвора во нов прозорец) и поврзаните индустриски стандарди.

За повеќето бранители, GPT‑5.5 со Trusted Access for Cyber и Codex Security останува вистинската почетна точка. GPT‑5.5‑Cyber е наменет за верификувани бранители чија овластена работа ги бара нашите најнапредни сајбер-можности и попопустливо однесување, во комбинација со посилна верификација, следење, контроли со дефиниран опсег и преглед. Во рамки на раната работа на Daybreak, GPT‑5.5 и Codex Security им помогнаа на бранителите да идентификуваат и потврдат ранливости во широко користени системи, вклучувајќи ги имплементациите на Firefox, V8, Safari, OpenBSD, FreeBSD и HTTP/2⁠.

Како дел од ова проширување, исто така ја започнуваме OpenAI Daybreak Cyber Partner Program ⁠со водечки даватели на безбедносен софтвер и услуги. Преку програмата, партнерите учесници можат да го користат GPT‑5.5 со Trusted Access for Cyber — нашиот примарен модел за повеќето одбранбени работни текови во сајбер-безбедноста — во безбедносните производи и услуги што им ги обезбедуваат на клиентите. Ова им овозможува на нивните клиенти да имаат корист од одбранбените способности на моделот и да го направат својот софтвер поотпорен, но го задржува директниот пристап до моделот во рацете на партнерите што учествуваат.

Исто така, ќе соработуваме со партнерите во програмата за да продолжиме да ги зајакнуваме заштитните мерки, следењето и стандардите за спречување злоупотреба што се потребни за овие способности одговорно да се применуваат низ безбедносниот екосистем. Го воведуваме ова со почетна група партнери⁠ и планираме да продолжиме со проширување кон повеќе организации во наредните месеци.

Patch the Planet е иницијатива создадена за да им помогне на одржувачите да преминат од наоди кон поправки. Основана заедно со Trail of Bits и во соработка со HackerOne и Calif, финансираме стручни истражувачи за безбедност и им обезбедуваме Codex Security и нашите напредни модели за директно да работат со одржувачите на отворен код.

Софтверот со отворен код ги придвижува производите, јавните услуги, алатките за програмери и критичната инфраструктура во различни сектори. Ранливост во широко користена мрежна библиотека може да засегне илјадници потчинети системи. Сепак, многу од овие проекти ги одржуваат многу мали тимови со ограничено време и финансирање. Истражување на Фондацијата Linux и Харвард⁠(се отвора во нов прозорец) покажа дека 94 проценти од широко користените проекти што ги опфатило имале помалку од десет програмери одговорни за повеќе од 90 проценти од кодот додаден во текот на една година.

Како што ви овозможува побрзо пронаоѓање и закрпување на повеќе ранливости, така истовремено создава и повеќе работа за одржувачите, кои треба да прегледаат илјадници пријави, од кои голем број се лажни позитиви со низок квалитет. Одржувачите не треба да останат со уште повеќе пријави, без дополнителен капацитет да ги решаваат. Токму затоа Patch the Planet е изграден околу експертска човечка безбедносна ревизија.

Секој ангажман започнува со консултација помеѓу нашите истражувачи за безбедност и одржувачите на кои тие им помагаат. Одржувачите ги дефинираат своите приоритети, преференции и воспоставени процеси за обелоденување. Безбедносните истражувачи на Patch the Planet потоа управуваат со работата од почеток до крај — проверувајќи и дедуплицирајќи ги и ранливостите и закрпите пред тие да стигнат до одржувачите, со што значително се намалува товарот врз одржувачите и се забрзува санирањето.

Проектите што учествуваат добиваат ChatGPT Pro, условен пристап до Codex Security и кредити за API за основен развој, автоматизација за одржувачи и работни текови за издавање.

Почетниот петдневен спринт во повеќе проекти откри стотици проблеми за преглед, спои десетици закрпи со уште повеќе во тек, и изгради повторно употребливи работни текови за фазирање, анализа на варијанти, диференцијално тестирање и тестирање базирано на спецификации. Можете да прочитате повеќе на блогот на Trail of Bits овде⁠(се отвора во нов прозорец).

Откривањето ранливости е важно, но токму успешното применување на поправката го штити светот, а за тоа се потребни соработка и поддршка од заедницата.

Исто така, тесно соработуваме со влади и институции ширум светот за да ги зајакнеме нивните одбранбени способности во областа на сајбер-безбедноста и да ја заштитиме критичната инфраструктура. Тесно соработуваме со владата на САД и релевантните федерални агенции додека се подготвуваме за модели на вештачка интелигенција (ВИ) со сè поголеми сајбер-способности. Во изминатиот месец веќе воспоставивме партнерства за Trusted Access for Cyber со Австралија, Канада, Франција, Германија, Јапонија, Република Кореја и институции на ЕУ како ENISA (Европска агенција за сајбер-безбедност). Исто така, имаме сè поголемо партнерство засновано на доверба со владата на Обединетото Кралство во областа на сајбер-безбедноста, тестирањето и оценувањето, како и во други области од заемен интерес.

Планираме да работиме директно со квалификуваните оператори на критична инфраструктура, вклучително и владини мрежи, за да развиеме мерки за заштита прилагодени на системите со кои тие управуваат. Фокусот на оваа работа е напредната вештачка интелигенција да им биде покорисна на бранителите, а истовремено да им биде потешко на злонамерните актери да предизвикаат штета во реалниот свет.

Исто така, ќе работиме со корпоративни клиенти и доверливи партнери за да вклучиме поширок контекст и идентификатори за конкретните системи со кои управуваат или кои ги штитат, зајакнувајќи ги нашите заштитни мерки за сајбер-безбедност и нашата способност да спречиме штетна сајбер-активност поврзана со критични услуги.

Daybreak обединува модели, Codex Security, Patch the Planet, стручни истражувачи, одржувачи, безбедносни партнери, оператори на критична инфраструктура и доверливи контроли на пристап за да им помогне на бранителите да одговорат на предизвикот.

Организациите од јавниот и приватниот сектор можат да соработуваат со OpenAI Daybreak за да идентификуваат, потврдуваат и санираат ранливости во софтверот што го развиваат и на кој се потпираат. Програмерите и одржувачите можат да го користат Codex Security⁠ за кодот за кој се одговорни, да ги прегледаат наодите и да помогнат поправките да се применат. Безбедносните партнери и практичари можат да ги користат нашите гранични модели за да ги зајакнат своите одбранбени алатки и брзо да ги донесат тие можности до повеќе организации.

Целта е да се надмине користењето на модели за пронаоѓање повеќе ранливости и да се придвижиме кон свет со побезбеден софтвер и сајбер-отпорност.