Daybreak: ferramentas para proteger todas as organizações do mundo

Estamos expandindo o Daybreak⁠ para ajudar a democratizar a correção de software vulnerável em velocidade de máquina. Por exemplo, usamos nossos modelos para descobrir e gerar patches para vulnerabilidades críticas⁠(abre em uma nova janela) em grandes navegadores, infraestrutura de rede e sistemas operacionais como FreeBSD e o kernel do Linux. Para ampliar o impacto dessas capacidades:

• Codex Security: estamos lançando uma atualização para o plugin do Codex Security⁠, que transforma o que aprendemos com o uso dos nossos modelos por equipes internas e por clientes em uma solução para acelerar o processo de descoberta e correção de vulnerabilidades em sistemas existentes, além de impedir automaticamente que novas vulnerabilidades sequer cheguem à produção.
• GPT‑5.5‑Cyber: Após uma prévia inicial voltada apenas à permissividade, estamos lançando a versão completa do GPT‑5.5‑Cyber por meio do nosso lançamento limitado contínuo para defensores de confiança. Este modelo estabelece um novo estado da arte no CyberGym, chegando a 85,6%, em comparação com 81,8% para o GPT‑5.5.
• Daybreak Cyber Partner Program⁠: permite que parceiros de segurança ampliem esses benefícios para mais organizações usando nossos modelos mais capazes com acesso confiável em seus produtos e serviços.
• Patch the Planet⁠: uma iniciativa criada com a Trail of Bits, em colaboração com HackerOne, Calif, pesquisadores e mantenedores, para ajudar projetos de código aberto amplamente usados a passar dos achados às correções.
  • Mais de 30 projetos de código aberto se comprometeram a participar, com participantes iniciais incluindo cURL, Go, Python, Sigstore e pyca/cryptography.
  • Com o Patch the Planet, estamos trabalhando com pesquisadores, mantenedores, empresas e parceiros para disponibilizar capacidades cibernéticas avançadas a defensores com acesso, governança e supervisão humana adequados. Confira o que Clint e Dan têm a dizer sobre isso aqui⁠(abre em uma nova janela).

A IA mudou a dinâmica da cibersegurança. Modelos de IA de fronteira vêm acelerando cada vez mais a descoberta de vulnerabilidades. Historicamente, o gargalo era encontrar vulnerabilidades, mas agora os defensores estão sobrecarregados com o volume de vulnerabilidades encontradas. Agora, o gargalo passou a ser corrigir vulnerabilidades.

Durante anos, encontrar vulnerabilidades graves exigia conhecimento especializado raro, tempo e familiaridade profunda com sistemas complexos. Hoje, os modelos podem navegar por grandes bases de código, raciocinar sobre caminhos de ataque, validar hipóteses e revelar problemas de segurança que, de outra forma, poderiam permanecer ocultos. Os defensores precisam ter acesso a essas capacidades e também a ferramentas para corrigir aquilo que agora conseguimos encontrar antes que atacantes consigam explorar essas falhas.

Relatórios de vulnerabilidades, por si só, não protegem ninguém. O valor está em validar o problema, entender seu impacto, desenvolver e testar um patch, coordenar a divulgação e ajudar as equipes a implantar a correção. Estamos investindo junto com nossos parceiros para melhorar essas etapas posteriores, fortalecendo os defensores e convertendo a capacidade dos modelos em redução de riscos no mundo real.

As capacidades defensivas de fronteira não devem ficar concentradas nas mãos de poucos. O software está presente em todos os aspectos da vida, de infraestrutura crítica a aplicações corporativas e redes governamentais. À medida que a IA muda o ritmo da descoberta de vulnerabilidades, defensores de todos os lugares precisam de acesso democratizado a esses modelos para encontrar, corrigir e proteger sua infraestrutura antes que atacantes possam identificar e explorar essas falhas.

O Daybreak reúne as capacidades cibernéticas de fronteira dos modelos da OpenAI, o Trusted Access for Cyber, fluxos de trabalho do Codex Security e parceiros do ecossistema para ajudar defensores aprovados a validar vulnerabilidades, priorizar riscos, gerar e testar correções e produzir evidências dentro dos fluxos de trabalho de segurança e desenvolvimento existentes. Nosso objetivo é oferecer às organizações as ferramentas de que precisam para se manter seguras à medida que o cenário de ameaças cibernéticas continua acelerando.

Desde o lançamento do Codex Security na nuvem em prévia de pesquisa, em março, ele varreu mais de 30 milhões de commits em mais de 30 mil bases de código; revisores humanos marcaram manualmente mais de 70 mil achados como corrigidos e mais de 500 mil achados foram identificados automaticamente como corrigidos.

É nessa escala que a correção precisa acontecer agora.

Criamos o Codex Security com base em uma premissa simples: colocar o equivalente a um engenheiro de segurança ao lado de cada pessoa desenvolvedora de software por meio da integração direta com o Codex. Em vez de apenas gerar alertas, o Codex Security vai entender o código e o modelo de ameaças da sua equipe (ou gerar um, se ele não existir), identificar vulnerabilidades plausíveis, determinar se o código afetado é alcançável, reunir evidências para fornecer etapas de validação, desenvolver um patch direcionado e verificar o resultado. As pessoas continuam no controle de quais achados investigar, quais mudanças aplicar e quais informações compartilhar.

Hoje, estamos lançando uma atualização para o plugin do Codex Security⁠ que habilita fluxos de trabalho de segurança defensiva prontos para uso. Desenvolvedores podem executar varreduras aprofundadas ou revisar alterações recentes, gerar relatórios com gravidade, áreas do código afetadas, evidências de validação e orientações de remediação, rastrear caminhos de ataque, criar modelos de ameaças, validar achados e gerar patches específicos para a base de código para revisão.

O plugin⁠ também pode triar e validar achados existentes de scanners, avisos de segurança, relatórios de bug bounty ou sistemas de chamados e, em seguida, automatizar a geração de patches em escala para fechar rapidamente um backlog de vulnerabilidades. Quando o Codex Security conclui uma varredura, ele também pode exportar para um sistema de gerenciamento de vulnerabilidades existente ou se integrar a ferramentas com arquivos SARIF, consultas CodeQL e muito mais. O plugin torna essas capacidades muito mais acessíveis para oferecer suporte a pipelines automatizados com o Codex CLI ou para integrá-las aos fluxos de trabalho de desenvolvimento no aplicativo Codex.

Estamos lançando uma atualização para o GPT‑5.5‑Cyber, nosso modelo mais permissivo e mais capaz para trabalhos avançados e autorizados de cibersegurança.

Nossa prévia inicial do GPT‑5.5‑Cyber foi criada principalmente para reduzir recusas desnecessárias em fluxos de trabalho especializados. Esta atualização vai além. É nosso modelo mais forte até agora para encontrar vulnerabilidades de software e ajudar a corrigi-las, mantendo a inteligência de uso geral do GPT‑5.5 e a capacidade de atuar em tarefas longas e complexas.

O modelo é capaz de sustentar análises mais profundas em grandes bases de código: identificar componentes relevantes para a segurança, rastrear se o código vulnerável é alcançável, validar prováveis problemas em ambientes controlados, desenvolver e testar patches e preparar evidências para revisão humana. O objetivo é ajudar os defensores a percorrer todo o ciclo de remediação, não simplesmente produzir mais achados.

No CyberGym, que mede se um agente consegue reproduzir vulnerabilidades conhecidas em ambientes de software, o GPT‑5.5‑Cyber atualizado alcançou 85,6% em avaliações com um único modelo, em comparação com 81,8% para o GPT‑5.5. Esta é a maior pontuação no CyberGym que já medimos em um único modelo.

O GPT‑5.5‑Cyber também superou o GPT‑5.5 em dois benchmarks exigentes de segurança do mundo real: 39,5% contra 25,95% no ExploitGym, que testa se agentes conseguem transformar vulnerabilidades conhecidas em exploits funcionais que obtêm execução de código não autorizada. No SEC-bench Pro, que avalia descoberta de vulnerabilidades de longo horizonte e geração de provas de conceito em alvos de software complexos, o GPT‑5.5‑Cyber alcançou 69,8%, em comparação com 63,1% para o GPT‑5.5.

Benchmarks são apenas uma parte da história. Na prática, o que importa é se um modelo consegue encontrar vulnerabilidades reais, separar problemas acionáveis do ruído e ajudar defensores a integrar correções com segurança. Continuamos avaliando o desempenho do modelo em repositórios complexos e fluxos de trabalho reais de remediação à medida que os processos de divulgação coordenada são concluídos.

Mantemos um diálogo contínuo com o governo dos EUA sobre nossa abordagem cibernética, incluindo os anúncios de hoje e nossa preparação para os próximos lançamentos de modelos. Isso inclui a colaboração contínua com o Center for AI Standards and Innovation (CAISI) em testes pré-implantação para o GPT‑5.5 e o 5.5-Cyber, além do trabalho com o Office of the National Cyber Director (ONCD) e o Office of Science and Technology Policy (OSTP) na implementação do Decreto Executivo⁠(abre em uma nova janela) recente e dos padrões setoriais associados.

Para a maioria dos defensores, o GPT‑5.5 com Trusted Access for Cyber e Codex Security continua sendo o ponto de partida certo. O GPT‑5.5‑Cyber se destina a defensores verificados cujo trabalho autorizado exige nossas capacidades cibernéticas mais avançadas e comportamento mais permissivo, em conjunto com verificação mais robusta, monitoramento, controles com escopo definido e revisão. Nos trabalhos iniciais do Daybreak, o GPT‑5.5 e o Codex Security ajudaram defensores a identificar e validar vulnerabilidades em sistemas amplamente usados, incluindo Firefox, V8, Safari, OpenBSD, FreeBSD e implementações de HTTP/2⁠.

Como parte dessa expansão, também estamos lançando o OpenAI Daybreak Cyber Partner Program ⁠com os principais provedores de software e serviços de segurança. Por meio do programa, os parceiros participantes podem usar o GPT‑5.5 com o Trusted Access for Cyber — nosso principal modelo para a maioria dos fluxos de trabalho de cibersegurança defensiva — nos produtos e serviços de segurança que oferecem aos clientes. Isso permite que os clientes desses parceiros se beneficiem das capacidades defensivas do modelo e tornem seu software mais resiliente, ao mesmo tempo que mantém o acesso direto ao modelo nas mãos dos parceiros participantes.

Também vamos colaborar com os parceiros do programa para continuar fortalecendo as salvaguardas, o monitoramento e os padrões de prevenção contra abusos necessários para implantar essas capacidades com responsabilidade em todo o ecossistema de segurança. Estamos iniciando a implementação com um grupo inicial de parceiros⁠ e planejamos continuar expandindo para mais organizações nos próximos meses.

O Patch the Planet é uma iniciativa criada para ajudar mantenedores a passar dos achados às correções. A iniciativa foi criada com a Trail of Bits e, em colaboração com a HackerOne e a Calif, estamos financiando pesquisadores especialistas em segurança e oferecendo a eles o Codex Security e nossos modelos avançados para trabalhar diretamente com mantenedores de código aberto.

O software de código aberto impulsiona produtos, serviços públicos, ferramentas de desenvolvimento e infraestrutura crítica em diferentes setores. Uma vulnerabilidade em uma biblioteca de rede amplamente usada pode afetar milhares de sistemas que dependem dela. Ainda assim, muitos desses projetos são mantidos por equipes muito pequenas, com tempo e financiamento limitados. Uma pesquisa da Linux Foundation e de Harvard⁠(abre em uma nova janela) constatou que 94% dos projetos amplamente usados analisados tinham menos de dez desenvolvedores responsáveis por mais de 90% do código adicionado em um ano.

À medida que a IA torna possível encontrar e corrigir mais vulnerabilidades com mais rapidez, ela também cria mais trabalho para os mantenedores, que precisam filtrar milhares de relatórios, muitos deles falsos positivos de baixa qualidade. Mantenedores não devem ficar com mais relatórios e sem capacidade adicional para corrigi-los. É por isso que o Patch the Planet tem como base a revisão de segurança feita por especialistas humanos.

Cada colaboração começa com uma consulta entre nossos pesquisadores de segurança e os mantenedores que eles estão ajudando. Os mantenedores definem suas prioridades, preferências e processos de divulgação de vulnerabilidades já estabelecidos. Em seguida, os pesquisadores de segurança do Patch the Planet gerenciam o trabalho de ponta a ponta, validando e deduplicando tanto vulnerabilidades quanto patches antes que cheguem aos mantenedores, reduzindo significativamente a carga sobre eles e acelerando a remediação.

Os projetos participantes recebem o ChatGPT Pro, acesso condicional ao Codex Security e créditos de API para desenvolvimento principal, automação para mantenedores e fluxos de trabalho de lançamento.

O sprint inicial de cinco dias em vários projetos revelou centenas de problemas para revisão, integrou dezenas de patches, com outros em andamento, e criou fluxos de trabalho reutilizáveis de fuzzing, análise de variantes, testes diferenciais e testes baseados em especificação. Você pode ler mais no blog da Trail of Bits aqui⁠(abre em uma nova janela).

Encontrar vulnerabilidades é importante, mas é a correção integrada que protege o mundo, e isso exige colaboração e apoio da comunidade.

Também estamos colaborando de perto com governos e instituições do mundo todo para fortalecer suas capacidades defensivas de cibersegurança e proteger a infraestrutura crítica. Temos trabalhado em estreita colaboração com o governo dos EUA e órgãos federais relevantes à medida que nos preparamos para modelos de IA com capacidades cibernéticas cada vez maiores. No último mês, já estabelecemos parcerias de Trusted Access for Cyber com a Austrália, o Canadá, a França, a Alemanha, o Japão, a República da Coreia e instituições da UE, como a ENISA. Também temos uma parceria de confiança e crescente com o governo do Reino Unido em cibersegurança, testes e avaliação, além de outras áreas de interesse mútuo.

Planejamos trabalhar diretamente com operadores elegíveis de infraestrutura crítica, incluindo redes governamentais, para desenvolver salvaguardas adaptadas aos sistemas que operam. O foco desse trabalho é tornar a IA avançada mais útil para defensores, dificultando ao mesmo tempo que agentes mal-intencionados causem danos no mundo real.

Também trabalharemos com clientes empresariais e parceiros de confiança para incorporar mais contexto e identificadores mais amplos sobre os sistemas específicos que eles operam ou protegem, fortalecendo nossas salvaguardas de cibersegurança e nossa capacidade de prevenir atividades cibernéticas prejudiciais envolvendo serviços críticos.

O Daybreak reúne modelos, Codex Security, Patch the Planet, pesquisadores especialistas, mantenedores, parceiros de segurança, operadores de infraestrutura crítica e controles de acesso confiável para ajudar defensores humanos a enfrentar esse desafio.Organizações dos setores público e privado podem trabalhar com o OpenAI Daybreak para identificar, validar e remediar vulnerabilidades no software que criam e do qual dependem. Desenvolvedores e mantenedores podem executar o Codex Security⁠ em código próprio, revisar os achados e ajudar a integrar correções. Parceiros e profissionais de segurança podem usar nossos modelos de fronteira para fortalecer suas ferramentas defensivas e levar essas capacidades rapidamente a mais organizações.

O objetivo é ir além do uso de modelos para encontrar mais vulnerabilidades, rumo a um mundo com software mais seguro e resiliência cibernética.