Estamos a expandir o Daybreak para ajudar a democratizar a correção de software vulnerável à velocidade das máquinas. Por exemplo, aplicámos os nossos modelos para descobrir e gerar patches para vulnerabilidades críticas(abre numa nova janela) nos principais browsers, em infraestrutura de rede e em sistemas operativos como o FreeBSD e o kernel do Linux. Para ampliar o impacto destas capacidades:
- Codex Security: vamos lançar uma atualização ao plugin Codex Security, que incorpora o que aprendemos com a utilização interna e de clientes dos nossos modelos numa solução para acelerar o processo de descoberta e correção de vulnerabilidades em sistemas existentes, bem como impedir automaticamente que novas vulnerabilidades cheguem à produção.
- GPT‑5.5‑Cyber: Depois de uma pré-visualização inicial centrada apenas na permissividade, estamos a lançar a versão completa do GPT‑5.5‑Cyber através da nossa disponibilização limitada contínua a defensores de confiança. Este modelo estabelece um novo estado da arte no CyberGym, atingindo 85,6%, face a 81,8% do GPT‑5.5.
- Daybreak Cyber Partner Program: permite que parceiros de segurança alarguem os benefícios a mais organizações através dos nossos modelos mais capazes, com acesso de confiança nos seus produtos e serviços.
- Patch the Planet: uma iniciativa criada com a Trail of Bits, em colaboração com a HackerOne, a Calif, investigadores e responsáveis pela manutenção, para ajudar projetos open source amplamente utilizados a passar dos resultados às correções.
- Mais de 30 projetos open source comprometeram-se a participar, com participantes iniciais incluindo cURL, Go, Python, Sigstore e pyca/cryptography.
- Com o Patch the Planet, estamos a trabalhar com investigadores, responsáveis pela manutenção, empresas e parceiros para disponibilizar capacidades cibernéticas poderosas aos defensores, com acesso, governação e supervisão humana adequados. Ouça o Clint e o Dan falar sobre isto aqui(abre numa nova janela).
A IA mudou a física da cibersegurança. Os modelos de IA de fronteira têm vindo a acelerar cada vez mais a descoberta de vulnerabilidades. Historicamente, o ponto de estrangulamento era encontrar vulnerabilidades, mas agora os defensores estão sobrecarregados com o número de vulnerabilidades identificadas. Agora, o ponto de estrangulamento é corrigir vulnerabilidades.
Durante anos, encontrar vulnerabilidades graves exigia conhecimentos especializados raros, tempo e uma familiaridade profunda com sistemas complexos. Agora, os modelos conseguem navegar por grandes bases de código, raciocinar sobre percursos de ataque, validar hipóteses e revelar problemas de segurança que de outra forma poderiam permanecer escondidos. Os defensores precisam absolutamente de acesso a estas capacidades, e também de ferramentas para corrigir aquilo que conseguimos agora encontrar, antes que os atacantes o façam.
Os relatórios de vulnerabilidades, por si só, não protegem ninguém. O valor está em validar o problema, compreender o seu impacto, desenvolver e testar uma correção, coordenar a divulgação e ajudar as equipas a implementar a correção. Estamos a investir em conjunto com os nossos parceiros para melhorar estas etapas finais, de modo a potenciar os defensores e converter a capacidade dos modelos em redução de risco no mundo real.
As capacidades defensivas de fronteira não devem ficar concentradas nas mãos de poucos. O software está presente em todos os aspetos da vida, desde infraestruturas críticas a aplicações empresariais e redes governamentais. À medida que a IA muda o ritmo da descoberta de vulnerabilidades, os defensores em todo o mundo precisam de acesso democratizado a estes modelos para encontrar falhas, corrigi-las e proteger a sua infraestrutura antes que os atacantes consigam identificar e abusar dessas falhas.
O Daybreak reúne as capacidades cibernéticas de fronteira dos modelos da OpenAI, o Trusted Access for Cyber, os fluxos de trabalho do Codex Security e parceiros do ecossistema para ajudar defensores aprovados a validar vulnerabilidades, priorizar riscos, gerar e testar correções e produzir evidências dentro dos fluxos de trabalho de segurança e desenvolvimento existentes. O nosso objetivo é fornecer às organizações as ferramentas de que precisam para se manterem seguras, mesmo com a contínua aceleração do panorama de ciberameaças.
Desde o lançamento do Codex Security na cloud em pré-visualização de investigação em março, analisou mais de 30 milhões de commits em mais de 30 000 bases de código; revisores humanos assinalaram manualmente mais de 70 000 resultados como corrigidos, e foi determinado automaticamente que mais de 500 000 resultados foram corrigidos.
É esta a escala a que a correção tem agora de acontecer.
Criámos o Codex Security em torno de uma premissa simples: colocar o equivalente a um engenheiro de segurança ao lado de cada programador de software através da integração direta no Codex. Em vez de se limitar a gerar alertas, o Codex Security irá compreender o código da sua equipa e o respetivo modelo de ameaças (ou gerar um, se não existir), identificar vulnerabilidades plausíveis, determinar se o código afetado é alcançável, reunir evidências para fornecer passos de validação, desenvolver um patch direcionado e verificar o resultado. Os humanos mantêm o controlo sobre que resultados investigar, que alterações aplicar e que informações partilhar.
Hoje, estamos a lançar uma atualização ao plugin Codex Security que permite fluxos de trabalho de segurança defensiva prontos a usar. Os programadores podem executar análises aprofundadas ou rever alterações recentes, gerar relatórios com gravidade, localizações do código afetado, evidências de validação e orientações de remediação, rastrear percursos de ataque, criar modelos de ameaças, validar resultados e gerar patches específicos da base de código para revisão.
Configure uma análise para abranger uma base de código completa, um subconjunto da base de código ou uma alteração ou commit específico.
O plugin também consegue fazer a triagem e validar resultados existentes de scanners, avisos de segurança, relatórios de bug bounty ou sistemas de tickets, e depois automatizar a geração de patches à escala para resolver rapidamente um backlog de vulnerabilidades. Quando o Codex Security conclui uma análise, também pode exportar para um sistema de gestão de vulnerabilidades existente ou integrar-se em ferramentas com ficheiros SARIF, consultas CodeQL e muito mais. O plugin torna estas capacidades muito mais acessíveis, quer para suportar pipelines automatizados com o Codex CLI, quer para as integrar em fluxos de trabalho dos programadores na aplicação Codex.
Estamos a lançar uma atualização do GPT‑5.5‑Cyber, o nosso modelo simultaneamente mais permissivo e mais capaz para trabalho avançado e autorizado em cibersegurança.
A nossa pré-visualização inicial do GPT‑5.5‑Cyber foi concebida sobretudo para reduzir recusas desnecessárias em fluxos de trabalho especializados. Esta atualização vai mais longe. É o nosso modelo mais forte até à data para encontrar e ajudar a corrigir vulnerabilidades de software, preservando a inteligência de uso geral do GPT‑5.5 e a capacidade de trabalhar em tarefas longas e complexas.
O modelo consegue sustentar análises mais profundas em grandes bases de código: identificar componentes relevantes para a segurança, rastrear se o código vulnerável é alcançável, validar problemas prováveis em ambientes controlados, desenvolver e testar patches e preparar evidências para revisão humana. O objetivo é ajudar os defensores a percorrer todo o ciclo de remediação — não apenas produzir mais resultados.
No CyberGym, que mede se um agente consegue reproduzir vulnerabilidades conhecidas em ambientes de software, o GPT‑5.5‑Cyber atualizado atingiu 85,6% em avaliações de modelo único, em comparação com 81,8% para o GPT‑5.5. Esta é a pontuação mais alta no CyberGym que medimos num único modelo.
O GPT‑5.5‑Cyber também superou o GPT‑5.5 em dois benchmarks exigentes de segurança no mundo real: 39,5% contra 25,95% no ExploitGym, que testa se os agentes conseguem transformar vulnerabilidades conhecidas em exploits funcionais que alcançam execução de código não autorizada. No SEC-bench Pro, que avalia a descoberta de vulnerabilidades em tarefas de longo horizonte e a geração de provas de conceito em alvos de software complexos, o GPT‑5.5‑Cyber atingiu 69,8%, em comparação com 63,1% para o GPT‑5.5.
Os benchmarks são apenas uma parte da história. O que importa na prática é se um modelo consegue encontrar vulnerabilidades reais, distinguir problemas acionáveis do ruído e ajudar os defensores a implementar correções com segurança. Continuamos a avaliar o desempenho do modelo em repositórios complexos e fluxos de trabalho reais de remediação à medida que as divulgações coordenadas são concluídas.
Temos mantido um diálogo contínuo com o Governo dos EUA sobre a nossa abordagem à cibersegurança, incluindo os anúncios de hoje e a nossa preparação para os próximos lançamentos de modelos. Isto inclui a colaboração contínua com o Center for AI Standards and Innovation (CAISI) em testes de pré-implementação para o GPT‑5.5 e o 5.5-Cyber, e trabalho com o Office of the National Cyber Director (ONCD) e o Office of Science and Technology Policy (OSTP) na implementação da recente Ordem Executiva(abre numa nova janela) e das normas setoriais associadas.
Para a maioria dos defensores, o GPT‑5.5 com Trusted Access for Cyber, juntamente com o Codex Security, continua a ser o ponto de partida certo. O GPT‑5.5‑Cyber destina-se a defensores verificados cujo trabalho autorizado exige as nossas capacidades cibernéticas mais avançadas e um comportamento mais permissivo, juntamente com verificação reforçada, monitorização, controlos delimitados e revisão. No trabalho inicial do Daybreak, o GPT‑5.5 e o Codex Security ajudaram os defensores a identificar e validar vulnerabilidades em sistemas amplamente utilizados, incluindo Firefox, V8, Safari, OpenBSD, FreeBSD e implementações de HTTP/2.
No âmbito desta expansão, estamos também a lançar o OpenAI Daybreak Cyber Partner Program com fornecedores líderes de software e serviços de segurança. Através do programa, os parceiros participantes podem usar o GPT‑5.5 com Trusted Access for Cyber — o nosso principal modelo para a maioria dos fluxos de trabalho de cibersegurança defensiva — nos produtos e serviços de segurança que fornecem aos clientes. Isto permite que os seus clientes beneficiem das capacidades defensivas do modelo e tornem o respetivo software mais resiliente, mas mantém o acesso direto ao modelo reservado aos parceiros participantes.
Também iremos colaborar com os parceiros do programa para continuar a reforçar as salvaguardas, a monitorização e as normas de prevenção de abusos necessárias para disponibilizar estas capacidades de forma responsável em todo o ecossistema de segurança. Estamos a implementar isto com um conjunto inicial de parceiros e planeamos continuar a expandir para mais organizações nos próximos meses.
Patch the Planet é uma iniciativa criada para ajudar os responsáveis pela manutenção a passar dos resultados às correções. Criada com a Trail of Bits e em colaboração com a HackerOne e a Calif, estamos a financiar investigadores de segurança especializados e a equipá-los com o Codex Security e os nossos modelos avançados para trabalharem diretamente com responsáveis pela manutenção de projetos open source.
O software open source sustenta produtos, serviços públicos, ferramentas para programadores e infraestruturas críticas em vários setores. Uma vulnerabilidade numa biblioteca de rede amplamente utilizada pode afetar milhares de sistemas a jusante. No entanto, muitos destes projetos são mantidos por equipas muito pequenas, com tempo e financiamento limitados. Um estudo da Linux Foundation e de Harvard(abre numa nova janela) concluiu que 94% dos projetos amplamente utilizados que analisou tinham menos de dez programadores responsáveis por mais de 90% do código adicionado num ano.
À medida que a IA permite encontrar e corrigir mais vulnerabilidades mais rapidamente, também cria mais trabalho para os responsáveis pela manutenção, que precisam de analisar milhares de relatórios, muitos dos quais são falsos positivos de baixa qualidade. Os responsáveis pela manutenção não devem ficar com mais relatórios e sem capacidade adicional para resolver os problemas. É por isso que Patch the Planet assenta numa revisão de segurança feita por especialistas humanos.
Cada colaboração começa com uma consulta entre os nossos investigadores de segurança e os responsáveis pela manutenção que estão a apoiar. Os responsáveis pela manutenção definem as suas prioridades, preferências e processos de divulgação estabelecidos. Os investigadores de segurança do Patch the Planet gerem então o trabalho de ponta a ponta — validando e eliminando duplicados tanto de vulnerabilidades como de correções antes de chegarem aos responsáveis pela manutenção, reduzindo significativamente a carga sobre estes e acelerando a remediação.
Os projetos participantes recebem ChatGPT Pro, acesso condicional ao Codex Security e créditos de API para desenvolvimento principal, automatização de manutenção e fluxos de trabalho de lançamento.
O sprint inicial de cinco dias, abrangendo vários projetos, identificou centenas de problemas para análise, integrou dezenas de correções, com mais em curso, e criou fluxos de trabalho reutilizáveis de fuzzing, análise de variantes, testes diferenciais e testes baseados em especificações. Pode ler mais no blog da Trail of Bits aqui(abre numa nova janela).
Encontrar vulnerabilidades é importante, mas é aplicar a correção que protege o mundo, e isso exige colaboração e apoio da comunidade.
Também estamos a colaborar estreitamente com governos e instituições em todo o mundo para reforçar as suas capacidades de cibersegurança defensiva e proteger infraestruturas críticas. Temos trabalhado de perto com o Governo dos EUA e agências federais relevantes à medida que nos preparamos para modelos de IA cada vez mais capazes em matéria de cibersegurança. No último mês, já estabelecemos parcerias no âmbito do Trusted Access for Cyber com a Austrália, o Canadá, a França, a Alemanha, o Japão, a República da Coreia e instituições da UE como a ENISA. Também temos uma parceria crescente e de confiança com o Governo do Reino Unido em matéria de cibersegurança, testes e avaliação, e outras áreas de interesse mútuo.
Planeamos trabalhar diretamente com operadores elegíveis de infraestruturas críticas, incluindo redes governamentais, para desenvolver salvaguardas adaptadas aos sistemas que operam. O foco deste trabalho é tornar a IA avançada mais útil para os defensores, ao mesmo tempo que dificulta que agentes maliciosos causem danos no mundo real.
Também iremos trabalhar com clientes empresariais e parceiros de confiança para incorporar contexto mais amplo e identificadores relativos aos sistemas específicos que operam ou protegem, reforçando as nossas salvaguardas de cibersegurança e a nossa capacidade de prevenir atividade cibernética nociva envolvendo serviços críticos.
Daybreak reúne modelos, Codex Security, Patch the Planet, investigadores especializados, responsáveis pela manutenção, parceiros de segurança, operadores de infraestruturas críticas e controlos de acesso de confiança para ajudar defensores humanos a estar à altura do desafio.Organizações dos setores público e privado podem trabalhar com o OpenAI Daybreak para identificar, validar e remediar vulnerabilidades no software que criam e de que dependem. Os programadores e responsáveis pela manutenção podem executar o Codex Security em código próprio, rever os resultados e ajudar a implementar correções. Os parceiros e profissionais de segurança podem usar os nossos modelos de fronteira para reforçar as suas ferramentas defensivas e levar rapidamente essas capacidades a mais organizações.
O objetivo é ir além da utilização de modelos para encontrar mais vulnerabilidades, rumo a um mundo com software mais seguro e resiliência cibernética.
