介紹 Aardvark：OpenAI 的智能代理安全研究員

今天，我們正式推出 Aardvark，一個採用 GPT‑5 技術的智能代理安全研究員。

軟件安全是科技發展中最重要、也是最具挑戰性的領域之一。每年，在企業與開源程式碼庫中都會發現成千上萬個新的漏洞。防禦者面臨著艱鉅的任務，必須搶在敵對者之前發現並修補這些漏洞。OpenAI 致力將這種平衡導向有利於防禦者的一方。

Aardvark 代表了 AI 和資訊安全研究的一項突破：一個自主智能代理，可以幫助開發商和資訊安全團隊大規模地發現並修復安全漏洞。Aardvark 現已開放私人測試版，以驗證並優化其在實際應用中的能力。

Aardvark 持續分析原程式碼儲存庫，以識別漏洞、評估可被利用程度、優先排序嚴重性，並提出精準的修補建議。

Aardvark 的運作方式理是監控程式碼庫的提交紀錄與變更內容，藉此找出安全性漏洞、分析其可能遭受攻擊的途徑，並提供修復建議。Aardvark 不依賴模糊測試或軟件組成分析等傳統的程式分析技術。它以大型語言模型的推理能力與工具運用，來理解程式碼的運作方式並找出弱點。Aardvark 就像人類安全研究人員一樣：它會透過閱讀和分析程式碼、撰寫與執行測試、使用各種工具和其他方式尋找漏洞。

Aardvark 使用一個多層級的工作流程來檢測、解釋與解決漏洞：

• 分析：這個過程從分析完整儲存庫開始，並生成一個威脅模型，以反映其對項目的安全目標與設計的理解。
• 提交掃描：當有新程式碼被提交時，它會檢查提交層級的變更內容，並比對整個程式碼儲存庫和威脅模型來掃描漏洞。當首次連線到儲存庫時，Aardvark 將掃描其歷史記錄以識別現有問題。Aardvark 會逐步解釋它發現的漏洞，並為程式碼加上註解以供人工審查。
• 驗證：一旦 Aardvark 識別出潛在的漏洞，它將嘗試在一個隔離的沙箱環境中觸發該漏洞，藉此確認其可被利用的程度。Aardvark 描述了所採取的步驟，以協助確保向用戶提供準確、高品質而誤報率低的分析。
• 修補:Aardvark 整合了 OpenAI Codex 以協助修補它所發現的漏洞。它為每個發現附加一個由 Codex 生成並經 Aardvark 掃描的修補程式，以供人工審查並進行高效率的一鍵修補。

Aardvark 與工程師並肩合作，整合 GitHub、Codex 及現有工作流程，提供清晰、可執行的分析結果，而不會拖慢開發速度。儘管 Aardvark 是針對安全性而打造的，但我們在測試時發現，它同樣可以找出像是邏輯缺陷、修補不完全和私隱議題等漏洞。

Aardvark 已經投入使用數月，在 OpenAI 的內部程式碼庫和外部 Alpha 測試夥伴的程式碼庫中持續運作。在 OpenAI 內部，它發現了關鍵的安全漏洞，並為 OpenAI 的防禦能力作出了貢獻。合作夥伴特別指出其分析的深入程度，Aardvark 可以發現只有在複雜情況下才會出現的問題。

在「黃金」 (經過驗證、品質極高) 儲存庫的基準測試中，Aardvark 辨識出 92% 已知與人工植入的漏洞，顯示出高召回率及實際環境中的效能表現。

Aardvark 也已被運用在開源項目上，在這些項目中發現了許多漏洞，我們已負責任地披露這些漏洞，其中十個已獲得通用漏洞揭露 (CVE) 識別碼。

作為數十年來開放研究和負責任披露的受益者，我們致力於提供反饋，貢獻工具與研究發現，使數碼生態系統對所有人更加安全。我們計劃為特定的非商業開源軟件庫提供免費掃描服務，以促進開源軟件生態系統和供應鏈的安全性。

我們最近更新了⁠我們的對外協調披露政策⁠，這項政策以開發人員為中心，專注於協作以及能產生廣泛且持續影響的方式，而非以嚴苛的披露時程給開發人員施加壓力。我們預見 Aardvark 這類工具將促使更多的漏洞浮現，並希望能以可持續的方式合作，來實現長期的穩健性目標。

軟件現已成為每個產業的骨幹，這意味著軟體漏洞對企業、基礎設施和社會而言是一種系統性風險。單是 2024 年，就有超過 40,000 個 CVE 被報告。我們的測試結果顯示，約有 1.2% 的程式碼在提交時會伴隨漏洞，這些細微的改動可能引發不成比例的嚴重後果。

Aardvark 代表了一種新的「防禦者優先」模型：一個智能代理安全研究員，透過在程式碼演進過程中提供持續性保護，與團隊建立夥伴關係。透過及早發現漏洞、驗證實際環境中的可被利用程度，並提供明確的修補方案，Aardvark 能在不妨礙創新發展的同時加強安全性。我們致力於擴展安全專業技術的可及性。我們將從私人測試版開始，隨著經驗累積會逐步開放給更多用戶。

我們邀請特定的合作夥伴體驗 Aardvark 私人測試版。參與者將取得搶先體驗資格，並與我們的團隊直接協作，優化偵測精確度、驗證流程與報告使用體驗。

我們正在尋求在不同的環境下驗證其性能表現。如果您的組織或開源項目有興趣加入，您可以在此申請⁠。