OpenAI usa IA e revisão humana para corrigir falhas em 19 projetos

A equipe valida a falha antes de falar com o mantenedor

A iniciativa muda o foco de apenas encontrar vulnerabilidades para também desenvolver correções e testes. Engenheiros de segurança revisam os achados antes de enviá-los aos projetos, filtram resultados fracos e trabalham com os mantenedores pelos canais de cada projeto.

Cada colaboração começa com uma conversa com o mantenedor. A equipe define se deve validar vulnerabilidades, criar patches, melhorar processos de CI/CD ou apoiar um trabalho de segurança mais longo. O projeto decide onde o esforço ajuda mais.

Os participantes iniciais incluem cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, the Go project, freenginx, Python e python.org. A OpenAI diz que outros projetos entrarão em rodadas futuras. HackerOne e Calif também participarão com triagem de vulnerabilidades, divulgação coordenada e buscas focadas por novos problemas.

A Trail of Bits criou fluxos para eliminar duplicatas, fazer triagem e gerar patches. Esses fluxos também podem ajudar os projetos depois das primeiras correções. O comunicado não informa quais vulnerabilidades a equipe encontrou nem quais patches já chegaram a cada projeto, porque muitos casos ainda passam por divulgação coordenada.

Os resultados incluem um laboratório de fuzzing em menos de um dia

Os pesquisadores receberam acesso a modelos descritos pela OpenAI como seus mais capazes para cibersegurança, além do Codex Security. Os projetos participantes recebem acesso ao ChatGPT Pro, acesso condicional ao Codex Security e créditos de API para desenvolvimento, automação de tarefas de mantenedores e fluxos de lançamento.

A equipe usou execuções repetidas de Codex /goal com GPT‑5.5‑Cyber para montar um laboratório de fuzzing. O sistema cobriu dezenas de pontos de entrada, variantes de compilação, plataformas e novas sementes de teste, usando dados de cobertura para ampliar a busca e descartar candidatos fracos.

A Trail of Bits afirma que o laboratório ficou pronto em menos de um dia. A empresa estima que a mesma estrutura levaria pelo menos várias semanas para ser construída manualmente. Esse prazo é uma estimativa da Trail of Bits, não uma comparação independente apresentada no anúncio.

Outro fluxo reaproveita o histórico público de vulnerabilidades. O sistema ingere CVEs históricas, extrai padrões, procura falhas relacionadas no código, remove duplicatas, filtra falsos positivos prováveis e encaminha as evidências mais fortes para confirmação manual por engenheiros.

A primeira rodada também gerou harnesses de fuzzing, pipelines para analisar CVEs históricas, sistemas de testes diferenciais, modelos de ameaça, conjuntos de testes ampliados e fluxos para corrigir severidade e gerar patches. A OpenAI afirma que a análise de variantes encontrou muitos problemas adicionais, mas o texto divulgado termina antes de detalhar esses casos.

O anúncio apresenta resultados da própria OpenAI e da Trail of Bits. Ele registra centenas de problemas identificados e dezenas de patches incorporados, mas não publica uma lista completa das falhas, métricas de qualidade, taxa de falsos positivos ou detalhes dos projetos afetados. A iniciativa tenta responder a um limite reconhecido pela própria empresa: descobrir vulnerabilidades mais rápido não protege usuários se os mantenedores não conseguem validar e corrigir os problemas.