Инициатива Patch the Planet: глобальная координация для устранения уязвимостей с помощью ИИ

Суть

OpenAI анонсировала инициативу Patch the Planet, направленную на координацию усилий по поиску и устранению критических уязвимостей в программном обеспечении с открытым исходным кодом. В рамках этой программы передовые модели искусственного интеллекта (ИИ) успешно обнаружили серьезные уязвимости в языке программирования PHP до того, как ими смогли воспользоваться злоумышленники. Это событие подчеркивает растущую роль ИИ в обеспечении глобальной кибербезопасности и требует новых подходов к координации между разработчиками, исследователями и государством.

Контекст

За последние два месяца коалиция разработчиков, исследователей и поставщиков услуг безопасности работала над устранением критических недостатков в PHP — языке, на котором работают миллионы веб-сайтов. Компания Calif выявила критическую уязвимость, используя модель GPT-5.6 Sol в рамках инициативы Patch the Planet. Параллельно компания Wiz независимо обнаружила и сообщила о тех же проблемах.

Разработчики PHP возглавили процесс создания исправлений, а партнеры, включая Wiz и Cloudflare, предоставили техническую поддержку. То, что передовые ИИ-модели смогли найти эти уязвимости раньше атакующих, открыло так называемое «окно защитника» (Defender's Window) — время, необходимое для подготовки патчей и защитных мер до публичного раскрытия информации.

Детали

Для поддержки организаций с ограниченными ресурсами в сфере безопасности OpenAI выделила 1 млрд долларов в виде субсидированного доступа к системе Daybreak через программу Daybreak for Frontline Defenders. Кроме того, компания предоставляет подписки на Codex для всех разработчиков проектов с открытым исходным кодом (Codex for OSS) и напрямую спонсирует такие организации, как Rust Foundation.

Для пользователей PHP выпущен специальный инструмент проверки версий и сопутствующий навык Codex, который помогает операторам выявлять уязвимые системы.

Опираясь на этот опыт, предложена пятиэтапная структура реагирования на уязвимости:

1. Валидация и исправление уязвимости разработчиками и исследователями, включая состязательное тестирование (adversarial testing) с помощью передовых моделей.
2. Предоставление затронутым организациям времени на подготовку защитных мер до раскрытия информации.
3. Координация с правительственными партнерами. В случае с PHP велось сотрудничество с CISA, ONCD и Super Intelligence Force при Белом доме.
4. Подготовка обновлений для всех затронутых продуктов и сервисов.
5. Публикация руководств и поддержка развертывания патчей.

Анализ

Использование ИИ в кибербезопасности имеет ярко выраженную двойственную природу. Те же масштабируемые возможности, которые позволяют находить уязвимости на уровне всего интернета, могут помочь атакующим быстро разрабатывать наступательные инструменты и эксплойты.

Именно поэтому OpenAI калибрует дополнительные блокирующие классификаторы для системы Daybreak, чтобы снизить потенциал ее неправомерного использования. Это сложный компромисс: меры безопасности, призванные предотвратить злоупотребления, могут блокировать и легитимную работу исследователей. Поиск баланса между сохранением возможностей для защитников и ограничением вредоносного использования становится центральной задачей для разработчиков передовых моделей.

Перспектива

Ожидается, что количество подобных серьезных находок в ближайшие месяцы резко возрастет. По мере развития возможностей моделей фокус будет смещаться с простого поиска ошибок на создание более безопасного программного обеспечения с самого начала. Модели для написания кода смогут помогать разработчикам выбирать безопасные настройки по умолчанию, правильно использовать библиотеки безопасности и выявлять рискованные паттерны прямо в процессе написания кода. Успех этой парадигмы будет зависеть от того, насколько эффективно сообщество сможет адаптировать предложенную структуру глобальной координации.