Компания OpenAI анонсировала запуск Aardvark — автономного агента для поиска уязвимостей в программном коде, работающего на основе GPT-5. Новый инструмент предназначен для помощи разработчикам и командам безопасности в обнаружении и исправлении потенциальных угроз в масштабе.
Как работает Aardvark
Aardvark непрерывно анализирует репозитории исходного кода, выявляя уязвимости, оценивая возможность их эксплуатации, определяя приоритеты серьезности и предлагая целенаправленные исправления.
В отличие от традиционных методов анализа программ, таких как фаззинг или анализ состава программного обеспечения, Aardvark использует LLM-рассуждения и инструментарий для понимания поведения кода и выявления уязвимостей. Система ищет ошибки так же, как это делает человек-исследователь безопасности: читая код, анализируя его, создавая и запуская тесты, используя инструменты и многое другое.
Многоступенчатый конвейер работы Aardvark включает:
- Анализ: полное сканирование репозитория для создания модели угроз, отражающей понимание целей безопасности проекта
- Сканирование коммитов: проверка изменений на уровне коммитов с учетом всей кодовой базы и модели угроз
- Валидация: попытка воспроизвести потенциальную уязвимость в изолированной песочнице для подтверждения эксплойтабельности
- Исправление: интеграция с OpenAI Codex для создания патчей с последующей проверкой Aardvark
Реальные результаты
Aardvark уже несколько месяцев работает во внутренних кодовых базах OpenAI и внешних партнеров альфа-тестирования. Система продемонстрировала способность находить проблемы, возникающие только в сложных условиях.
В бенчмарк-тестировании на «золотых» репозиториях Aardvark идентифицировал 92% известных и искусственно внесенных уязвимостей.
Применение к открытым проектам уже привело к обнаружению многочисленных уязвимостей, десять из которых получили идентификаторы CVE.
92% обнаружения в бенчмарках звучит впечатляюще, но реальная ценность Aardvark — в его способности находить сложные, контекстно-зависимые баги, которые традиционные сканеры пропускают. Интересно, насколько система устойчива к ложным срабатываниям — это всегда было ахиллесовой пятой автоматизированного анализа безопасности.
Значение для индустрии
Программное обеспечение стало основой каждой отрасли, что делает уязвимости системным риском для бизнеса, инфраструктуры и общества. Только в 2024 году было зарегистрировано более 40 000 CVE. Тестирование OpenAI показывает, что примерно 1,2% коммитов вносят ошибки.
Aardvark представляет новую модель безопасности, ориентированную на защитников: автономный исследователь, который сотрудничает с командами, обеспечивая непрерывную защиту по мере эволюции кода.
Сейчас доступна закрытая бета-версия для отобранных партнеров. OpenAI также планирует предложить бесплатное сканирование для избранных некоммерческих открытых репозиториев.
По материалам OpenAI.