OpenAI パッチ・ザ・プラネット イニシアチブ

OpenAI パッチ・ザ・プラネット イニシアチブ

OpenAI は、Trail of Bits と共同で開発した Daybreak イニシアチブ「Patch the Planet」を導入し、重要なオープンソースソフトウェアの強化を目指しています。このプログラムは、GPT-5.5-Cyber や Codex Security といった最先端モデルを活用した AI 支援型セキュリティ調査と、専門家による人的レビューを組み合わせて脆弱性を特定しパッチを作成します。検証済みの成果のみがオープンソースのメンテナに届くようにすることで、メンテナの負担を軽減します。

AI 支援型脆弱性管理ワークフロー

Patch the Planet イニシアチブは、セキュリティエンジニアとメンテナの協働エンゲージメントとして機能します。プロセスは、メンテナがデプロイや開示のコントロールを保持しつつ、高信号なセキュリティ支援を受けられるよう設計されています。

エンゲージメントプロセス

  • Consultation（相談）: セキュリティエンジニアがメンテナと協力し、脆弱性の検証、パッチ開発、CI/CD の改善など具体的なニーズを特定します。
  • Investigation（調査）: 研究者は AI を用いて潜在的な脆弱性を調査し、実質的な問題かどうかを検証します。
  • Remediation（修正）: チームはパッチを作成または洗練し、テストを支援し、既存のプロジェクトチャネルを通じて開示を調整します。
  • Human Validation（人的検証）: AI が生成した誤検知でメンテナが圧倒されないよう、Trail of Bits のエンジニアがすべての検出結果を手動でレビューし、証拠を再現し、優先順位付けを行ってから提出します。

ツールとリソース

参加プロジェクトには ChatGPT Pro へのアクセス、Codex Security への条件付きアクセス、そしてコア開発と自動化のための API クレジットが提供されます。Trail of Bits は、重複除去、トリアージ、パッチ作成のための AI 支援ワークフローを提供します。

技術的能力とフィールドノート

Trail of Bits のエンジニアは Codex と GPT-5.5-Cyber を活用し、すでに 19 のオープンソースプロジェクトで数百件のセキュリティ問題を特定し、数十件のパッチをマージしています。この協働により、以下のような再利用可能なセキュリティインフラ改善が生まれました。

Rapid Fuzzing Lab Deployment（高速ファジングラボの展開）

エンジニアは Codex と GPT-5.5-Cyber を組み合わせた繰り返し /goal 実行により、数十のエントリポイントとプラットフォームをカバーする包括的なファジングラボを 1 日未満で構築しました。Trail of Bits は、手作業で行う場合は通常数週間かかると見積もっています。

Automated Variant Analysis（自動バリアント分析）

過去の CVE を取り込み、脆弱性パターンを抽出し、対象コードベースで類似の欠陥を検索するエンドツーエンドパイプラインを作成しました。このシステムは専門のジャッジエージェントを用いて結果の重複除去と誤検知のフィルタリングを行い、過去の脆弱性データを再現可能な検索戦略に変換します。

Accelerated Differential Testing（高速差分テスト）

Codex を利用して、異なるプロトコル実装を共通テストハーネスに接続するための shim と glue コードを自動生成し、差分テストに要する期間を数週間・数ヶ月から数日に短縮しました。

Specification-Based Testing（仕様ベーステスト）

Codex を用いて脅威モデル、攻撃分類、RFC やプロジェクト仕様に基づくプロパティテストを作成し、意図された動作と実際のソフトウェア挙動の不一致を露呈させました。

検証済みセキュリティ成果

Daybreak の広範な取り組みの一環として、OpenAI とパートナー（Calif と HackerOne を含む）は、さまざまなソフトウェア層で重大な脆弱性を特定しました。

Operating Systems（OS）

  • Linux Kernel: GPT-5.5-Cyber は 3,000 万行のコード中でセキュリティに関わるコンポーネントを特定し、8 件のカーネルポインタ情報漏洩 PoC と 24 件のローカル特権昇格（LPE）エクスプロイトを生成しました。
  • OpenBSD: モデルはカーネル実装の System V セマフォにおける 23 年前の use‑after‑free 脆弱性を検出し、非特権ローカルユーザーが root に特権昇格できる可能性があることを示しました。
  • FreeBSD: 研究者は 34 件の脆弱性を確認し、7 件の LPE PoC を作成しました。

Network Infrastructure（ネットワークインフラ）

  • dnsmasq: Codex Security は、後にバージョン 2.92rel2 で修正された 4 つの CVE（CVE-2026-4890、CVE-2026-4891、CVE-2026-4892、CVE-2026-5172）に相当するパターンを独自に特定しました。
  • HTTP/2 Bomb: Codex は NGINX、Apache、IIS、Pingora に影響を与えるサービス拒否技術を特定し、88 万以上のインターネット向けウェブサイトに影響を及ぼす可能性があります。

Web Browsers（ウェブブラウザ）

  • Chrome: V8 JavaScript エンジンで 5 件の実行可能な脆弱性が見つかりました。
  • Safari: 1 週間で WebKit に 10 件以上の実行可能な脆弱性が報告されました。
  • Firefox: GPT-5.5 は WebAssembly 脆弱性（CVE-2026-8390）を特定し、Pwn2Own Berlin の 2 日前にパッチが適用され、登録エントリ 6 件中 5 件が撤回されました。

参加プロジェクト

Patch the Planet イニシアチブの初期参加者は以下の通りです。

  • cURL
  • NATS Server
  • pyca/cryptography
  • Sigstore
  • aiohttp
  • The Go project
  • freenginx
  • Python
  • python.org

SUMMARY: OpenAI は Trail of Bits と提携し、AI 支援型セキュリティ調査と人的レビューを組み合わせて重要なオープンソースソフトウェアの脆弱性を特定・修正する Daybreak イニシアチブ「Patch the Planet」を開始しました。

TITLE: OpenAI パッチ・ザ・プラネット イニシアチブ

Sources