OpenAI Patch the Planet 计划与协同漏洞披露框架

Patch the Planet 计划概述

OpenAI 推出了“Patch the Planet”计划，这是一个旨在协调关键软件漏洞的发现、披露和修复的框架。该计划旨在利用前沿 AI 模型在恶意行为者利用安全漏洞之前识别出这些漏洞，从而有效地创造一个“防御者窗口”，使维护者和安全提供商能够开发并部署补丁。作为该努力的一部分，OpenAI 已承诺提供 10 亿美元的补贴，为资源有限的组织提供其模型的使用权限。

PHP 漏洞响应

该计划最近被应用于 PHP 编程语言中发现的关键漏洞。OpenAI 与安全公司 Wiz 及其他合作伙伴协作，识别了这些缺陷，并与 PHP 维护者合作开发和测试了修复程序。为了协助运营商，OpenAI 发布了一个 PHP 版本检查工具。此响应过程涉及多个阶段，包括上游验证、与基础设施提供商的协同外联，以及与 CISA 和国家网络总监办公室等政府机构的接触。

拟议的漏洞响应框架

OpenAI 提出了一个针对广泛使用的软件管理关键漏洞的五阶段框架：

验证并修复上游漏洞： 维护者和合作伙伴确认影响并开发修复程序，利用 AI 模型进行对抗性测试。
给予受影响组织行动时间： 一种与关键利益相关者共享预先信息的结构化方法，以准备缓解措施。
与政府合作伙伴协调： 与相关机构接触，确保安全指南传达给关键基础设施运营商。
准备跨受影响产品的更新： 让分销商和服务提供商参与，以确保修复程序的广泛覆盖。
发布指南并支持部署： 在补丁稳定后发布公开信息，帮助运营商验证其系统。

社区观点与批评

该公告在安全和开发者社区中引发了广泛讨论。批评者质疑将 AI 作为漏洞发现的主要驱动力这一说法，指出人类专业知识仍然至关重要。正如一位研究人员指出的那样，“没有任何模型能够仅凭简单的提示就挖掘出‘所有漏洞’”，强调有效的发现仍然依赖于对目标历史和特定漏洞模式的深刻理解。

其他评论者对该公告的营销性质表示怀疑。一些用户对安全信息的集中化表示担忧，指出“协同披露”可能会创造一个在更广泛的公众之前获得补丁的特权组织阶层。关于“紧急补丁”的伦理以及 AI 驱动的自动化修复的潜力，也存在持续的争论，一些参与者指出，允许外部实体修补其不拥有的系统的提议是对当前安全规范的重大背离。

"We enabled the disease and provided the vaccine!" — Hacker News commenter bcvvvy

"It feels like a marketing campaign... OAI are giving developers and security researchers access to AI models so they can check their software for vulnerabilities. What's the problem?" — Hacker News commenter x187463

安全软件的未来方向

除了个别漏洞修复外，该计划还倡导通过 AI 实现软件安全的长期改进。这包括使用编码模型来强制执行更安全的默认设置，协助迁移到内存安全语言，以及将形式化验证应用于关键组件。OpenAI 正在寻求社区对该框架的反馈，特别是关于披露窗口、紧急补丁的伦理，以及支持不再接收官方安全更新的下游软件包的方法。