Oleksandr Kuzmenko, РедакторОпубліковано 5 хв читанняЗа участі AI · перевірено редактором
TL;DR
- OpenAI відкрила ChatGPT Cyber для дослідників безпеки в межах програми Daybreak Red.
- Порівняльні промпти на основі старих багів дозволяють знаходити складні zero-day вразливості за лічені години.
- Автоматичні сканування виявили 948 дефектів у ядрі Linux та 81 вразливість у Firefox.
Ключові факти
- Вартість аудиту ядра Linux
- $1,2 млн (за заявою компанії)
- Знайдено проблем у Linux
- 948 потенційних дефектів (за заявою компанії)
- Знайдено вразливостей у Firefox
- 81 нова вразливість (за заявою компанії)
- Час пошуку бага в Debian
- 2 години (через GPT 5.6 Sol)
- Фонд критичної інфраструктури
- $1 млрд
Джерело: Ключові факти — Фонд критичної інфраструктури
Джерело: Ключові факти. Фонд критичної інфраструктури: $1 млрд. Кожне число скопійоване з історії.
- Фонд критичної інфраструктури$1 млрд
Автоматизований аудит коду системного рівня
OpenAI відкрила доступ до спеціалізованої моделі ChatGPT Cyber для найвищого рівня програми Daybreak Red. Реліз супроводжується масштабними результатами сканування відкритих кодових баз інструментами штучного інтелекту.
Використовуючи GPT 5.6 Sol через Daybreak Blue, дослідник Макс Юстич виявив критичну вразливість у програмному забезпеченні для Ubuntu та Debian усього за дві години. Для цього він надав моделі опис давнього виправленого дефекту та попросив знайти аналогічні або складніші помилки. Сама OpenAI застосувала ChatGPT Cyber для сканування ядра Linux, зафіксувавши 948 потенційних проблем, а також 81 нову вразливість у Mozilla Firefox.
Економіка автоматизованого пошуку вразливостей
Глибокий аналіз коду вимагає значних обчислень: компанія витратила близько $1,2 млн у токенах на аналіз ядра Linux і оголосила про фонд у $1 млрд для захисту критичної інфраструктури (енергомереж і водопостачання).
Водночас дослідники відзначають проблеми з надмірною фільтрацією відповідей у Daybreak Blue. Хоча розробники намагаються обмежити використання моделей зловмисниками, захисники попереджають, що обмеження зв'язують їм руки на тлі поширення відкритих моделей без цензури.
Спробуй за 2 хвилини
# Comparative Vulnerability Hunting Prompt Pattern
Audit the attached codebase for memory management and access flaws.
A previous critical vulnerability was resolved with this patch:
```diff
- if (len > MAX_BUFFER) return -1;
+ if (len >= MAX_BUFFER || len < 0) return -EINVAL;
```
Analyze the target source below. Find non-obvious vulnerabilities that are as bad or worse than this issue, trace the exploit path step-by-step, and provide a minimal reproducer.Коли використовувати
- Під час аудиту низькорівневого C/C++ коду на наявність тонких помилок роботи з пам'яттю та паралелізмом.
- Для пошуку варіацій раніше виправлених уразливостей у великих відкритих репозиторіях.
Що зробити сьогодні
- Проведіть аудит критичних модулів, передавши моделі дифи старих виправлень для пошуку аналогічних патернів.
- Перевіряйте знайдені моделлю вразливості модульними тестами або PoC перед надсиланням патчів у мейнтейнери.
- Подайте заявку на участь у програмі OpenAI Daybreak, якщо ви підтримуєте критичні відкриті бібліотеки.
Назви кроків узяті з блоку «Що зробити сьогодні».
Назви кроків узяті з блоку «Що зробити сьогодні». Проведіть аудит критичних модулів, передавши моделі дифи старих виправлень для пошуку аналогічних патернів.. Перевіряйте знайдені моделлю вразливості модульними тестами або PoC перед надсиланням патчів у мейнтейнери.. Подайте заявку на участь у програмі OpenAI Daybreak, якщо ви підтримуєте критичні відкриті бібліотеки.
- Проведіть аудит критичних модулів, передавши моделі дифи старих виправлень для пошуку аналогічних патернів.
- Перевіряйте знайдені моделлю вразливості модульними тестами або PoC перед надсиланням патчів у мейнтейнери.
- Подайте заявку на участь у програмі OpenAI Daybreak, якщо ви підтримуєте критичні відкриті бібліотеки.