OpenAIが「Patch the Planet」公開、OSSの脆弱性修正支援

Patch the PlanetはOpenAIのDaybreak傘下で最新の取り組みであり、フロンティアモデルが広く使われるソフトウェアの脆弱性発見で防御側を支援できることを示した先行研究の上に成り立つ。このプログラムの設計は重要な現実を反映している。AIが発見を加速させる一方で、メンテナーはすでに報告の山に圧倒されており、ボトルネックは検証とパッチ作成に移っている。AIの発見とメンテナーの間に人間のセキュリティエンジニアを挟むことで、ノイズを増やさずに質の高い結果を届けようとしている。

初期の成果はOS、ネットワークソフトウェア、ブラウザに及び、このアプローチがスタックのさまざまな層で機能することを示している。発見にはLinuxカーネルでの8件のカーネルポインタ情報漏えいPoCと24件のローカル特権昇格エクスプロイト、OpenBSDでの23年続いたuse-after-free、ChromeとSafariの複数の悪用可能な脆弱性が含まれる。これらの成果はGPT-5.5-Cyberなどのモデルと人間の専門知識を組み合わせたこと、そして将来のプロジェクトにも応用できるファジングハーネスやCVE亜種分析パイプラインといった再利用可能なインフラから生まれた。

長期的な課題は、このAIと人間の協働モデルが当初の19プロジェクトを超えて拡大できるかどうかだ。プログラムは今後のラウンドで追加プロジェクトを展開する予定で、OpenAIは調整開示が完了し次第、より詳細な技術レポートを公開する計画だ。成功の鍵は、Trail of Bitsが構築した再利用可能なワークフローとインフラがメンテナーの継続的なセキュリティ負担を真に軽減するかどうか、そして他の防御側がこれらの手法を応用して、世界が依存するオープンソースソフトウェアを保護できるかどうかにかかっている。