Patch the Planet: инициатива Daybreak по поддержке разработчиков открытого ПО22.06.2026 10:00

Мы представляем Patch the Planet — инициативу Daybreak⁠, созданную совместно с Trail of Bits, чтобы помочь мейнтейнерам защитить критически важное программное обеспечение с открытым исходным кодом, на которое полагается весь мир. Мы объединяем исследования безопасности на базе ИИ с использованием наших самых мощных кибермоделей и экспертную оценку людей, чтобы не просто выявлять уязвимости, но и помогать их устранять.

ИИ ускоряет обнаружение уязвимостей, но само по себе обнаружение не защищает пользователей. Мейнтейнеров часто просят разбирать все больше отчетов и делать это быстрее, располагая прежними ограниченными временем и ресурсами. Программа Patch the Planet создана для того, чтобы снизить эту нагрузку, а не увеличивать ее: инженеры по безопасности проверяют результаты до того, как они попадут к мейнтейнерам, работают над созданием патчей и тестов совместно с проектами, а также строят многоразовые рабочие процессы, помогающие командам продолжать улучшать безопасность после выпуска первых исправлений.

Компания Trail of Bits задействовала всю свою организацию по исследованию безопасности⁠ для реализации этой задачи в рамках нашего первого этапа. Специалисты работают напрямую с мейнтейнерами над исследованием и проверкой уязвимостей, разработкой и тестированием патчей, а также координацией раскрытия информации об уязвимостях.

Кроме того, мы будем сотрудничать с компаниями HackerOne и Calif, которые помогают нам расширять усилия в области сортировки уязвимостей, скоординированного раскрытия информации и дополнительных целевых исследований уязвимостей.

Каждое взаимодействие в рамках Patch the Planet начинается с консультаций с мейнтейнером. Для каждого проекта инженеры по безопасности совместно с мейнтейнерами определяют потребности, предпочтения и области, где дополнительные усилия по обеспечению безопасности будут наиболее полезны: проверка уязвимостей, разработка исправлений, улучшения CI/CD или долгосрочное проектирование безопасности. После достижения соглагования исследователи изучают потенциальные уязвимости, подтверждают значимые проблемы, разрабатывают или дорабатывают патчи, поддерживают тестирование и координируют раскрытие информации через установленные каналы проекта.

Среди первых участников проекта — cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, проект Go, freenginx, Python и python.org. Эти проекты поддерживают широко используемую сетевую инфраструктуру, криптографию, цепочки поставок программного обеспечения и языковую инфраструктуру, где усиление безопасности может принести пользу широкому спектру последующих продуктов и сервисов. В будущих раундах к проекту присоединятся и другие участники.

Исследователи безопасности оснащены нашими передовыми моделями, а также Codex Security⁠ для поддержки анализа, разработки патчей, тестирования и документирования. Участвующие проекты получают доступ к ChatGPT Pro, условный доступ к Codex Security и кредиты API для ключевой разработки с открытым исходным кодом, автоматизации работы мейнтейнеров и процессов релизов. Компания Trail of Bits разработала рабочие процессы на базе ИИ для дедупликации, сортировки и создания патчей, которые проекты могут запускать при этой поддержке.

Специалисты по безопасности из Trail of Bits работали полный рабочий день с Codex и GPT‑5.5‑Cyber в рамках 19 проектов с открытым исходным кодом, и уже выявили сотни проблем безопасности и объединили десятки патчей, причем многие другие все еще проходят процедуру скоординированного раскрытия.

Первоначальный спринт также привел к созданию многоразовой инфраструктуры безопасности: фаззинг-харнесов, конвейеров анализа исторических CVE, систем дифференциального тестирования, моделей угроз, расширенных наборов тестов и рабочих процессов для дедупликации, фильтрации ложных срабатываний, корректировки степени серьезности и генерации патчей. Некоторые детали, специфичные для проектов, будут опубликованы позже по мере продвижения тестирования, исправления и скоординированного раскрытия. Несколько ранних примеров демонстрируют то, что команде удалось создать и обнаружить:

Фаззинг-лаборатория менее чем за день. Инженеры Trail of Bits использовали многократные запуски Codex /goal с моделью GPT‑5.5‑Cyber для создания полноценной фаззинг-лаборатории, охватывающей десятки точек входа, вариантов сборки, платформ и новых тестовых сидов. Инженеры задавали цели и дорабатывали подсказки; затем система использовала обратную связь по покрытию для дальнейшего расширения новых областей, целевых граничных случаев и фильтрации слабых или недействительных кандидатов.

Инженеры Trail of Bits обнаружили, что при ограниченном руководстве модель GPT‑5.5‑Cyber делала полезный выбор относительно того, где расширять покрытие, какие сборки и точки входа исследовать и какие кандидаты слишком слабы для дальнейшей работы. Готовая настройка заняла менее одного дня. По оценкам Trail of Bits, ручное создание такой же лаборатории обычно заняло бы по меньшей мере несколько недель.

Многоразовый конвейер для поиска вариантов известных уязвимостей. Команда создала сквозную систему, которая загружает исторические CVE, извлекает соответствующие шаблоны уязвимостей, ищет связанные недостатки в целевых кодовых базах и направляет найденных кандидатов через специализированных агентов-судей. Конвейер выполняет дедупликацию результатов, фильтрует потенциальные ложные срабатывания и направляет наиболее веские доказательства инженерам по безопасности для ручного подтверждения.

Это превращает годы публичной истории уязвимостей в повторяемую стратегию поиска, которую можно применять в различных проектах. В Trail of Bits отметили особую эффективность моделей в данном типе анализа вариантов, что позволило выявить множество дополнительных проблем в рассматриваемых кодовых базах.

Дифференциальное тестирование за считанные дни вместо недель или месяцев. Различные реализации одного и того же протокола обычно должны вести себя одинаково при одинаковых входных данных. При их расхождении в одной из реализаций может содержаться ошибка. Применение этого подхода в больших масштабах обычно затруднено, так как инженерам приходится писать пользовательские интерфейсы (shim) и связующий код для подключения каждой реализации к общему тестовому стенду.

Codex генерировал такой код и итеративно улучшал его, позволяя тестировать методы фаззинга для нескольких реализаций друг против друга и исследовать различия в их поведении. Этот рабочий процесс отфильтровал множество слабых или неверных результатов, сформировав набор кандидатов с относительно высоким уровнем достоверности для экспертной оценки. Команда достигла этих результатов за считанные дни, сократив объем работы, которая исторически занимала недели или месяцы. Trail of Bits продолжает расширять и дорабатывать эти тесты перед публикацией деталей, специфичных для проектов.

Тестирование программного обеспечения на соответствие поведению, обещанному в спецификациях. Команды использовали Codex для разработки моделей угроз, таксономий атак, тестов на инварианты и тестов на основе свойств, опирающихся на спецификации проектов и RFC. Эти методы выявили заметные различия между предполагаемым и реальным поведением, обеспечив при этом более широкое тестовое покрытие, усиленную документацию и улучшения инструментов CI/CD и цепочки поставок программного обеспечения.

Инженеры по безопасности проверяли каждую находку до того, как она попадала к мейнтейнеру. Инженеры Trail of Bits вручную проверяли каждую проблему безопасности перед ее отправкой мейнтейнеру, и ценность этого этапа невозможно переоценить. Хотя передовые модели ИИ отлично справляются с поиском уязвимостей и их исправлением, они также генерируют большое количество ложных срабатываний, что может увеличить и без того огромную очередь задач, с которой сталкиваются мейнтейнеры. Patch the Planet решает эту проблему за счет того, что специализированные исследователи из Trail of Bits воспроизводят доказательства, сверяют находки с документацией конкретного проекта и моделями угроз, удаляют дубликаты, переоценивают уровень серьезности и расставляют приоритеты для подтвержденных уязвимостей в целях их устранения. Они также разрабатывают и отправляют патчи в соответствии с предпочтениями мейнтейнеров. Мейнтейнеры сохраняют полный контроль над тем, какие исправления развертываются и как обрабатывается раскрытие информации.

Patch the Planet опирается на более широкий объем работ Daybreak, показывающий, как передовые модели могут помогать защитникам находить, проверять и устранять серьезные уязвимости в широко используемом ПО. 

Здесь мы делимся лишь некоторыми первыми яркими моментами, воздерживаясь от публикации механизмов эксплойтов и деталей, специфичных для проектов, там, где процесс раскрытия еще продолжается. По мере появления исправлений и завершения скоординированных раскрытий мы планируем публиковать более глубокие технические отчеты, описывающие отдельные находки, методы исследований, рабочие процессы проверки и уроки, которые могут применить другие специалисты по безопасности.

Наши находки охватывают каждый уровень стека программного обеспечения, причем многие другие все еще находятся в процессе раскрытия.

• Ядро Linux: Модель GPT‑5.5‑Cyber идентифицировала компоненты, имеющие отношение к безопасности, более чем в 30 миллионах строк кода, отметила потенциальные проблемы безопасности, а затем динамически проверила их, сгенерировав 8 доказательств концепции (PoC) для утечки указателей ядра и 24 эксплойта для локального повышения привилегий. Отметим, что всего были выявлены сотни проблем, и это лишь подмножество, для которого PoC были сгенерированы автоматически.
• OpenBSD: Наши модели обнаружили уязвимость use-after-free⁠ 23-летней давности в реализации семафоров System V в ядре OpenBSD. Исследователи OpenAI воспроизвели проблему и подтвердили, что она может позволить непривилегированному локальному пользователю повысить свои привилегии до уровня root.
• FreeBSD: Инженеры по безопасности из компании Calif использовали Codex для поиска и проверки с помощью эксплойтов-доказательств концепции нескольких⁠уязвимостей LPE⁠ в FreeBSD⁠. В ходе более масштабной кампании по FreeBSD исследователи OpenAI подтвердили 34 уязвимости и создали 7 PoC для локального повышения привилегий.

• dnsmasq: Codex Security независимо выявила уязвимые шаблоны, соответствующие четырем из шести CVE для dnsmasq, которые позже были исправлены в 2.92rel2: CVE-2026–4890⁠, CVE-2026–4891⁠, CVE-2026–4892⁠ и CVE-2026–5172⁠.
• HTTP/2 Bomb: Компания Calif использовала Codex для выявления »HTTP/2 Bomb⁠» — метода атаки типа «отказ в обслуживании» (DoS), затрагивающего основные реализации HTTP/2, включая NGINX, Apache, IIS и Pingora. Анализ Calif показал, что более 880 000 веб-сайтов, выходящих в интернет, использовали затронутое серверное ПО с включенным HTTP/2.

• Chrome: Исследователи OpenAI нашли и сообщили о пяти эксплуатируемых уязвимостях в движке JavaScript V8 браузера Chrome, включая три, которые были обнаружены и устранены в течение нескольких дней после их появления. 
• В ходе примерно недельной целенаправленной работы с WebKit было обнаружено и сообщено более 10 эксплуатируемых уязвимостей Safari. 
• Firefox: Подразделение OpenAI Preparedness выявило уязвимость в WebAssembly (CVE-2026–8390⁠) с помощью GPT‑5.5 во время оценок безопасности⁠. Компания Mozilla исправила ее за два дня до проведения соревнования Pwn2Own Berlin, что побудило пять из шести зарегистрированных участников с Firefox отозвать свои заявки. Ни один эксплойт для Firefox не был успешно продемонстрирован на соревновании.

Программное обеспечение с открытым исходным кодом — это общая инфраструктура. Обеспечение его безопасности должно быть общей задачей. ИИ меняет темпы обнаружения уязвимостей, и теперь задача состоит в том, чтобы эти преимущества дошли до мейнтейнеров и пользователей, которые в них больше всего нуждаются.