L’IA peut déjà trouver plus de bugs que de nombreuses équipes open source ne peuvent en traiter.
OpenAI tente de transformer ce flot de découvertes en correctifs.
L’entreprise a présenté Patch the Planet, une initiative Daybreak développée avec Trail of Bits pour aider les projets open source à gérer les failles de sécurité. Le programme utilise les modèles de sécurité d’OpenAI et Codex Security, mais son principal argument repose sur l’examen humain : des ingénieurs en sécurité valident les découvertes, élaborent des correctifs et mettent en place des workflows avant de demander aux mainteneurs d’intervenir.
Selon TechCrunch, OpenAI travaille avec Trail of Bits sur cette initiative, à laquelle participent également HackerOne et Calif. L’objectif est d’aider les mainteneurs à traiter les problèmes de sécurité sans ajouter une nouvelle pile de rapports générés par l’IA à des files d’attente déjà saturées.
Patch the Planet ajoute un examen humain
OpenAI a déclaré que Patch the Planet commençait par une consultation des mainteneurs. Des ingénieurs en sécurité travaillent avec chaque projet pour déterminer l’aide la plus utile, qu’il s’agisse de valider des vulnérabilités, de rédiger des correctifs, d’améliorer les pipelines CI/CD ou de mettre en place des workflows de sécurité à long terme.
Cette couche d’examen accomplit un travail que le modèle ne peut pas effectuer seul. L’IA peut identifier rapidement des bugs potentiels, mais les mainteneurs doivent toujours déterminer si un problème est réel, si sa gravité est correcte et si le correctif proposé s’intègre au projet.
OpenAI a indiqué que les chercheurs de Trail of Bits reproduisaient les éléments de preuve, vérifiaient les problèmes à l’aune de la documentation du projet et des modèles de menace, éliminaient les doublons et hiérarchisaient les problèmes confirmés avant leur soumission.
Le programme s’inscrit dans le prolongement des travaux plus larges d’OpenAI consacrés à la défense informatique Daybreak, qui utilisent Codex Security pour aider les équipes à trouver, valider et corriger les failles logicielles. Patch the Planet applique cette idée plus spécifiquement aux logiciels open source, dont de nombreux projets sont largement utilisés mais disposent de peu de ressources humaines.
Les services cloud, les outils pour développeurs, les bibliothèques cryptographiques, les dépôts de paquets et les serveurs web dépendent souvent de projets maintenus par de petites équipes. Un meilleur soutien à la correction de ces projets peut réduire l’exposition des entreprises qui en dépendent aux risques liés à la chaîne d’approvisionnement logicielle.
Des premiers résultats utiles, mais limités
Le premier sprint a couvert 19 projets actifs, dont cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, Go, freenginx, Python et python.org, selon OpenAI. Trail of Bits a déclaré que la première semaine avait produit des centaines de bugs découverts, 64 pull requests et 51 problèmes signalés dans 19 projets. L’entreprise a également indiqué que 37 correctifs avaient déjà été fusionnés.
Les chiffres de la première semaine témoignent d’une dynamique, mais ne prouvent pas que le modèle puisse passer à l’échelle. Le prochain test consistera à déterminer si les mainteneurs continuent d’accepter les correctifs, si ceux-ci résistent en production et si le programme peut accompagner des projets plus modestes qui ne bénéficient pas de la même visibilité que Python ou cURL.
Patch the Planet intervient également après que le Claude Mythos d’Anthropic a signalé des milliers de failles de sécurité open source potentielles, ce qui accentue la pression sur un système de correction qui dépend déjà largement du travail de bénévoles et de petites équipes. Découvrir davantage de problèmes n’est utile que si quelqu’un a le temps de les trier, de tester les correctifs et de les fusionner.
Une infrastructure réutilisable pourrait durer plus longtemps que la première série de pull requests. OpenAI a déclaré que le sprint avait produit des infrastructures de fuzzing, des workflows d’analyse des CVE historiques, des systèmes de tests différentiels, des modèles de menace et des suites de tests enrichies que les projets pourront continuer à utiliser après la première vague d’aide extérieure.
La capacité à changer d’échelle reste à démontrer. Les outils d’IA peuvent révéler des failles logicielles enfouies plus rapidement que les organisations ne peuvent les corriger, mais Patch the Planet dépend toujours de l’examen d’experts, de la confiance des mainteneurs et de financements suffisants pour poursuivre le travail.
Le premier sprint montre que la sécurité assistée par l’IA peut produire des correctifs, et pas seulement des découvertes. La prochaine phase permettra de déterminer si ce modèle peut atteindre les projets open source qui ont besoin d’aide, mais bénéficient de peu d’attention publique.
À lire également : La valorisation de Cognition à 26 milliards de dollars attire à nouveau l’attention sur Devin et le marché des agents de programmation dopés à l’IA.