Az AI nemcsak kódot ír, hanem hibákat is talál — egyre gyorsabban. A kérdés most az, hogy az open source világ, ahol sok kritikus szoftvert néhány önkéntes tart életben, tud-e ehhez tempót váltani.

Mi történt

OpenAI több, kiberbiztonságra fókuszáló újdonságot jelentett be: frissített egy korlátozott hozzáférésű, biztonsági feladatokra hangolt modellt (GPT-5.5-Cyber), bővítette a kormányzati és intézményi együttműködéseket „trusted access” keretben, és a Codex Security nevű kódellenőrző eszközét app plug-inként is elérhetővé tette.

A nagyobb dobás mégis a „Patch the Planet” nevű kezdeményezés: a Trail of Bits biztonsági kutatócéggel alapított programban sérülékenységkezeléssel foglalkozó partnerek (HackerOne és Calif.) is részt vesznek. A cél nem egy újabb automata hibakereső, hanem ingyenes, kézzelfogható támogatás open source karbantartóknak: sebezhetőségek azonosítása és javítása, a kódbázis megerősítése, és AI-alapú biztonsági eszközök beépítése a fejlesztési folyamatba.

A program már elindult: több mint 30 nyílt forrású projekt csatlakozott, és egy ötnapos „nyitó sprint” során a Trail of Bits 25 mérnöke (a cég létszámának nagyjából ötöde) párhuzamosan dolgozott különböző projektekkel. Az első hét mérlege: több száz feltárt hiba és tucatnyi elkészült patch.

Miért fontos

Az open source biztonság sokszor paradoxon: a világszinten használt komponenseket gyakran kevés ember tartja karban, szűk idővel és pénzzel. Eközben az AI-alapú sérülékenység-keresés (gondolj rá úgy, mint egy turbóra kapcsolt statikus elemzőre, ami rengeteg gyanús mintát dob fel) egyszerre áldás és átok: több hibát lehet találni, de a maintenerekre rázúdulhat egy kezelhetetlen backlog — ráadásul gyenge minőségű, „slop” jelentésekkel és CVE-javaslatokkal.

A „Patch the Planet” ebbe a szűk keresztmetszetbe nyúl bele: nem csak hibát talál, hanem segít validálni, javítást készíteni, és ténylegesen be is vinni a változtatást. Ez azért számít, mert a biztonság nem attól javul, hogy több riasztásod van, hanem attól, hogy kevesebb a nyitva maradt, valóban kihasználható rés.

Mire figyelj

  1. Fenntarthatóság és fókusz: a program ígérete az „egyedi” támogatás — érdemes figyelni, mennyire tudják skálázni úgy, hogy ne csak gyors, látványos sprint-eredmények legyenek.
  2. „Slop” elleni védekezés a gyakorlatban: ha a validálás és priorizálás tényleg leveszi a terhet a projektekről, az modellértékű lehet más ökoszisztémák számára is.
  3. Korlátozott hozzáférés vs. nyílt eszközök: a GPT-5.5-Cyber a Trusted Access for Cyber program része, tehát nem nyilvános. Közben a Codex Security scanner plug-inként terjedhet — a kérdés az, melyik csatorna hoz több valós, mérhető javulást a mindennapi fejlesztésben.
  4. Verseny és szabályozás árnyéka: miközben a kiberbiztonsági AI-képességek körül szigorodó politikai figyelem látszik (különösen exportkontrolloknál), a cégek továbbra is benchmarkokban mérik egymást. A Wired AI által idézett számok alapján a GPT-5.5-Cyber CyberGym pontszáma 85,6%, ami a Mythos 5 83,8%-a fölé kerül — de a mindennapi kockázatot végső soron az dönti el, mennyi sebezhetőség jut el tényleges javításig.

Ha a „Patch the Planet” beváltja a hozzá fűzött reményeket, az nem az AI „okosságáról” fog szólni, hanem arról, hogy sikerül-e végre a hibatalálatot javítássá, a javítást pedig rutinná alakítani az open source világban.