OpenAI создала ИИ-агента для поиска уязвимостей в программном коде

Aardvark функционирует как автоматизированный исследователь безопасности. Он постоянно анализирует исходный код в репозиториях, выявляя потенциальные уязвимости, оценивая степень их критичности и предлагая конкретные исправления. В отличие от традиционных методов анализа, система не использует фаззинг или анализ компонентов. Вместо этого она применяет языковые модели для понимания поведения кода и поиска проблем.

Работа агента строится по многоэтапной схеме. Сначала он анализирует весь репозиторий и создает модель угроз. Затем отслеживает изменения в коммитах, выявляя потенциальные уязвимости. Найденные проблемы система проверяет в изолированной среде, чтобы подтвердить возможность эксплуатации. Для исправления уязвимостей Aardvark генерирует патчи с помощью Codex, которые затем проходят проверку разработчиками.

В ходе тестирования на эталонных репозиториях система продемонстрировала способность находить 92% известных и искусственно внедренных уязвимостей.