(C) unter Verwendung eines Motivs von Andrei Suslov / 123RF.com
OpenAI startet den Betatest für ein eigenes Sicherheitstool namens Aardvark, das Schwachstellen in Codeänderungen erkennt und auch gleich selber patcht.
Der neue Cybersicherheitstool ist ein KI-Agent auf Basis von GPT-5, der weitgehend selbstständig arbeiten kann. Er erstellt zunächst ein Bedrohungsmodell auf der Grundlage des kompletten Repositories. Damit analysiert es im Folgenden alle Commits, um Verwundbarkeiten in den neuen Codeänderungen zu erkennen. Wurde es fündig, testet es die Schwachstelle in einer Sandbox auf ihre Ausnutzbarkeit. Ist die Schwachstelle ausnutzbar, entwirft es mithilfe des hauseigenen Programmierassistenten Codex einen Patch und gibt den einem menschlichen Begutachter zur Prüfung weiter.
Bei der Schwachstellensuche verwendet es keine traditionellen Techniken wie etwa Fuzzing, sondern verlässt sich ganz auf sein Verständnis für die Arbeitsweise des analysierten Codes. In Benchmarks soll es bis zu 92 Prozent aller bekannten und synthetisch erzeugten Schwachstellen gefunden haben. Auch hat sich das Werkzeug schon einige Zeit bei OpenAI und einigen Partnern im Einsatz bewährt. Zudem wurde es auf Open-Source-Repositories angewendet. Von den Verwundbarkeiten, die es dabei gefunden hat, erhielten zehn eine Einstufung nach Common Vulnerabilities and Exposures (CVE).
Aardvark steht für ein neues, verteidigungsorientiertes Modell: Ein KI-Agent arbeitet in der Rolle eines als Sicherheitsforschers mit Teams zusammen und bietet kontinuierlichen Schutz, während sich der Code weiterentwickelt. Durch frühzeitiges Erkennen von Schwachstellen, Überprüfen der tatsächlichen Ausnutzbarkeit und Anbieten klarer Lösungen lässt sich so die Sicherheit stärken, ohne Innovationen zu verlangsamen.
OpenAI lädt ausgewählte Partner ein, an einem privaten Beta-Test von Aardvark teilzunehmen. Damit soll zunächst die Erkennungsgenauigkeit, der Validierungsablauf und die Berichterstellung weiter optimiert werden. Für die Teilnahme an diesem Beta-Test können sich Firmen oder Open-Source-Projekte hier bewerben.
