Avec ce lancement, OpenAI entre sur le marché en pleine croissance de la sécurité de l’IA, où il concurrencera CodeMender de Google et d’autres plates-formes. Agissant comme un chercheur en sécurité humaine, son nouvel outil Aardvark trouve, teste et aide à corriger les failles du code logiciel.
OpenAI a annoncé jeudi l’agent alimenté par GPT-5, le rendant disponible dans une version bêta privée. Ses débuts accélèrent la course à l’automatisation de la cyberdéfense et donnent aux défenseurs un avantage critique contre les menaces croissantes.
Une approche humaine pour trouver les failles
Propulsé par le très attendu modèle GPT-5 de l’entreprise, Aardvark est conçu pour fonctionner comme un”agent”chercheur en sécurité.” Il analyse en permanence les référentiels de code source pour identifier les vulnérabilités, évaluer leur exploitabilité et proposer des correctifs ciblés aux développeurs.
Cela représente une avancée majeure dans l’application de l’IA à un domaine qui a longtemps été un effort manuel et fastidieux.
Contrairement à Outils de sécurité traditionnels qui s’appuient sur des techniques de force brute comme le fuzzing ou l’analyse simple de la composition logicielle, Aardvark utilise un raisonnement basé sur LLM pour comprendre le comportement et l’intention du code.
Le vice-président d’OpenAI, Matt Knight, a expliqué l’approche en déclarant: « D’une certaine manière, il recherche les bogues de la même manière qu’un chercheur en sécurité humaine. des vulnérabilités complexes en plusieurs étapes que les scanners automatisés négligent souvent.
Opérant sur un pipeline sophistiqué en plusieurs étapes, l’agent commence par analyser un référentiel entier pour créer un modèle de menace complet, comprenant les objectifs de sécurité et l’architecture spécifiques du projet. À partir de là, il analyse les nouveaux commits de code en temps réel par rapport à ce modèle pour détecter les problèmes potentiels au fur et à mesure de leur introduction.
Lorsqu’une vulnérabilité est trouvée, Aardvark tente de la déclencher dans un environnement sandbox isolé pour confirmer qu’il s’agit d’une menace réelle et exploitable, réduisant ainsi efficacement les faux positifs.
Enfin, il s’intègre à OpenAI Codex, l’agent de codage d’IA d’OpenAI, pour générer un correctif suggéré, qui est joint à la découverte avec des annotations détaillées pour les humains. révision et mise en œuvre en un clic.
Son objectif est de fournir des informations claires et exploitables sans ralentir les cycles de développement.”Nos développeurs ont trouvé une réelle valeur ajoutée dans la clarté avec laquelle il expliquait les problèmes et les guidait vers les correctifs”, Knight a déclaré à ZDNet.”Ce signal nous a indiqué que nous étions sur la voie de quelque chose de significatif.”
La nouvelle course aux armements dans la cyberdéfense basée sur l’IA
Entré sur un marché déjà en feu avec les récentes annonces de ses concurrents, Aardvark d’OpenAI est le dernier venu dans une nouvelle course aux armements pour automatiser la cybersécurité.
Le lancement d’OpenAI fait suite au dévoilement par Google de CodeMender début octobre, un agent autonome conçu pour mettre à jour les correctifs. vulnérabilités à l’aide de ses modèles Gemini.
L’outil de Google lui-même est une évolution de sa précédente IA « Big Sleep », qui a fait la une des journaux en juillet pour avoir neutralisé de manière proactive une menace critique dans SQLite avant qu’elle ne puisse être exploitée, prouvant ainsi le concept de défense basée sur l’IA.
S’étendant au-delà des géants de la technologie, cette tendance inclut les entreprises de cybersécurité établies. Cette semaine encore, Palo Alto Networks a lancé Cortex AgentiX, une plateforme permettant de créer et de gérer une main d’œuvre d’agents de sécurité IA conçus pour automatiser les enquêtes et les réponses.
Son PDG, Nikesh Arora, a souligné le problème principal que ces outils visent à résoudre, notant que « l’ensemble de l’acte d’enquête [et] de remédiation est fondamentalement extrêmement manuel dans l’industrie. »
Dans l’ensemble du secteur, le consensus est clair : les opérations de sécurité manuelles ne peuvent plus suivre le rythme et l’ampleur des opérations automatisées. attaques. Ces plates-formes agents représentent un changement fondamental d’une défense réactive à une défense proactive, visant à réduire l’intervalle de temps critique entre la découverte des vulnérabilités et leur correction.
Bêta privée et engagement envers l’Open Source
Aardvark est désormais disponible pour certains partenaires via une version bêta privée sur invitation uniquement. Les organisations souhaitant participer doivent utiliser GitHub Cloud pour leurs référentiels, s’engager à fournir des commentaires réguliers pour affiner les capacités de l’agent et accepter les conditions de service d’OpenAI.
OpenAI vise à valider les performances et la précision de l’agent dans une variété d’environnements réels avant d’envisager une version plus large.
Au-delà de ses ambitions commerciales, OpenAI positionne Aardvark comme un outil permettant de renforcer l’ensemble de l’écosystème numérique, s’attaquant à un problème d’une immense ampleur. Avec plus de 40 000 CVE signalés rien qu’en 2024, les vulnérabilités logicielles représentent un risque systémique.
Déjà, l’agent a été utilisé pour sécuriser des projets open source, où il a découvert et contribué à divulguer de manière responsable de nombreuses vulnérabilités.
Selon OpenAI, ses efforts ont déjà abouti à dix découvertes recevant des identifiants officiels Common Vulnerabilities and Exposures (CVE), une contribution significative au public. sécurité.
Ce travail est régi par la politique de divulgation coordonnée sortante mise à jour de l’entreprise, qui met l’accent sur une approche collaborative et conviviale pour les développeurs sur les délais de divulgation rigides qui peuvent mettre à rude épreuve les équipes manquant de ressources.
Conformément à cet engagement, OpenAI prévoit également d’offrir une analyse bénévole aux utilisateurs. sélectionner des référentiels open source non commerciaux, contribuant ainsi à la sécurité de la chaîne d’approvisionnement logicielle qui sous-tend une grande partie de l’Internet moderne.
Marquant une étape importante, cette nouvelle génération d’outils de sécurité basés sur l’IA est sur le point de remodeler l’industrie. Comme l’a souligné Matt Knight :”Il s’agit d’un domaine et d’une capacité qui étaient hors de portée jusqu’à très récemment. Mais de nouvelles innovations l’ont libéré.”
Pour les développeurs et les professionnels de la sécurité, l’arrivée de partenaires autonomes comme Aardvark pourrait enfin faire pencher la balance dans la lutte de longue haleine contre les cybermenaces.
