OpenAI Daybreak 推 Patch the Planet，開源漏洞修補要追得上 AI 搵 bug 速度

Daybreak 今次走到開源世界

OpenAI 推出 Patch the Planet，放喺 Daybreak cybersecurity program 入面。做法係用 Codex Security、GPT-5.5-Cyber 先搵可疑漏洞，再交畀 Trail of Bits 安全工程師篩走假警報、驗證風險，跟住同 maintainer 一齊寫測試同修 patch。HackerOne 同 Calif 就負責分流、同埋處理協調披露。OpenAI 呢次最實際嘅位，係佢冇淨係掉個 scanner 畀 maintainer；連修 patch、測試、disclosure 嗰段麻煩工都包埋一部分。

圖片：Trail of Bits

AI 搵 bug 快咗，maintainer 要清噪音

Security 圈而家麻煩嘅位好清楚：AI 生成 bug report 可以好似真，但入面好多係 false positive、重複 issue，或者嚴重程度標到離地。開源 maintainer 本身已經要處理 issue、release、相容性同社群支援，突然再多一堆 AI 報告，結果未必係更安全，反而係真正有用嘅漏洞報告俾噪音蓋住。Patch the Planet 最值得睇嘅地方，係 OpenAI 同 Trail of Bits 承認中間要有人手判斷，唔可以淨係靠模型倒出一堆疑似漏洞。

Trail of Bits 數字實際過 OpenAI PR

Trail of Bits 公開講，第一週已經喺 19 個 open-source 項目上交出數百個已發現 bug、64 個 pull requests 同 51 個 issues，當中 37 個 PR 已 merged，19 個 issue 修好後已經關閉。項目名入面有 cURL、NATS、pyca/cryptography、Sigstore、aiohttp、Go、freenginx、Python、python.org、urllib3、PyPI、Valkey 同 RustCrypto 呢類基建級名字。呢啲唔係冷門玩具 repo，係好多 backend、CI/CD、package supply chain 每日都會踩到嘅底層。

Trail of Bits 交出嘅 patch 亦唔止單點 bug fix，入面有新測試、fuzzing harness、CI security scanning、supply-chain tooling、correctness fixes，仲有 python.org 嘅 release pipeline 強化同 SBOM sidecar 呢類長線工作。呢個方向幾重要：AI 搵到 bug 只係第一步；patch 要乾淨、test 要清楚，亦唔可以搞壞現有行為，先至幫到 maintainer。

Codex Security 同 GPT-5.5-Cyber 要分清

Codex Security 之前叫 Aardvark，OpenAI 3 月放出 research preview 時已經講明，佢會先建立 codebase-specific threat model，再用 project context 去驗證漏洞、分級同提出 patch。OpenAI 另外話，Codex Security cloud 由 3 月 research preview 到而家，已經掃過 3,000 萬個以上 commits、3 萬幾個 codebase；人手標記修好嘅 findings 超過 7 萬個，系統自動判斷修好嘅就超過 50 萬個。呢啲係 OpenAI 官方數字，反映佢想把 security review 放入日常開發 workflow，而唔係靠年度 pentest 出一份報告就算。

至於 GPT-5.5-Cyber，OpenAI 官方 benchmark 話佢喺 CyberGym 有 85.6%、ExploitGym 有 39.5%、SEC-bench Pro 有 69.8%，全部高過 GPT-5.5。呢啲數字要當官方測試睇，唔好當成獨立審計結果。仲要分清：GPT-5.5-Cyber 係俾已核實嘅 defender 做獲授權嘅 red teaming、滲透測試同受控環境驗證，用存取控制、記錄同範圍限制去管住，唔係一般 ChatGPT 用家可以隨便開嚟做高風險網絡安全工作。

對開發團隊有咩實際影響

香港有唔少 startup、SI、企業 IT 同 security team 都靠 Python、Go、cURL、aiohttp、cryptography、Sigstore 呢類 open-source 基建。upstream patch 早啲合入，企業內部嘅 dependency update、SBOM、CI policy 同供應鏈風險掃描就要跟得貼，否則漏洞修好咗都未必入到 production。公司真係要跟，先由三件事開始：寫清 threat model、定好嚴重程度標準、同埋要求每個 finding 都有可以重現嘅證據或者 patch diff；冇呢啲，AI report 只會變成另一堆等人清嘅積壓工作。

下一步睇 disclosure 同 maintainer 負擔

OpenAI 今次當然有 PR 味，尤其 benchmark 同產品 access 都係官方講法。不過佢肯放 Trail of Bits 人手 review 喺前面，呢點實際過單純賣 AI scanner。之後要睇 coordinated disclosure 完成之後，有幾多 CVE 真係有影響、有幾多 patch 長期留喺 upstream，仲有 maintainer 會唔會覺得負擔細咗。開發者同 security team 要留意：AI 幫你搵到疑似漏洞之後，驗證、分級、測試同 merge policy 都要跟得上。

參考來源

• Engadget — OpenAI's new Daybreak⁠ initiative will help open-source projects fend off bugs — original report
• Patch the Planet: a Daybreak initiative to support open source maintainers — OpenAI 官方公告，交代 Patch the Planet 點同 Trail of Bits、HackerOne、Calif 合作，仲有 maintainer 支援點安排。
• Introducing Patch the Planet — Trail of Bits 自己披露第一週 PR、issue、已 merged patch 同項目名，數字實際過 OpenAI PR。
• Daybreak: Tools for securing every organization in the world — OpenAI 官方 Daybreak 公告，用嚟核對 GPT-5.5-Cyber benchmark、受控 access 同 Codex Security 規模數字。
• Codex Security: now in research preview — Codex Security 研究預覽公告，用嚟補充 threat model、驗證、patch 建議同誤報問題。
• OpenAI Launches Full-Scale Effort to Patch Open-Source Bugs as It Takes on Anthropic’s Mythos — 第三方報道，補充 Patch the Planet 同 HackerOne、Calif、競爭背景嘅交叉參考。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。