OpenAI、アプリの侵入テストとパッチのドラフトを行う Daybreak セキュリティ ツールを発表

OpenAI は 11 月 12 日、「Cyber​​ at the Frontier」基調講演で、Daybreak サイバーセキュリティ プラットフォームの 2 つの製品、Daybreak Red Team と Daybreak Defense Factory を発表しました。これにより、AI エージェントがセキュリティの両面で機能するようになり、欠陥の発見と修正が可能になり、人間によるレビューも常に監視されます。

レッドチーム: 欠陥を証明する自動侵入テスト

レッドチームは現在早期アクセス中であり、申請を受け付けています。 AI エージェントのチームは、単一の Web アプリケーションを共同でテストします。ソース コードとアプリケーションのコンテキストを読み取り、考えられる攻撃パスを計画し、弱点が実際に悪用できるかどうかを検証し、修正が機能するかどうかをテストします。 OpenAIでサイバー応用AIを率いるナンシー・ワン氏は、基調講演でこれを「自動化された連続スキャン規模での超人的な侵入テスト」と表現した。

Defense Factory: 根本原因を追跡し、パッチの草案を作成する

残りの半分の仕事は Defense Factory が担当します。そのエージェントは、レッド チームまたはチームがすでに使用しているツールから発見事項を取得し、コードベース内の根本原因まで追跡し、何かがマージされる前にエンジニアがレビューできるテストを含む修正案を準備します。プラットフォーム自体は修正を展開しません。 Wiz、Snyk、Endor Labs の調査結果と連携し、GitHub リポジトリに接続し、すでに Daybreak アクセス権を持つワークスペースの ChatGPT 内のプレビュー プラグインとして利用できます。

以下のモデルと価格に関する質問

両製品は、11 月 5 日にリリースされた GPT-6 Cyber を含む OpenAI の専門サイバー モデル上で動作します。このモデルは、防御的な Daybreak Blue および攻撃的な Daybreak Red モデルと並んで、同社の準備フレームワークの下でサイバーセキュリティ リスクに関して「緊急」と評価された最初の OpenAI モデルです。 OpenAI はどちらの製品の価格も発表していません。Red Team は早期アクセス アプリケーションを通じて入手でき、Defence Factory は販売会話を通じて入手できます。 Daybreak プラットフォーム自体は 6 月 22 日にローンチされました。

攻撃の両側での自動化

このリリースは、ある企業が攻撃者と防御者の両方に AI エージェントを販売することを意味します。レッド チームが自動的に欠陥を発見し、ディフェンス ファクトリーが自動的にパッチを適用します。 OpenAIは、パッチがマージされる前に依然として人間によるレビューが関門であると強調している。しかし、エージェントが完全なコードベースにアクセスし、監督なしで長期間実行されると、企業が権限の範囲をどのように設定し、そのアクションを監査するかが採用者にとって重要な問題となるだろう。

(出典: OpenAI、The Register、SecurityWeek、GBHackers。)