Upoznajte Aardvark, OpenAI-jevog sigurnosnog agenta za analizu koda i zakrpe

OpenAI je predstavio Južnoafrički mravojeda Autonomni sigurnosni istraživački agent s pogonom GPT-5 sada dostupan u privatnoj beta verziji.

Dizajniran da oponaša kako ljudski stručnjaci identificiraju i rješavaju ranjivosti softvera, Aardvark nudi višefazni pristup vođen LLM-om za kontinuirano, 24/7/365 analiza koda, validacija iskorištavanjai generacija zakrpa!

Pozicioniran kao skalabilni obrambeni alat za moderna okruženja za razvoj softvera, Aardvark se testira u internim i eksternim bazama koda.

OpenAI izvješćuje o visokoj sjećanju i stvarnoj učinkovitosti u identificiranju poznatih i sintetičkih ranjivosti, s ranim implementacijama koje otkrivaju prethodno neotkrivene sigurnosne probleme.

Aardvark dolazi nakon jučerašnjeg izdanja OpenAI-jevog modela gpt-oss-safeguard, proširujući nedavni naglasak tvrtke na sustave agente i sustave usklađene s politikama.

Tehnički dizajn i rad

Aardvark radi kao agentski sustav koji kontinuirano analizira repozitorije izvornog koda. Za razliku od konvencionalnih alata koji se oslanjaju na fuzzing ili analizu sastava softvera, Aardvark koristi LLM razmišljanje i mogućnosti korištenja alata za tumačenje ponašanja koda i identificiranje ranjivosti.

Simulira tijek rada istraživača sigurnosti čitanjem koda, provođenjem semantičke analize, pisanjem i izvršavanjem testnih slučajeva i korištenjem dijagnostičkih alata.

Njegov proces slijedi strukturirani višefazni cjevovod:

1. Modeliranje prijetnji – Aardvark započinje svoju analizu unosom cijelog repozitorija koda kako bi generirao model prijetnje. Ovaj model odražava zaključene sigurnosne ciljeve i arhitektonski dizajn softvera.

2. Skeniranje na razini predaje – Kako se izvršavaju izmjene koda, Aardvark uspoređuje razlike s modelom prijetnji repozitorija kako bi otkrio potencijalne ranjivosti. Također izvodi povijesna skeniranja kada se repozitorij prvi put poveže.

3. Pješčanik za provjeru valjanosti – Otkrivene ranjivosti testiraju se u izoliranom okruženju kako bi se potvrdila iskoristivost. Ovo smanjuje lažne pozitivne rezultate i povećava točnost izvješća.

4. Automatizirano krpanje – Sustav se integrira s OpenAI Codexom za generiranje zakrpa. Ovi predloženi popravci se zatim pregledavaju i šalju putem zahtjeva za povlačenjem na odobrenje razvojnog programera.

Aardvark se integrira s GitHubom, Codexom i uobičajenim razvojnim kanalima za pružanje kontinuiranog, nenametljivog sigurnosnog skeniranja. Svi su uvidi namijenjeni ljudskoj reviziji, s jasnim komentarima i mogućnošću reprodukcije.

Izvedba i primjena

Prema OpenAI-ju, Aardvark je operativan nekoliko mjeseci na internim bazama koda i s odabranim alfa partnerima.

U referentnom testiranju na “zlatnim” spremištima—gdje su ubačene poznate i sintetičke ranjivosti—Aardvark je identificirao 92% ukupnih problema.

OpenAI naglašava da su njegova točnost i niska lažno pozitivna stopa ključne razlike.

Agent je također raspoređen na open-source projektima. Do danas je otkrio više kritičnih problema, uključujući deset ranjivosti kojima su dodijeljeni CVE identifikatori.

OpenAI navodi da su svi nalazi odgovorno objavljeni u skladu s nedavno ažuriranom koordiniranom politikom otkrivanja, koja daje prednost suradnji umjesto krutim rokovima.

U praksi, Aardvark je otkrio složene greške izvan tradicionalnih sigurnosnih nedostataka, uključujući logičke pogreške, nepotpune popravke i rizike privatnosti. Ovo sugerira širu korisnost izvan konteksta specifičnih za sigurnost.

Integracija i zahtjevi

Tijekom privatne beta verzije, Aardvark je dostupan samo organizacijama koje koriste GitHub Cloud (github.com). OpenAI poziva beta testere na prijavite se ovdje online ispunjavanjem web obrasca. Zahtjevi za sudjelovanje uključuju:

• Integracija s GitHub Cloudom

• Predanost interakciji s Aardvarkom i pružanje kvalitetnih povratnih informacija

• Prihvaćanje uvjeta i pravila privatnosti za beta verziju

OpenAI je potvrdio da se kod poslan Aardvarku tijekom beta verzije neće koristiti za treniranje njegovih modela.

Tvrtka također nudi pro bono skeniranje ranjivosti za odabrana nekomercijalna spremišta otvorenog koda, navodeći svoju namjeru da pridonese zdravlju lanca nabave softvera.

Strateški kontekst

Lansiranje Aardvarka signalizira šire kretanje OpenAI-ja prema agentskim AI sustavima s mogućnostima specifičnim za domenu.

Dok je OpenAI najpoznatiji po svojim modelima opće namjene (npr. GPT-4 i GPT-5), Aardvark je dio rastućeg trenda of specijalizirani AI agenti dizajniran za poluautonomni rad unutar okruženja stvarnog svijeta. Zapravo, sada se pridružuje dva druga aktivna OpenAI agenta:

• ChatGPT agent, predstavljen još u srpnju 2025., koji kontrolira virtualno računalo i web-preglednik te može stvarati i uređivati ​​uobičajene datoteke produktivnosti

• Codex — prethodni naziv OpenAI-jevog modela kodiranja otvorenog koda, koji je uzeo i ponovno upotrijebio kao naziv svog novog GPT-5 varijanti pokretanog AI agenta za kodiranje predstavljenog u svibnju 2025.

No, agent usmjeren na sigurnost ima puno smisla, pogotovo jer zahtjevi za sigurnosne timove rastu.

Samo u 2024. godini prijavljeno je više od 40 000 uobičajenih ranjivosti i izloženosti (CVE), a interni podaci OpenAI-ja sugeriraju da 1,2% svih predaja koda predstavlja pogreške.

Pozicioniranje Aardvarka kao “branitelja na prvom mjestu” AI-a usklađeno je s tržišnom potrebom za proaktivnim sigurnosnim alatima koji se čvrsto integriraju s tijekovima rada programera, a ne rade kao post-hoc slojevi skeniranja.

Ažuriranja OpenAI-jeve koordinirane politike otkrivanja dodatno jačaju njegovu predanost održivoj suradnji s programerima i zajednicom otvorenog izvornog koda, umjesto da naglašavaju kontradiktorno prijavljivanje ranjivosti.

Dok jučerašnje izdanje oss-safeguarda koristi rezoniranje lanca misli za primjenu sigurnosnih politika tijekom zaključivanja, Aardvark primjenjuje slično rezoniranje LLM-a kako bi osigurao razvojne baze kodova.

Zajedno, ovi alati signaliziraju OpenAI-jev pomak od statičnih alata prema fleksibilnim, kontinuirano prilagodljivim sustavima — jedan je usmjeren na moderiranje sadržaja, drugi na proaktivno otkrivanje ranjivosti i automatizirano krpanje unutar okruženja za razvoj softvera u stvarnom svijetu.

Što to znači za poduzeća i CyberSec tržište u budućnosti

Aardvark predstavlja ulazak OpenAI-ja u automatizirano sigurnosno istraživanje putem agentske umjetne inteligencije. Kombinirajući GPT-5 razumijevanje jezika s Codex-ovim zakrpama i sandboxovima za provjeru valjanosti, Aardvark nudi integrirano rješenje za moderne softverske timove koji se suočavaju sa sve većom složenošću sigurnosti.

Iako je trenutačno u ograničenoj beta verziji, rani pokazatelji izvedbe sugeriraju potencijal za šire usvajanje. Ako se dokaže da je učinkovit u većem opsegu, Aardvark bi mogao doprinijeti promjeni načina na koji organizacije ugrađuju sigurnost u okruženja kontinuiranog razvoja.

Za voditelje sigurnosti zadužene za upravljanje odgovorom na incidente, otkrivanje prijetnji i svakodnevnu zaštitu—posebno one koji rade s ograničenim timskim kapacitetom—Aardvark može poslužiti kao multiplikator snage. Njegov autonomni cjevovod za provjeru valjanosti i prijedlozi zakrpa koje može provjeriti čovjek mogli bi pojednostaviti trijažu i smanjiti zamor od upozorenja, omogućujući manjim sigurnosnim timovima da se usredotoče na strateške incidente umjesto na ručno skeniranje i praćenje.

Inženjeri umjetne inteligencije odgovorni za integraciju modela u žive proizvode mogu imati koristi od Aardvarkove sposobnosti otkrivanja grešaka koje proizlaze iz suptilnih logičkih nedostataka ili nepotpunih popravaka, osobito u brzim razvojnim ciklusima. Budući da Aardvark prati promjene na razini predaje i prati ih u odnosu na modele prijetnji, može pomoći u sprječavanju ranjivosti uvedenih tijekom brze iteracije, bez usporavanja rokova isporuke.

Za timove koji upravljaju umjetnom inteligencijom u distribuiranim okruženjima, Aardvarkova validacija sandboxa i kontinuirane petlje povratnih informacija mogu se dobro uskladiti s cjevovodima u stilu CI/CD za ML sustave. Njegova mogućnost uključivanja u tijekove rada na GitHubu pozicionira ga kao kompatibilan dodatak modernim skupovima operacija umjetne inteligencije, posebno onima kojima je cilj integrirati robusne sigurnosne provjere u automatizirane cjevovode bez dodatnih troškova.

A timovima za podatkovnu infrastrukturu koji održavaju kritične cjevovode i alate, Aardvarkove mogućnosti inspekcije vođene LLM-om mogle bi ponuditi dodatni sloj otpornosti. Ranjivosti u slojevima orkestracije podataka često prolaze nezapaženo dok se ne iskoriste; Aardvarkov tekući proces pregleda koda može otkriti probleme ranije u životnom ciklusu razvoja, pomažući podatkovnim inženjerima da održe i integritet i vrijeme rada sustava.

U praksi, Aardvark predstavlja pomak u načinu na koji se sigurnosna ekspertiza može operacionalizirati – ne samo kao obrambeni perimetar, već kao uporan sudionik svjestan konteksta u životnom ciklusu softvera. Njegov dizajn sugerira model u kojem branitelji više nisu usko grlo zbog veličine, već su pojačani inteligentnim agentima koji rade uz njih.

Web izvor