OpenAI показала нового «агентного исследователя безопасности» — систему под названием Aardvark, построенную на большой языковой модели GPT-5. Разработчики называют её цифровым аналогом опытного специалиста по безопасности: агент умеет сканировать код, разбираться в его логике и предлагать исправления для найденных уязвимостей. Пока продукт доступен только в приватной бете.
Как это работает
По описанию OpenAI, Aardvark непрерывно анализирует репозитории с исходным кодом, чтобы находить уязвимости, оценивать их реальную эксплуатируемость, расставлять приоритеты по степени опасности и предлагать точечные патчи. Агент встраивается прямо в цикл разработки: следит за коммитами и изменениями в кодовой базе, выявляет потенциально опасные места и объясняет, как их можно использовать злоумышленнику.
Работа строится в несколько этапов. Сначала Aardvark изучает проект целиком и формирует «модель угроз» — представление о том, какие цели безопасности и архитектурные решения важны именно для этого кода. Опираясь на неё, агент проверяет историю репозитория на предмет уже существующих проблем, а также анализирует каждое новое изменение на предмет новых.
Когда потенциальная уязвимость найдена, Aardvark пытается воспроизвести её в изолированной песочнице — так система подтверждает, что дыра действительно эксплуатируема, а не является ложным срабатыванием. Для генерации исправления агент использует другой продукт OpenAI — кодового помощника Codex, а готовый патч в итоге всё равно проходит проверку человеком-аналитиком.
Питает Aardvark модель GPT-5, представленная OpenAI в августе 2025 года. Компания описывает её как «умную и эффективную» модель с расширенными возможностями рассуждения (за счёт режима GPT-5 thinking) и «маршрутизатором в реальном времени», который сам выбирает подходящий режим работы модели в зависимости от типа диалога, его сложности и намерений пользователя.
Уже нашла реальные уязвимости
OpenAI сообщила, что тестировала агента как на собственной внутренней кодовой базе, так и совместно с внешними альфа-партнёрами. По итогам испытаний Aardvark помог обнаружить не менее 10 CVE в open-source проектах.
OpenAI — не единственная компания, делающая ставку на ИИ-агентов для автоматического поиска и устранения уязвимостей. Ранее в том же месяце Google анонсировала собственный инструмент CodeMender, который, по заявлению компании, находит, патчит и переписывает уязвимый код, чтобы предотвратить будущие эксплойты. Google также планирует сотрудничать с мейнтейнерами критически важных open-source проектов для интеграции патчей, сгенерированных CodeMender. На этом фоне Aardvark, CodeMender и ещё один похожий инструмент — XBOW — позиционируются как средства непрерывного анализа кода, проверки эксплойтов и генерации патчей. Анонс Aardvark прозвучал вскоре после релиза моделей gpt-oss-safeguard, дообученных специально под задачи классификации угроз безопасности.
«Aardvark представляет собой новую, ориентированную на защиту модель: агентного исследователя безопасности, который работает в связке с командой разработки, обеспечивая непрерывную защиту по мере эволюции кода, — заявили в OpenAI. — Обнаруживая уязвимости на раннем этапе, подтверждая их реальную эксплуатируемость и предлагая понятные исправления, Aardvark способен усилить безопасность, не замедляя темпы разработки. Мы верим в расширение доступа к экспертизе в области безопасности».
Источник: The Hacker News.