Max Justicz, CTO e cofondatore di Charge Robotics, ha impiegato un modello OpenAI per individuare una vulnerabilità grave in un codebase che, se sfruttata, avrebbe potuto consentire il controllo di server Ubuntu. Il caso mostra come l’intelligenza artificiale stia diventando uno strumento operativo per la ricerca di difetti nel codice, accanto alle attività più note di generazione testuale e multimediale.
La scoperta è stata possibile grazie a GPT 5.6 Sol, rilasciato in luglio e utilizzato attraverso Daybreak Blue, il programma che mette a disposizione dei difensori modelli frontier potenti. Justicz, interessato alla cybersicurezza anche per passione e autorevolemente autore di una precedente vulnerabilità nello stesso codebase, ha raccontato di aver individuato il problema in due ore, dopo aver chiesto al sistema di cercare bug almeno altrettanto gravi di uno scoperto in precedenza e corretto diversi anni prima.
“Il modello ha individuato la vulnerabilità in due ore e il problema è estremamente complesso e difficile da trovare per una persona.” La sua ricostruzione evidenzia la rapidità del risultato e la difficoltà tecnica del codice analizzato. Justicz ha quindi segnalato la questione al Debian Project, che si occupa della manutenzione del software e ha rilasciato una patch.
Non esiste alcuna prova nota di sfruttamento della vulnerabilità. Questo non elimina però la rilevanza del ritrovamento: la rapidità con cui il modello ha operato indica che il numero di exploit potenzialmente individuabili potrebbe essere molto superiore a quello finora documentato, anche per hacker meno esperti che possono avvalersi dell’aiuto degli strumenti di IA.
La disponibilità di modelli capaci di esaminare codice non ancora controllato lascia aperta una prospettiva concreta per chi lavora nella sicurezza. “Esiste una grande opportunità nel puntare un modello di IA potente su codice o binari non ancora auditati”, ha osservato Justicz. Lo stesso ha aggiunto: “Dovremmo aspettarci che nei prossimi mesi vengano scoperti e sfruttati bug estremamente gravi.”
ChatGPT Cyber e l’espansione di Daybreak
OpenAI ha annunciato ChatGPT Cyber, un modello dedicato alla cybersicurezza che sarà riservato agli utenti di livello più elevato di Daybreak Red. Quest’ultimo programma fornisce ai ricercatori di sicurezza offensive strumenti per la ricerca e lo sviluppo di vulnerabilità, estendendo l’accesso alle tecnologie impiegate nel programma Daybreak Blue.
Secondo quanto dichiarato da OpenAI, lo stesso modello è stato utilizzato per analizzare il kernel Linux e preparare patch relative a 948 potenziali problemi. L’attività ha riguardato anche il browser Firefox, nel quale sono state individuate 81 vulnerabilità “novel”. Il lancio accompagna una più ampia strategia di espansione: “L’obiettivo di OpenAI è ampliare drasticamente Daybreak e portare la ricerca avanzata di sicurezza a organizzazioni di ogni dimensione, ricercatori indipendenti e manutentori open source.”
Il programma, inoltre, prevede l’accesso a modelli frontier per i professionisti che si occupano della sicurezza di infrastrutture critiche. OpenAI sostiene che esiste una breve finestra temporale per agire prima che i modelli diventino ancora più capaci di attaccare e più facili da usare. La necessità di intervenire rapidamente si scontra, secondo quanto osservato nel materiale analizzato, con i carichi di lavoro aggiuntivi generati per i difensori e con le risorse a loro disposizione.
Un investimento da $1 miliardo
OpenAI ha annunciato un’iniziativa da $1 miliardo per sostenere i professionisti della cybersicurezza che partecipano a Daybreak e lavorano su infrastrutture critiche come la rete elettrica o i sistemi idrici. L’obiettivo è offrire strumenti e capacità operative a chi deve proteggere infrastrutture essenziali, mentre l’azienda afferma che partecipano al programma “migliaia” di professionisti della cybersicurezza.
Justicz ha dichiarato di aver speso circa $5.000 in abbonamenti e token per individuare più exploit. Il costo personale mostra il peso economico delle attività di ricerca, ma il confronto con i dati forniti da OpenAI richiede cautela: la caccia ai problemi nel kernel Linux è costata $1.2 million, mentre la ricerca di una soluzione per un celebre problema di fluidodinamica ha richiesto circa $6 million in token. Sono valori indicativi di iniziative differenti, non un confronto omogeneo tra le due attività.
Le critiche rivolte a Daybreak riguardano soprattutto i limiti applicati a Daybreak Blue, che Justicz ritiene di recente riduzione dell’utilità del programma nella ricerca di vulnerabilità. L’accesso richiede un controllo dell’identità: per iscriversi, lo stesso ricercatore ha caricato una foto della propria patente di guida. La limitazione può ridurre i rischi per eventuali attori malevoli, ma lascia anche i professionisti della sicurezza con meno strumenti rispetto a chi può impiegare modelli open-weight con protezioni rimosse.
Le risorse dedicate alla ricerca
Non è chiaro se i laboratori frontier stiano destinando risorse sufficienti al problema. Eric Wallace, ricercatore dello staff tecnico di OpenAI, ha dichiarato: “Stiamo allocando una quantità significativa delle nostre risorse di calcolo frontier alla scoperta e alla correzione di vulnerabilità nei codebase open source, interamente a titolo gratuito.”
Il modello impiegato da Justicz ha quindi trasformato una richiesta di ricerca in un risultato applicabile, seguito dalla segnalazione e dalla correzione del difetto. Restano aperte la questione delle risorse complessive e l’effettiva capacità dei difensori di tenere il passo con strumenti che diventano sempre più accessibili e sofisticati.
