OpenAI hat eine neue Initiative angekündigt, die der Open-Source-Community helfen soll, Sicherheitslücken schneller zu finden und zu beheben. Die Aktion zielt darauf ab, Maintainer:innen zu entlasten und Projekte langfristig besser abzusichern.
Kooperation mit Sicherheitsfirma und Einsatz von KI-Werkzeugen
Die Initiative trägt den Namen „Patch the Planet“, eine Anspielung auf den Satz „Hack the Planet“ aus dem Film „Hackers“ von 1995. OpenAI arbeitet dafür mit der Sicherheitsfirma Trail of Bits zusammen, um Open-Source-Maintainer:innen gezielt zu unterstützen.
Laut Ankündigung sollen Sicherheitsteams von Trail of Bits direkt mit den Projektverantwortlichen zusammenarbeiten und Quellcode auf mögliche Probleme prüfen. Dabei kommen auch Sicherheitswerkzeuge von OpenAI wie Codex Security zum Einsatz, die den Analyseprozess unterstützen.
OpenAI betont, viele Maintainer:innen müssten bereits jetzt mehr Meldungen in kürzerer Zeit bearbeiten, ohne dass ihnen zusätzliche Ressourcen zur Verfügung stehen. „Patch the Planet“ solle diese Belastung verringern statt erhöhen. Sicherheitsingenieur:innen sichten die Funde, bevor sie die Maintainer:innen erreichen, entwickeln gemeinsam Patches und Tests und erstellen wiederverwendbare Abläufe, mit denen Teams ihre Sicherheit auch nach den ersten Korrekturen weiter verbessern können.
Die Rolle von Trail of Bits lässt sich dabei mit einem Notfallteam für Code vergleichen. Die Ingenieur:innen helfen, potenzielle Schwachstellen zu identifizieren, zu bewerten und zu priorisieren, während OpenAIs Software im Hintergrund unterstützt. Wie das Programm langfristig organisiert wird und ob es sich später skalieren lässt, bleibt allerdings noch offen.
Offener Quellcode als Sicherheitsrisiko für kommerzielle Software
Open-Source-Projekte bilden die Grundlage eines großen Teils der kommerziellen Softwareindustrie. Gleichzeitig sorgt die dezentrale und oft wenig überwachte Struktur der Szene dafür, dass viele Projekte unsicher sind. Sicherheitslücken in Open-Source-Komponenten können sich schnell zu ernsten Problemen in kommerziellen Codebasen auswachsen.
Ein bekanntes Beispiel ist der Vorfall rund um log4j vor einigen Jahren. Damals wurde in einem weit verbreiteten Open-Source-Werkzeug eine gravierende Schwachstelle entdeckt, die zahlreiche Produkte und Dienste betraf. Der Fall zeigte, wie stark Unternehmen von der Sicherheit gemeinschaftlich gepflegter Bibliotheken abhängen.
KI als Werkzeug für Verteidiger:innen statt für Angreifer:innen
In den vergangenen Monaten haben Werkzeuge wie Mythos, ein viel beachtetes Sicherheitsprodukt von Anthropic, für Diskussionen gesorgt. Ein Kern der Kritik: Künstliche Intelligenz kann bestehende Fehler in Codebasen automatisch finden und ausnutzen. Die Automatisierung von Cyberkriminalität ist zwar nicht neu, doch solche Werkzeuge könnten es Angreifer:innen deutlich bequemer machen.
OpenAI setzt nun an einem anderen Punkt an und versucht, KI gezielt zur Stärkung der Open-Source-Community einzusetzen. Die Initiative nutzt ähnliche technische Möglichkeiten, soll sie jedoch zugunsten der Verteidigung verwenden. Dabei drängt sich der Eindruck auf, dass „Patch the Planet“ auch als Konkurrenzangebot zu Anthropic gelesen werden kann, während es zugleich einen Bedarf adressiert, den viele Open-Source-Projekte seit Langem haben.
