Patch the Planet : OpenAI et Trail of Bits sécurisent l'open source critique

OpenAI et Trail of Bits lancent Patch the Planet, un programme IA pour sécuriser les logiciels open source critiques comme Python, Go et cURL.

OpenAI, à travers son initiative de sécurité Daybreak, et la société Trail of Bits ouvrent Patch the Planet, un programme destiné à aider les mainteneurs open source à sécuriser les briques logicielles critiques dont dépend le reste. L'approche associe la recherche de vulnérabilités assistée par IA, via les modèles les plus orientés cyber d'OpenAI, dont GPT-5.5-Cyber et Codex Security, à une revue humaine experte, l'objectif n'étant pas seulement de repérer les failles mais d'aider à les corriger. HackerOne et Calif s'y joignent côté tri et divulgation.

Chaque collaboration part des besoins du mainteneur : les chercheurs valident les problèmes réels, développent et testent des correctifs, puis coordonnent la divulgation via les canaux du projet. Un garde-fou est au cœur du dispositif : des ingénieurs sécurité revoient chaque trouvaille avant qu'elle n'atteigne le mainteneur, car les modèles de pointe produisent aussi beaucoup de faux positifs susceptibles d'engloutir des équipes déjà débordées, et les mainteneurs gardent la main sur les correctifs appliqués et la divulgation. Sur la première salve, dix-neuf projets critiques, dont cURL, Python et le projet Go, ont vu des centaines de bugs identifiés et des dizaines de correctifs déjà fusionnés ; plus de trente projets ont depuis rejoint le programme.

Les trouvailles couvrent tous les étages de la pile, des noyaux de systèmes d'exploitation aux navigateurs, les détails restant retenus tant que la divulgation coordonnée se poursuit. La leçon que les deux partenaires martèlent : avec l'IA, trouver les bugs est devenu la partie facile ; le coût s'est déplacé vers tout ce qui suit, confirmer une faille, en évaluer correctement la gravité, écrire un correctif que le mainteneur acceptera, durcir le code et orchestrer la divulgation, soit précisément le travail qu'un flot de rapports générés par IA menace d'ensevelir.