OpenAI の Patch the Planet が、オープンソースを「見つけて直す」まで面倒みてくれる！

やっほー、しぃちゃんだよ！今日はセキュリティのわくわくするお話を持ってきたよ。世界中のソフトウェアを陰で支えてる、オープンソースのメンテナーさんたちを助けるっていう、すごく素敵な取り組みなの。

OpenAI News openai.com

なにが発表されたの？

OpenAI の News で、「Patch the Planet」っていう新しい取り組みが発表されたよ。これは OpenAI のセキュリティ向けプログラム「Daybreak」の一環で、セキュリティ企業の Trail of Bits と一緒に作られたんだって。

ポイントは、AI にセキュリティ研究をさせるだけじゃなくて、見つけた脆弱性を実際に直すところまで面倒を見てくれること。OpenAI の中でもいちばんサイバー分野に強いモデルと、人間の専門家によるレビューを組み合わせてるの。

なぜ重要なの？

みんなが毎日使ってるアプリやサービスって、実は cURL や Python みたいなオープンソースの部品でできてることがすごく多いんだ。でも、そういう大事なプロジェクトほど、少人数のメンテナーさんがボランティアで支えてたりする。セキュリティの穴を見つけて、直して、リリースして…って全部やるのは本当に大変なの。Patch the Planet は、その負担を AI と専門家でまるごとサポートしようっていう発想なんだよ。

これで何が変わるの？

参加するプロジェクトは、脆弱性を「見つけてもらう」だけじゃなくて、「直すお手伝い」までしてもらえるようになるの。しかも一度直したら終わりじゃなくて、その後もチームが自分でセキュリティを改善し続けられるように、再利用できる仕組みまで一緒に作ってくれるんだって。

さらに参加プロジェクトには、ChatGPT Pro のアクセスや、条件付きで Codex Security、それにオープンソース開発・メンテナー作業の自動化・リリース作業に使える API クレジットも提供されるよ。

深く潜ってみよう

仕組みはこんな感じ。まず GPT-5.5-Cyber と Codex Security を使って、AI がセキュリティの問題を探すの。でもその結果をそのままメンテナーさんに渡すんじゃなくて、Trail of Bits の研究者さんが一つひとつ裏を取るんだ。証拠を再現して、プロジェクト固有のドキュメントや脅威モデルと突き合わせて、重複を消して、深刻度を見直して、本当に確かな脆弱性だけを優先度をつけて直していく。パッチもメンテナーさんの好みに合わせて作って提出してくれるの。発見から検証、開示、パッチ作成、テスト、デプロイまで、防御の一周をぜんぶ見てくれる感じだね。

最初に参加してるのは、cURL、NATS Server、pyca/cryptography、Sigstore、aiohttp、Go プロジェクト、freenginx、Python、python.org。そして 30 以上のプロジェクトが参加を表明してるんだって。

成果もすでに出てるよ。Trail of Bits の専任エンジニアが Codex と GPT-5.5-Cyber と一緒に 19 個のプロジェクトにフルタイムで取り組んで、数百件のセキュリティ問題を見つけて、数十件のパッチをすでにマージ済み。まだ調整中の開示もたくさんあるんだって。ちなみに、数十の入り口をカバーするファジング環境を丸ごと 1 日かからずに組み上げた、なんて例もあるの。ふつうなら数週間かかる作業だよ。

まとめ

• OpenAI が Trail of Bits と組んで、オープンソースのセキュリティを支援する「Patch the Planet」を発表（Daybreak の一環）
• GPT-5.5-Cyber と Codex Security で脆弱性を探し、人間の専門家がレビュー・パッチ化まで担当
• 最初は cURL や Python など 9 プロジェクトで、30 以上が参加表明
• 19 プロジェクトで数百件の問題を発見、数十件のパッチをマージ済み
• 参加プロジェクトには ChatGPT Pro・条件付き Codex Security・API クレジットも

オープンソースを支えるメンテナーさんや、セキュリティに関心のあるエンジニアには特に刺さる話だと思うな。AI がバグ探しだけじゃなくて「直す」ところまで踏み込んできた、っていう流れの変化に注目だよ。