OpenAI представила Aardvark — автономного AI-агента на базе GPT-5, который сам ищет уязвимости в коде, проверяет их в изолированной среде и пишет патчи для исправления. Инструмент уже работает в приватной бете и нашёл десятки реальных багов с присвоенными CVE-номерами.
CVE (Common Vulnerabilities and Exposures) — это общепринятая система идентификации и каталогизации известных уязвимостей в программном обеспечении и информационных системах. Каждой ошибке присваивается уникальный номер, который позволяет ссылаться на конкретную проблему.
Этот номер фиксирует сведения о проблеме: краткое описание, источник обнаружения, оценку её критичности и рекомендации по исправлению. CVE стандартизирует и упрощает обмен информацией между разработчиками, специалистами по безопасности и инструментами для поиска и устранения уязвимостей. В 2024 году зарегистрировали более 40 тысяч CVE. Это больше ста найденных новых уязвимостей каждый день.
Aardvark — это не просто продвинутый линтер (программа, которая автоматически проверяет исходный код на наличие ошибок, несоответствий стилю и других потенциальных проблем), это настоящий исследователь. Эта ИИ-система подходит к коду как настоящий хакер: читает, анализирует, пишет тесты и пытается всё сломать.
Сначала агент изучает весь репозиторий и составляет модель угроз — по сути, карту того, где может быть больно. Изучает каждое сохраненное изменение кода. Если находит что-то подозрительное, то переносит фрагмент в изолированную «песочницу» и изучает. Если баг подтверждается, Aardvark не просто сообщает о проблеме — он подробно объясняет суть уязвимости и через интеграцию с Codex (ИИ-бот для программирования от OpenAI) разрабатывает готовый патч. Разработчику остаётся только нажать кнопку «применить». В тестах на специально подготовленных репозиториях Aardvark обнаружил 92% уязвимостей.
Интересно, что Aardvark – это внутренняя служебная разработка OpenAI. Инженерам компании надоело искать ошибки вручную, и они создали себе помощника. Когда выяснилось, что агент действительно полезен и находит неочевидные проблемы, решили масштабировать проект и для всех пользователей. Сейчас инструмент находится в приватной бете — OpenAI приглашает избранных партнёров протестировать систему и дать обратную связь.
У других техногигантов есть похожие инструменты. Google DeepMind, IBM Watsonx, Microsoft с интеграцией в GitHub и Azure — все разрабатывают AI-решения для кибербезопасности. Но Aardvark выделяется своей автономностью, глубиной анализа и способностью сразу предлагать рабочие исправления. Большинство конкурентов либо только находят проблемы, либо дают общие рекомендации.
