✨︎ Resumen (TL;DR):
- OpenAI presentó Daybreak Red Team, una herramienta que prueba aplicaciones web y confirma posibles vulnerabilidades.
- Daybreak Defense Factory investiga reportes y propone parches que los ingenieros deben revisar y probar.
- Una revisión de más de 130 propuestas encontró 21 regresiones, aunque ninguna rompió una protección de seguridad.
OpenAI presentó el 12 de noviembre Daybreak Red Team y Daybreak Defense Factory durante la presentación Cyber at the Frontier. Las dos herramientas usan agentes de inteligencia artificial para investigar fallas de seguridad y preparar correcciones. La página de Red Team permite solicitar acceso anticipado para probar aplicaciones web; Defense Factory aparece como una vista previa de investigación y deja la validación final en manos de ingenieros.
OpenAI también publicó la presentación en su canal de YouTube.
OpenAI las plantea como piezas de un mismo recorrido de seguridad: determinar si una alerta corresponde a una falla explotable, preparar un arreglo y comprobar que el cambio funcione.
Red Team busca confirmar qué fallas pueden explotarse
Daybreak Red Team es una herramienta de pruebas de penetración que usa agentes de inteligencia artificial para investigar posibles rutas de ataque en aplicaciones web autorizadas. Según OpenAI, esos agentes consultan el código fuente y el contexto de la aplicación para confirmar vulnerabilidades.
La herramienta también examina avisos procedentes de escáneres de código, programas de recompensas por errores e informes de divulgación. Las pruebas que reúne ayudan a los equipos a decidir qué problemas atender primero.
Cuando el equipo prepara un parche, Red Team puede volver a probar el método de explotación para comprobar si el cambio lo bloquea. La evaluación también puede repetirse después de cambios en la aplicación.
OpenAI afirma que emplea entornos aislados y revisión de Guardian para delimitar las aplicaciones y los puntos de acceso que los agentes pueden alcanzar. La página del producto invita a solicitar acceso anticipado, pero la compañía no describe esa etapa como una disponibilidad abierta para cualquier organización.
Defense Factory prepara cambios para que los ingenieros los validen
Daybreak Defense Factory es una herramienta que investiga hallazgos y propone correcciones en el código. Puede recibir reportes de otras herramientas de seguridad y de Red Team.
Sus agentes rastrean el problema y preparan un parche, pero los ingenieros deben revisarlo y probarlo antes de incorporarlo al repositorio. El equipo conserva la decisión sobre el cambio y su incorporación.
El recorrido puede conectar ambos productos. Una alerta de un escáner puede pasar a Defense Factory para investigar el código y preparar una propuesta; después, Red Team puede comprobar si el parche bloquea la explotación.
En su documentación, OpenAI describe Defense Factory como una vista previa de investigación que permite conectar repositorios de GitHub y mantener la revisión de modificaciones nuevas. El análisis de un repositorio grande puede tardar varias horas. La página del producto también menciona revisiones programadas y trabajo con Codex sobre las correcciones propuestas.
Una corrección también puede introducir regresiones
El 21 de octubre, Trail of Bits publicó una revisión de más de 130 propuestas de cambio que sus ingenieros habían elaborado con ayuda de agentes en Patch the Planet, una iniciativa conjunta con OpenAI. Los responsables de esos proyectos habían incorporado las propuestas.
Trail of Bits confirmó 21 regresiones, es decir, defectos que aparecieron al modificar comportamientos que antes funcionaban:
- 16 afectaron funciones.
- 1 afectó el rendimiento.
- 4 afectaron la compilación o las pruebas.
Ninguna rompió una protección de seguridad, señaló la firma. Esa revisión correspondía a otro trabajo y no mide el rendimiento de los dos productos recién presentados.
La revisión muestra por qué una corrección propuesta necesita pruebas: el equipo debe verificar tanto la falla original como los posibles efectos del cambio en el resto del programa.
El programa Daybreak no es lo mismo que Red Team
Daybreak también es el nombre del programa de acceso de OpenAI para trabajos de ciberseguridad autorizados. Su nivel Blue está orientado a tareas defensivas, mientras que Red requiere aprobación separada para actividades especializadas.
Compartir el nombre no convierte esos niveles en la herramienta Daybreak Red Team. El producto de pruebas de aplicaciones web es una herramienta distinta.
En las páginas de ambos productos, OpenAI no detalla precios. La utilidad para un equipo dependerá de las pruebas que pueda realizar sobre sus propias aplicaciones y de la forma en que revise y despliegue las correcciones propuestas.
Los agentes investigan y preparan una propuesta; los ingenieros deciden si el parche pasa las pruebas y se incorpora al repositorio. Red Team requiere solicitar acceso anticipado y Defense Factory sigue descrita como una vista previa de investigación.
