我們正在推出「修補地球」（Patch the Planet）計畫，這是 Daybreak 倡議下與 Trail of Bits 合作的項目，旨在協助維護者強化全球賴以運作的關鍵開源軟體。我們將運用最先進的網路安全模型進行 AI 輔助的安全研究，並結合人類專家審查，不僅能識別漏洞，還能協助修補這些漏洞。

AI 正在加速漏洞的發現，但僅僅發現並不能保護使用者。許多維護者已經面臨在有限時間和資源下，需要更快地處理更多報告的壓力。「修補地球」旨在減輕而非增加這種負擔：安全工程師會在發現結果送達維護者之前進行審查，與專案合作開發修補程式和測試，並建立可重複使用的工作流程，幫助團隊在首次修復後持續改進安全性。

此外，我們將與 HackerOne 和 Calif 合作，他們將協助我們在漏洞分類、協調披露以及額外專注的漏洞發現工作上，進一步推動我們的努力。

「修補地球」的每次合作都始於與維護者的諮詢。在每次合作中，安全工程師會與維護者合作，了解每個專案的需求、偏好，以及在哪裡投入額外的安全工作最有用：例如漏洞驗證、修補程式開發、CI/CD 改進，或長期的安全工程。一旦達成共識，研究人員會調查潛在漏洞、驗證重要問題、開發或完善修補程式、支援測試，並透過專案既定管道協調披露。

首批參與者包括 cURL、NATS Server、pyca/cryptography、Sigstore、aiohttp、Go 專案、freenginx、Python 和 python.org。這些專案支援廣泛使用的網路、密碼學、軟體供應鏈和語言基礎設施，強化其安全性將能惠及廣泛的下游產品和服務。未來還會有更多專案加入。

安全研究人員配備了我們的尖端模型以及 Codex Security，以支援分析、修補程式開發、測試和文件編寫。參與專案將獲得 ChatGPT Pro 的使用權；有條件地獲得 Codex Security 的使用權；以及用於核心開源開發、維護者自動化和發布工作流程的 API 點數。Trail of Bits 已經開發了 AI 輔助的去重、分類和修補工作流程，專案可以利用這些支援來運行。

Trail of Bits 已投入專職安全工程師，與 Codex 和 GPT‑5.5‑Cyber 合作，在 19 個開源專案中全職工作。他們已經識別出數百個安全問題，並合併了數十個修補程式，還有更多正在協調披露中。

初步的衝刺也產生了可重複使用的安全基礎設施：模糊測試工具、歷史 CVE 分析管道、差異測試系統、威脅模型、擴展的測試套件，以及用於去重、誤報過濾、嚴重性修正和修補程式生成的工作流程。隨著測試、修復和協調披露的進展，一些專案特定的細節將在稍後分享。以下是一些早期範例，展示了團隊能夠建立和發現的成果：

不到一天內建立模糊測試實驗室。Trail of Bits 工程師利用 Codex /goal 與 GPT‑5.5‑Cyber 的重複運行，建立了一個完整的模糊測試實驗室，涵蓋數十個進入點、變體建構、平台和新穎的測試種子。工程師設定目標並精煉提示詞；系統隨後利用覆蓋率回饋，持續擴展到新的介面、針對邊緣案例，並過濾掉較弱或無效的候選方案。

Trail of Bits 工程師發現，在有限的指導下，GPT‑5.5‑Cyber 在擴展覆蓋範圍、探測哪些建構和進入點，以及哪些候選方案過於薄弱而不值得追蹤方面，做出了有用的選擇。整個設定過程不到一天就完成。Trail of Bits 估計，手動建立相同的實驗室通常需要至少數週的時間。

可重複使用的已知漏洞變體發現管道。該團隊建立了一個端到端系統，能夠攝取歷史 CVE，提取相關的漏洞模式，在目標程式碼庫中搜尋相關缺陷，並透過專門的判斷代理發送候選結果。該管道會對結果進行去重，過濾掉可能的誤報，並將最強的證據路由給安全工程師進行手動確認。

這將多年的公開漏洞歷史轉化為可重複的搜尋策略，並可應用於多個專案。Trail of Bits 發現，這些模型在這種變體分析方面特別有效，在審查的程式碼庫中發現了許多額外的問題。

差異測試從數週或數月縮短到數天。同一協定的不同實作在相同輸入下通常應表現相同。當它們出現分歧時，其中一個可能包含錯誤。大規模應用此概念通常很困難，因為工程師必須編寫自訂的墊片和膠合程式碼，將每個實作連接到一個共同的測試工具。

Codex 生成並迭代了這些程式碼，使得多個實作可以相互進行模糊測試，並調查它們的行為差異。該工作流程過濾了許多較弱或無效的結果，並產生了一組相對高信號的候選方案供專家審查。團隊在數天內達成了這些結果，壓縮了過去需要數週或數月的工作。Trail of Bits 在發布專案特定細節之前，將繼續擴展和完善這些測試。

根據軟體規格承諾的行為進行測試。團隊使用 Codex 開發了基於專案規格和 RFC 的威脅模型、攻擊分類、不變性測試和基於屬性的測試。這些方法揭示了預期行為與實際行為之間的顯著差異，同時為專案帶來了更廣泛的測試覆蓋率、更強大的文件，以及 CI/CD 和軟體供應鏈工具的改進。

安全工程師在每個發現結果送達維護者之前進行審查。Trail of Bits 工程師在將每個安全問題提交給維護者之前都進行了手動審查，這一步驟的附加價值不容小覷。儘管尖端 AI 模型在發現和修補漏洞方面能力很強，但它們也會產生大量的誤報，這可能會加劇維護者已經面臨的巨大積壓工作。

「修補地球」透過讓專職的 Trail of Bits 研究人員重現證據、根據專案特定文件和威脅模型檢查發現結果、移除重複項、重新評估嚴重性，並優先處理已確認的漏洞來解決這個問題。他們還會根據維護者的偏好開發和提交修補程式。維護者仍保有對修補程式部署方式和披露處理方式的控制權。

OpenAI Daybreak 已發現的成果。「修補地球」建立在 Daybreak 更廣泛的工作基礎上，展示了尖端模型如何幫助防禦者發現、驗證和修復廣泛使用的軟體中的嚴重漏洞。我們在此分享一些早期亮點，同時保留仍在披露過程中的漏洞利用機制和專案特定細節。隨著修復完成和協調披露結束，我們計畫發布更深入的技術報告，詳細介紹個別發現、研究方法、驗證工作流程以及其他防禦者可以應用的經驗教訓。

我們的發現涵蓋了軟體堆疊的每一層，還有更多仍在披露過程中。

作業系統：Linux Kernel：GPT‑5.5‑Cyber 在超過 3000 萬行程式碼中識別出與安全相關的組件，標記了潛在的安全問題，然後動態驗證它們，生成了 8 個核心指標資訊洩漏概念驗證（PoC）和 24 個本地權限提升漏洞利用。我們注意到，雖然識別出數百個問題，但這只是其中自動生成 PoC 的子集。

OpenBSD：我們的模型在 OpenBSD 的 System V 號誌核心實作中，發現了一個存在 23 年之久的 use-after-free 漏洞。OpenAI 研究人員重現了這個問題，並確認它可能允許未經授權的本地使用者將權限提升至 root。

FreeBSD：Calif 的安全研究人員使用 Codex 在 FreeBSD 中發現並驗證了多個本地權限提升（LPE）漏洞的概念驗證利用。在更廣泛的 FreeBSD 行動中，OpenAI 研究人員確認了 34 個漏洞，並產生了 7 個本地權限提升的 PoC。

網路：dnsmasq：Codex Security 獨立識別出與 dnsmasq 2.92rel2 中後來修復的六個 CVE 中的四個相應的漏洞模式：CVE-2026-4890、CVE-2026-4891、CVE-2026-4892 和 CVE-2026-5172。

HTTP/2 Bomb：Calif 使用 Codex 識別出「HTTP/2 Bomb」，這是一種阻斷服務技術，影響包括 NGINX、Apache、IIS 和 Pingora 在內的主要 HTTP/2 實作。Calif 的分析顯示，超過 88 萬個面向網路的網站正在運行受影響且啟用 HTTP/2 的伺服器軟體。

瀏覽器：Chrome：OpenAI 研究人員在 Chrome 的 V8 JavaScript 引擎中發現並報告了五個可利用的漏洞，其中三個在被引入後的數天內就被識別並修復。

Safari：在大約一週的 WebKit 專注工作中，發現並報告了超過 10 個可利用的 Safari 漏洞。

Firefox：OpenAI Preparedness 在安全評估期間，使用 GPT‑5.5 識別出一個 WebAssembly 漏洞（CVE-2026-8390），Mozilla 在 Pwn2Own Berlin 前兩天修補了這個漏洞，導致六個註冊的 Firefox 參賽者中有五個退出。在比賽中沒有成功展示任何 Firefox 漏洞利用。

開源軟體是共享的基礎設施，確保其安全應是共同的責任。AI 正在改變漏洞發現的速度，而現在的工作是確保這些好處能傳達到最需要的維護者和使用者手中。

「修補地球」旨在將完整的防禦循環服務於維護者：包括發現、驗證、嚴重性審查、披露、修補程式開發、測試和部署。尖端模型可以加速這個循環的部分環節，但目標是為負責共享基礎設施的人員提供更好的工具和更多能力，同時保留他們對變更如何實施的自主權。

這次的首次衝刺展示了維護者、安全工程師和 AI 輔助工作流程之間持續合作所能帶來的成果：即時修復、更強大的專案基礎設施，以及可重複使用的安全工作，這些都能隨著時間的推移持續改進開源軟體。

這僅僅是個開始。隨著更多修復的落地和協調披露的完成，我們計畫發布更深入的技術報告，內容涵蓋選定的發現、用於發現和驗證它們的方法，以及防禦者可以調整以幫助保護所有人賴以生存的軟體的工作流程。如果您是維護者，可以在此申請加入「修補地球」計畫。