官方表示，Aardvark 代表了人工智能和安全研究領域的一項突破：它是一款自主代理，可以幫助開發人員和安全團隊大規模地發現和修復安全漏洞。

Aardvark 目前已進入內部測試階段，以驗證和完善其在實際應用中的能力。

Aardvark 如何工作？

Aardvark 會持續分析源代碼庫，以識別漏洞、評估可利用性、確定嚴重性優先級并提出有針對性的補丁。

Aardvark 的工作原理是監控代碼庫的提交和變更，識別漏洞及其可能的利用方式，并提出修復方案。這讓其不依賴模糊測試或軟件成分分析等傳統程序分析技術，而是利用 LLM 驅動的推理和工具來理解代碼行為并識別漏洞。

總而言之，Aardvark 查找漏洞的方式與人類安全研究人員類似：閱讀代碼、分析代碼、編寫和運行測試、使用工具等等。

Aardvark 依靠多階段流程來識別、解釋和修復漏洞：

• 分析：首先分析整個存儲庫，以生成反映其對項目安全目標和設計的理解的威脅模型。

• 提交掃描：每次提交新代碼時會檢查整個代碼庫的提交級別變更，并對照威脅模型進行漏洞掃描。首次連接代碼庫時，Aardvark 會掃描其歷史記錄以識別現有問題。Aardvark 會逐步解釋發現的漏洞，并對代碼進行注釋以供人工審核。

• 驗證：Aardvark 識別出潛在漏洞后，會在隔離的沙盒環境中嘗試觸發該漏洞，以確認其可利用性。Aardvark 會詳細說明為確保向用戶返回準確、高質量且誤報率低的分析結果而采取的步驟。

• 漏洞修復：Aardvark 與 OpenAI Codex 集成，以幫助修復其發現的漏洞。它會將 Codex 生成并經 Aardvark 掃描的補丁附加到每個發現的漏洞上，以便人工審核和高效地一鍵修復。

雖然 Aardvark 的設計初衷是保障安全，但在測試中發現它也能發現邏輯缺陷、未完成的修復以及隱私問題等漏洞。

助力開源

Aardvark 已投入使用數月，持續在 OpenAI 的內部代碼庫以及外部 alpha 合作伙伴的代碼庫中運行。

在對“黃金”存儲庫進行基準測試時，Aardvark 識別出了 92% 的已知和人工引入的漏洞。

Aardvark 也被應用于開源項目，它發現了許多漏洞——其中 10 個漏洞獲得了通用漏洞披露 (CVE) 標識符。OpenAI 還計劃為部分非商業性開源代碼庫提供免費掃描服務。

軟件如今已成為各行各業的支柱——這意味著軟件漏洞對企業、基礎設施和社會構成系統性風險。

僅 2024 年一年，就報告了超過 4 萬個 CVE 漏洞。OpenAI 的測試表明，大約 1.2%的代碼提交會引入漏洞——這些看似微小的改動卻可能造成巨大的后果。

通過及早發現漏洞、驗證其在實際環境中的可利用性并提供清晰的修復方案，Aardvark 能夠在不阻礙創新的前提下增強安全性。

官方表示，Aardvark 內部私測版現已開放，會逐步擴大服務范圍。

參考資料：

https://openai.com/index/introducing-aardvark/