Guillem Alsina Gonzàlez
A OpenAI lança uma nova solução de IA voltada para desenvolvedores e, ao mesmo tempo, para a área de cibersegurança: um agente (ou seja, um software que pode agir por conta própria, acedendo a recursos online, sempre com salvaguardas de segurança) capaz de revisar o código-fonte para procurar possíveis falhas de segurança e corrigi-las.
Este agente, chamado Aardvark pode ser utilizado tanto com código-fonte gerado por IA como com código-fonte não gerado por IA, uma vez que a tecnologia de deteção de falhas funciona tanto com código proveniente de inteligência artificial como com código concebido e materializado por um programador humano.
Com esta ferramenta, a empresa de Sam Altman procura automatizar uma tarefa cada vez mais procurada, a de especialista em cibersegurança, ajudando a detetar problemas derivados do código-fonte antes que as aplicações sejam colocadas em produção.
O novo agente é alimentado por GPT-5 e foi concebido para ser um colaborador das equipas técnicas na deteção e correção de vulnerabilidades em escala. Opera continuamente em repositórios de código, monitorizando alterações e avaliando o impacto de cada modificação na superfície de ataque da aplicação.
Para isso, não recorre a técnicas tradicionais como o fuzzing ou a análise da composição do software, mas sim ao raciocínio com modelos de linguagem e à orquestração de ferramentas que lhe permitem compreender o comportamento do código de forma semelhante à de um analista humano: lendo, anotando fragmentos relevantes, escrevendo e executando testes e utilizando utilitários de apoio.
O processo está estruturado em várias fases, começando com uma análise do repositório para construir um «modelo de ameaças», ou seja, uma representação dos objetivos e do design de segurança do projeto. Em seguida, examina cada commit em relação ao conjunto do repositório e a esse modelo, verificando também o histórico ao conectar-se pela primeira vez para detetar problemas existentes.
Quando identifica uma possível vulnerabilidade, tenta reproduzi-la numa sandbox para confirmar a sua explorabilidade e documenta os passos seguidos com o objetivo de reduzir falsos positivos. O seu fluxo por fases inclui modelação de ameaças, análise por commits, validação em ambiente isolado e geração de patches com OpenAI Codex para revisão humana e aplicação com um clique.
O sistema integra-se com o GitHub e com o Codex para trabalhar dentro dos fluxos já implementados e, além de falhas de segurança, nos testes internos revelou erros de lógica, correções incompletas e problemas de privacidade.
A OpenAI informa que o Aardvark está a ser executado continuamente há meses nos seus próprios repositórios e nos de parceiros externos numa fase alfa, onde contribuiu para identificar vulnerabilidades relevantes. Em testes de referência em repositórios «dourados» (com falhas conhecidas e introduzidas de forma sintética), o sistema identificou 92% das vulnerabilidades avaliadas, demonstrando uma elevada capacidade de memória nesse cenário.
O alcance do Aardvark também se estendeu a projetos de código aberto; nesse âmbito, foram descobertas e comunicadas de forma responsável inúmeras vulnerabilidades, dez das quais obtiveram identificadores CVE, e a empresa pretende oferecer varredura pro bono a determinados repositórios não comerciais para contribuir para a segurança do ecossistema, ao mesmo tempo que os dados recolhidos permitem melhorar o desempenho deste novo agente.
Paralelamente, a OpenAI atualizou a sua política de divulgação coordenada com uma abordagem colaborativa que prioriza o impacto escalável sobre prazos rígidos, antecipando um aumento do volume de descobertas à medida que o uso de ferramentas deste tipo se generaliza.
Para as empresas que adotarem esta solução, a proposta da OpenAI passa por procurar reforçar a segurança sem abrandar o desenvolvimento através da deteção precoce, validação da explorabilidade real e patches prontos a aplicar.
Com essa abordagem, a OpenAI inicia a implementação com uma versão beta privada e prevê ampliar o acesso à medida que a aprendizagem do serviço evolui. Os participantes selecionados colaborarão no ajuste da precisão da deteção, dos fluxos de validação e da experiência de relatórios, com o objetivo de comparar o desempenho em ambientes variados.
Isto leva-nos a considerar, também, que o assistente da OpenAI terá acesso ao código gerado pela empresa, pelo que será recomendável rever os termos de uso para saber se poderá utilizá-lo para treinar as ferramentas de geração de código da empresa, como o Codex, e agir em conformidade, conforme seja do nosso interesse ou não nos importemos em permitir.
