OpenAI lässt KI Open-Source-Lücken stopfen

Die halbe digitale Welt läuft auf Open-Source-Software – gepflegt oft von wenigen, überlasteten Freiwilligen. OpenAI will hier helfen: Mit der Initiative «Patch the Planet» sollen KI-Modelle Sicherheitslücken in offenen Projekten aufspüren und beheben.

KI sucht, Mensch prüft

«Patch the Planet» ist Teil von Daybreak, OpenAIs Cybersecurity-Programm, und wurde am 23. Juni vorgestellt. Der Ansatz kombiniert die cyber-stärksten Modelle von OpenAI mit menschlicher Prüfung: Gefundene Schwachstellen landen nicht direkt bei den Maintainern, sondern werden zuerst von Sicherheitsexperten kontrolliert. Aufgebaut wurde das Ganze mit der Sicherheitsfirma Trail of Bits, dazu kommen Partner wie HackerOne für die koordinierte Offenlegung.

Das Problem mit den Fehlalarmen

KI-Sicherheitsscanner haben einen schlechten Ruf, weil sie Maintainer mit Fehlalarmen überschwemmen. Genau hier setzt das Programm an: Die Trail-of-Bits-Forschenden reproduzieren jeden Befund, gleichen ihn mit der Projektdokumentation ab, entfernen Duplikate und bewerten die Schwere neu – bevor überhaupt jemand kontaktiert wird. Erst bestätigte Lücken gehen weiter, samt Patch-Vorschlag und Test.

Mit dabei sind von Anfang an Schwergewichte des Open-Source-Ökosystems – darunter cURL, Go, Python, aiohttp und pyca/cryptography. Zu den frühen Erfolgen zählt laut OpenAI eine WebAssembly-Lücke in Firefox (CVE-2026-8390), die noch vor dem Hacking-Wettbewerb Pwn2Own geschlossen wurde.

Warum dich das betrifft

Tools wie cURL oder Python stecken in unzähligen Schweizer Webseiten, Apps und Firmensystemen. Wird die Basis sicherer, profitieren alle, die darauf aufbauen. Spannend bleibt die Kehrseite: Dieselben Fähigkeiten, die Lücken schneller schliessen, könnten sie auch schneller finden – weshalb der menschliche Kontroll-Layer das eigentliche Herzstück der Initiative ist.