OpenAI روز پنجشنبه ۲۱ آبان ۱۴۰۵ (۱۲ نوامبر ۲۰۲۶) دو محصول امنیتی تازه معرفی کرد: «Daybreak Red Team» که با ناوگانی از ایجنت‌ها به برنامه‌های وب یک شرکت حمله‌ی آزمایشی می‌کند، و «Daybreak Defense Factory» که کد را می‌گردد، حفره‌ی امنیتی پیدا می‌کند و وصله‌ی آماده تحویل می‌دهد. به گزارش The Register هر دو بخشی از پلتفرم امنیتی Daybreak هستند و روی مدل‌های امنیتی OpenAI کار می‌کنند که تازه‌ترینشان GPT-6 Cyber است.
Daybreak Red Team چه می‌کند؟
«تیم قرمز» در امنیت به گروهی می‌گویند که با اجازه‌ی خود شرکت، نقش مهاجم را بازی می‌کند تا پیش از مهاجم واقعی ضعف‌ها پیدا شود. این کار معمولا گران و کند است و سالی چند بار بیشتر انجام نمی‌شود.
طبق صفحه‌ی رسمی Red Team و گزارش The Register، این محصول کار را به ایجنت‌ها می‌سپارد. ایجنت‌ها کد منبع و اطلاعات برنامه را می‌گیرند، مسیرهای حمله را بررسی می‌کنند و واقعا امتحانشان می‌کنند. کار دیگرش وارسی گزارش‌هاست: حفره‌هایی که اسکنرهای کد، برنامه‌های جایزه‌ی کشف باگ یا پژوهشگران بیرونی گزارش داده‌اند را می‌آزماید تا معلوم شود واقعی‌اند یا نه، و بعد وصله‌ی آن‌ها را هم امتحان می‌کند. مدیر بخش هوش مصنوعی امنیتی OpenAI آن را «آزمون نفوذ فراانسانی در اندازه‌ی اسکن خودکار و پیوسته» توصیف کرده است. این محصول فعلا در مرحله‌ی دسترسی زودهنگام است.
Defense Factory چه می‌کند؟
Red Team سمت حمله است و Defense Factory سمت دفاع. این محصول چرخه‌ی «پیداکردن، تأییدکردن و درست‌کردن» حفره را خودکار می‌کند:
- ایجنت‌ها مخزن‌های کد شرکت را می‌گردند و دنبال آسیب‌پذیری می‌گردند.
- هر مورد را وارسی می‌کنند تا هشدار دروغین نباشد.
- برای مورد واقعی وصله می‌نویسند.
- مهندس شرکت وصله را می‌بیند و تأیید می‌کند؛ بدون تأیید آدم چیزی به محیط اصلی نمی‌رود.
به گفته‌ی OpenAI، خروجی برای مهندس یک درخواست ادغام (pull request) آماده است که هم وصله را دارد و هم آزمونی که نشان می‌دهد وصله کار می‌کند. Defense Factory به‌صورت پیش‌نمایش پژوهشی عرضه شده است.
مقایسه‌ی دو محصول
| مورد | Daybreak Red Team | Daybreak Defense Factory |
|---|---|---|
| نقش | حمله‌ی آزمایشی به برنامه‌ی وب | یافتن و وصله‌کردن حفره در کد |
| خروجی | مسیرهای حمله‌ی آزموده‌شده و وارسی گزارش‌ها | درخواست ادغام با وصله و آزمون |
| وضعیت عرضه | دسترسی زودهنگام | پیش‌نمایش پژوهشی |
| قیمت | اعلام نشده | اعلام نشده |
حرف OpenAI و نقد آن
گرگ براکمن، رئیس OpenAI، در سخنرانی معرفی گفت شرکت‌ها از این پس «فقط به اندازه‌ی مدل پیشرو» امن خواهند بود؛ یعنی امنیت هر سازمان به توان مدلی بستگی دارد که برای دفاع به کار می‌گیرد. او البته اضافه کرد که پایه‌های امنیت هنوز مهم‌اند و نباید کنار گذاشته شوند.
The Register با این حرف شوخ‌طبعانه برخورد کرده و یادآوری می‌کند که خود OpenAI چندی پیش در ماجرای دسترسی ایجنت‌هایش به Hugging Face، نظارت کافی نداشت. نقد اصلی این است: شرکتی که مدل‌هایش حمله را آسان‌تر کرده‌اند، حالا راه دفاع را هم می‌فروشد. این نقد درباره‌ی همه‌ی شرکت‌های بزرگ هوش مصنوعی که وارد امنیت شده‌اند مطرح است، نه فقط OpenAI. ما ماجرای قبلی را در گزارش ناهمسویی مدل‌های OpenAI نوشته بودیم.
رقابت بر سر امنیت کد
OpenAI هفته‌ی پیش مدل GPT-6 Cyber را برای مشتری‌های Daybreak داد و این دو محصول، همان مدل را به ابزار آماده تبدیل می‌کنند. رقیب‌ها هم بیکار نیستند: Anthropic ابزار Claude Security را دارد که کد را پیوسته اسکن می‌کند و گوگل هم مدل Carbon را برای مدافعان سایبری معرفی کرده است. جهت همه یکی است: از «مدلی که حفره پیدا می‌کند» به «سیستمی که حفره را پیدا می‌کند، می‌آزماید و می‌بندد».
این یعنی چه برای کاربر فارسی‌زبان؟
این دو محصول برای سازمان‌هاست، نه کاربر عادی، و هنوز عرضه‌ی همگانی ندارند. خدمات OpenAI هم به‌طور رسمی در ایران در دسترس نیست. ولی خبر برای برنامه‌نویس‌ها و مدیران فنی یک پیام دارد: اسکن و وصله‌ی خودکار کد دارد عادی می‌شود و مهاجم‌ها هم به همین ابزارها دست پیدا می‌کنند. به‌روز نگه‌داشتن کتابخانه‌ها و بازبینی کد دیگر کاری نیست که بشود عقب انداخت. اگر می‌خواهید کدتان را با کمک هوش مصنوعی مرور کنید، مدل‌های گفتگو در هوش‌نو می‌توانند تکه‌های کد را بخوانند و ایرادهای رایج را توضیح دهند؛ فهرست در ابزارهای هوش‌نو هست. البته این جای آزمون نفوذ حرفه‌ای را نمی‌گیرد.
منبع‌ها
- The Register: گزارش معرفی محصول‌های امنیتی OpenAI
- OpenAI: صفحه‌ی Daybreak Red Team
- OpenAI: صفحه‌ی Daybreak Defense Factory
سؤالات متداول
Daybreak Red Team برای همه در دسترس است؟
نه. فعلا در مرحله‌ی دسترسی زودهنگام و برای سازمان‌هاست.
Defense Factory خودش کد را عوض می‌کند؟
وصله را می‌نویسد، ولی مهندس شرکت باید آن را ببیند و تأیید کند تا به محیط اصلی برود.
این محصول‌ها با چه مدلی کار می‌کنند؟
با مدل‌های امنیتی OpenAI؛ در حال حاضر GPT-6 Cyber.
قیمتشان چقدر است؟
OpenAI قیمتی اعلام نکرده است.
