OpenAI Aardvark: agente AI che trova le vulnerabilità

Diverse aziende, tra cui Microsoft, sviluppano sistemi automatizzati per la ricerca delle vulnerabilità nei software. All’elenco si aggiunge ora OpenAI con Aardvark, disponibile in beta privata. È un agente AI che aiuta sviluppatori e ricercatori nell’identificazione dei bug e nella scrittura delle patch.

Come funziona Aardvark

OpenAI non ha spiegato la scelta del nome Aardvark (oritteropo in italiano), ma il significato è chiaro. Il mammifero scava per trovare le formiche. L’agente AI analizza il codice per trovare le vulnerabilità. Non esiste un software perfetto, in quanto i programmatori umani lasceranno sempre (involontariamente) bug che verranno sfruttati dai cybercriminali. È possibile però velocizzare la loro scoperta utilizzando l’intelligenza artificiale.

Aardvark effettua la scansione continua del codice presente nei repository, identifica le vulnerabilità e come potrebbero essere sfruttate. Propone infine le modifiche necessarie (fix o patch). L’agente AI non utilizza le tecniche tradizionali di analisi, ma la capacità di ragionamento del modello GPT-5 e strumenti per comprendere il comportamento del codice.

Dopo aver trovato una vulnerabilità, Aardvark effettua un test in un ambiente isolato (sandbox) per validare l’exploit. Successivamente utilizza OpenAI Codex per scrivere la patch che viene testata nell’ambiente isolato. La patch viene quindi esaminata da uno sviluppatore umano e aggiunta al repository.

Aardvark è stato usato per diversi mesi da OpenAI e alcuni partner, consentendo di individuare numerose vulnerabilità. È stato anche utilizzato su vari progetti open source. Dieci vulnerabilità hanno ricevuto l’identificatore CVE. La scansione di specifici repository open source non commerciali sarà disponibile gratuitamente.

Il nuovo ricercatore di sicurezza agentico verrà offerto in beta privata a partner selezionati. I feedback ricevuti permetteranno di perfezionare il tool e incrementare la percentuale di successo. Aziende e singoli sviluppatori possono richiedere l’accesso tramite questa pagina.