OpenAI拟收购40多人安全团队：模型负责找漏洞，工程师负责把关补丁lg...

据The Information最新报道，OpenAI正就收购安全公司Trail of Bits展开早期谈判，希望扩大网络安全业务。知情人士称，讨论仍在进行，交易可能告吹；该媒体尚未获悉潜在交易金额。

收购对象已参与修补开源软件

Trail of Bits成立于2012年，业务包括安全研究、工具开发和开源项目维护。The Information援引其网站称，公司拥有40多名员工，多数为安全工程师。

双方在今年6月已建立合作。报道指出，Trail of Bits人员在Patch the Planet项目中，借助Codex及专门面向网络安全的模型，查找、审查和修复Python等开源项目中的缺陷。

Trail of Bits首席执行官丹·吉多（Dan Guido）此前在该项目宣传视频中表示，团队与开源社区建立了十多年的合作关系。他称，Codex让部分原本需要数周的工作缩短至一天。

工程师先核验，再交给维护者

OpenAI在6月公布的合作方案中，将人工安全审查列为项目基础。研究人员先与开源维护者商定优先事项和披露流程，再核验、去重漏洞及补丁，之后才提交给维护者。

按OpenAI当时披露的安排，公司为专家提供资金、Codex Security及模型支持，HackerOne和Calif也参与合作。已有30多个开源项目承诺加入，首批包括cURL、Go和Python。

OpenAI规定，哪些变更得到采用，仍由人工决定。OpenAI称，项目最初五天的集中工作产生了数百个待审查问题，并有数十个补丁完成合并。

Rust案例保留人工复核环节

Trail of Bits在7月公布的一项工程实践，展示了具体的交付过程。工程师针对Rust编译器建立漏洞变体分析系统，先筛选已有问题，再让不同代理分别寻找具有相同根源的安全缺陷。

候选结果须通过两轮验证：先检查是否存在真实安全风险，再由另一模型检验问题能否在Rust的威胁模型下造成安全影响。两轮均通过后，仍要经过人工筛选和重复检查，才准备提交给上游项目。

公司还记录了工具的局限，审查zlib时，Codex曾反复停留在同一片代码；同时要求查找漏洞和提高覆盖率，结果又偏向覆盖率。团队随后将不同代码区域拆成独立任务，并保留一个自由探索任务。

截至该篇7月文章发表时，Trail of Bits称，其通过一轮调整后的变体搜索报告了9个缺陷，其中3个已修复并合并到上游代码。

来源：金十数据