開源軟體是現代數位世界的基礎設施，但其維護者往往面臨資源不足、漏洞回報量激增的壓力。OpenAI 推出的 Patch the Planet 計畫，旨在利用 AI 能力與專業安全工程師的協作，將漏洞發現轉化為實際的修補行動，而非僅僅增加維護者的工作負擔。
AI 輔助安全研究的實務挑戰
目前的 AI 模型雖然能快速掃描程式碼並發現潛在漏洞，但這會帶來一個副作用：產生大量的偽陽性（False Positives），也就是 AI 認為是漏洞但實際上並無危害的誤報。對於開源維護者來說，處理大量無效的漏洞回報會造成嚴重的心智負擔。
Patch the Planet 的核心邏輯在於建立一個過濾層。AI 負責初步發現，而由 Trail of Bits 等專業安全團隊進行人工審查，確認漏洞真實性並開發修補程式（Patch），最後才將驗證過的結果提交給維護者。這種模式確保了維護者收到的是高品質、可直接實作的修復方案。
提升安全工程效率的四項關鍵技術
透過 GPT-5.5-Cyber 與 Codex Security 等模型，該計畫在實務上將原本需要數週的工作縮短至數日，主要體現在以下四個面向：
快速建構模糊測試實驗室（Fuzzing Lab） 模糊測試（Fuzzing）是一種透過輸入大量隨機或異常數據來觸發程式崩潰，進而尋找漏洞的自動化測試技術。傳統上，建構一個涵蓋多個進入點與平台的測試環境需要數週時間。AI 能根據覆蓋率回饋（Coverage Feedback）自動調整測試路徑，將此過程縮短至一天內完成。
已知漏洞的變體分析（Variant Analysis） 當一個 CVE（通用漏洞披露）被公開後，類似的邏輯錯誤可能存在於其他模組或專案中。AI 可以分析歷史漏洞模式，並在目標程式碼庫中搜尋相似的缺陷，將過去的漏洞經驗轉化為可重複使用的搜尋策略。
跨實作的差異化測試（Differential Testing） 當兩種不同的程式實作（例如兩種不同的 HTTP 協定實作）在接收相同輸入時產生不同結果，通常代表其中一方存在 Bug。AI 被用來快速生成對接程式碼（Shim and Glue Code），讓不同實作能共用同一個測試框架，大幅加速比對過程。
基於規範的屬性測試（Property-based Testing） AI 能閱讀 RFC（請求註冊文件）或技術規範，將其轉化為威脅模型與不變量測試（Invariant Tests），檢查程式的實際行為是否符合設計規範，從而發現深層的邏輯錯誤。
實戰成果與影響範圍
該計畫已在多個關鍵基礎設施中取得成效，包括：
作業系統層級：在 Linux Kernel 中發現數百個問題，並自動生成了 8 個指標洩漏（Pointer Leak）與 24 個本地權限提升（LPE）的證明程式（PoC）。在 OpenBSD 中發現了一個隱藏 23 年的 Use-after-free（釋放後使用）漏洞。
網路與瀏覽器：識別出影響 NGINX、Apache 等主流伺服器的 HTTP/2 Bomb 阻斷服務攻擊。在 Chrome V8 引擎與 Safari WebKit 中發現多個可利用的漏洞。
基礎語言與工具：協助 Python、Go、cURL 等核心專案強化安全基礎設施，包括改善 CI/CD（持續整合與持續部署）流程。
總結：從發現到修補的完整閉環
對於工程師而言，Patch the Planet 的重要性在於它定義了 AI 在安全領域的正確位置：AI 不是用來取代安全研究員，而是用來擴展其能力。一個完整的防禦閉環應包含：發現、驗證、嚴重程度評估、協調披露、開發修補程式、測試以及最終部署。
透過將 AI 的高效能與人類專家的判斷力結合，開源社群得以在不增加維護者壓力前提下，提升整體軟體供應鏈的安全韌性。
來源：openai.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。