OpenAI baut KI-Cybersecurity-Programm Daybreak aus und will Software-Patching automatisieren

OpenAI erweitert seine Cybersecurity-Initiative Daybreak. Der Fokus verschiebt sich vom Finden von Schwachstellen hin zu deren automatisierter Behebung.

Ähnlich wie es Anthropic kürzlich beschrieb, liegt auch laut OpenAI der Engpass inzwischen beim Patchen von Software, nicht mehr beim Finden von Sicherheitslücken. Die Erweiterung von Daybreak soll diesen Engpass lösen.

Dafür setzt OpenAI vor allem auf zwei Maßnahmen. Zum einen ein Update des Codex-Security-Plugins, das den gesamten Prozess von der Entdeckung bis zur Patch-Generierung abdecken soll. Zum anderen die Vollversion des spezialisierten Modells GPT-5.5-Cyber, das bei Sicherheits-Benchmarks neue Bestwerte erzielt. Ergänzt werden beide durch eine Open-Source-Patching-Initiative und ein Partnerprogramm mit über 25 Sicherheitsunternehmen.

Update für Codex Security-Plugin

Das Codex-Security-Plugin ist seit März als Research Preview verfügbar. Seitdem hat es laut OpenAI über 30 Millionen Commits in mehr als 30.000 Codebases gescannt. Über 500.000 Findings seien automatisch als behoben klassifiziert worden, weitere 70.000 von menschlichen Prüfern manuell bestätigt.

Das aktualisierte Plugin soll laut OpenAI das Äquivalent eines Sicherheitsingenieurs neben jeden Entwickler stellen. Es analysiert Code samt Bedrohungsmodell, identifiziert Schwachstellen, prüft ob betroffener Code erreichbar ist, entwickelt einen gezielten Patch und verifiziert das Ergebnis.

Neu sind Deep Scans ganzer Codebases, Angriffspfad-Analysen und der Export in bestehende Vulnerability-Management-Systeme über SARIF-Dateien oder CodeQL-Queries. Das Plugin kann zudem bestehende Findings aus Scannern oder Bug-Bounty-Reports triagieren und die Patch-Generierung im Stapelbetrieb automatisieren. Menschen können die Änderungen abnehmen.

GPT-5.5-Cyber kommt aus der Preview, bleibt aber zugangsbeschränkt

Die Vollversion von GPT-5.5-Cyber löst eine erste Preview ab, die primär unnötige Ablehnungen in Sicherheits-Workflows reduzieren sollte. Das aktualisierte Modell soll laut OpenAI das leistungsfähigste Einzelmodell zum Finden und Patchen von Software-Schwachstellen sein.

Auf Cybersecurity-Benchmarks setzt GPT-5.5-Cyber laut OpenAI teilweise neue Bestwerte. CyberGym misst, ob ein Agent bekannte Schwachstellen in Software-Umgebungen reproduzieren kann. ExploitGym prüft, ob Agenten Schwachstellen in funktionierende Exploits umwandeln können. SEC-bench Pro testet die langfristige Schwachstellenentdeckung.

GPT-5.5-Cyber ist bewusst permissiver als Standardmodelle und lehnt weniger Anfragen ab. Der Zugang ist ausschließlich verifizierten Verteidigern vorbehalten und an stärkere Verifizierung, Monitoring und Kontrollen gekoppelt. Für die meisten Anwender bleibt GPT-5.5 mit Trusted Access for Cyber und Codex Security laut OpenAI der empfohlene Einstiegspunkt.

Über 25 Sicherheitsfirmen und mehrere Regierungen als Partner

Im Rahmen des Daybreak Cyber Partner Program können Sicherheitsunternehmen GPT-5.5 mit Trusted Access for Cyber in ihren Produkten einsetzen. Zu den Partnern gehören unter anderem Cisco, CrowdStrike, Cloudflare, Palo Alto Networks, IBM, Fortinet, Wiz, SentinelOne, Darktrace, Palantir, Accenture, PwC und KPMG.

Parallel baut OpenAI die Zusammenarbeit mit Regierungen aus. Trusted-Access-Partnerschaften bestehen laut dem Unternehmen mit Australien, Kanada, Frankreich, Deutschland, Japan, Südkorea, der EU-Agentur ENISA und der britischen Regierung. In den USA arbeitet OpenAI an der Umsetzung einer kürzlich erlassenen Executive Order zur KI-Sicherheit und plant die direkte Zusammenarbeit mit Betreibern kritischer Infrastruktur.

Mit Patch the Planet startet OpenAI zudem gemeinsam mit Trail of Bits, HackerOne und Calif eine Initiative für Open-Source-Projekte. Mehr als 30 Projekte haben ihre Teilnahme zugesagt, darunter cURL, Go, Python, Sigstore und pyca/cryptography. Bei Patch the Planet arbeiten Sicherheitsforscher direkt mit Maintainern zusammen, validieren und deduplizieren Schwachstellen und Patches vorab. Ein erster fünftägiger Sprint habe Hunderte Issues aufgedeckt und Dutzende Patches gemergt.