← Все новости

AI ·

OpenAI предложила схему координации исправлений для уязвимостей, найденных AIOpenAI proposes a coordination framework for vulnerabilities found by AI

На примере PHP2Shell OpenAI описала, как в рамках Patch the Planet два месяца координировала мейнтейнеров, исследователей и провайдеров защиты. Компания предлагает поэтапный процесс раскрытия критических уязвимостей и выделяет субсидированный доступ к Daybreak на $1 млрд.Using PHP2Shell as the case study, OpenAI described how its Patch the Planet effort spent two months coordinating maintainers, researchers and security providers. It proposes a staged process for disclosing critical bugs and commits $1B in subsidized Daybreak access.

В день выхода патчей PHP OpenAI опубликовала пост о том, как в рамках инициативы Patch the Planet около двух месяцев готовила ответ на PHP2Shell — CVE-2026-109618 и CVE-2026-109619. По словам компании, одну из уязвимостей нашли исследователи Calif с помощью модели OpenAI; Wiz независимо обнаружила обе. Исправления писали и выпускали сами мейнтейнеры PHP, а OpenAI, Wiz, Cloudflare и другие помогали с анализом и закрытой координацией до раскрытия.

Главная мысль

AI-агенты находят критические баги быстрее, чем экосистема успевает их чинить, поэтому узким местом становится не поиск, а скоординированное исправление. OpenAI предлагает для критических уязвимостей поэтапный процесс:

  • проверить и исправить баг в апстриме, в том числе прогоняя модели в поисках обходов патча и родственных вариантов;
  • дать затронутым организациям время подготовиться;
  • подключить государственные структуры;
  • подготовить обновления в продуктах;
  • опубликовать рекомендации и помочь с развёртыванием.

Фиксированной длины эмбарго нет: сроки предлагается пересматривать при утечке, начале эксплуатации или «говорящем» публичном патче.

Что ещё объявлено

  • $1 млрд в виде субсидированного доступа к Daybreak, платформе OpenAI для киберзащиты, для организаций с ограниченными ресурсами.
  • Инструмент php2shell-checker для поиска уязвимых версий PHP — как навык Codex и отдельный скрипт на Node.
  • Мейнтейнеры могут подать заявку на практическую помощь в рамках Patch the Planet.

Часть сообщества указала, что исходное открытие было сделано независимым исследователем раньше, так что роль OpenAI в самой находке оспаривается.

On the day PHP shipped its patches, OpenAI published a post on how its Patch the Planet initiative spent about two months preparing the response to PHP2Shell — CVE-2026-109618 and CVE-2026-109619. According to OpenAI, researchers at Calif found one of the flaws using an OpenAI model, while Wiz independently found both. PHP’s maintainers wrote and shipped the fixes; OpenAI, Wiz, Cloudflare and others helped with analysis and private pre-disclosure coordination.

The core argument

AI agents now find critical bugs faster than the ecosystem can fix them, so the bottleneck is coordinated remediation rather than discovery. OpenAI proposes a staged process for critical vulnerabilities:

  • validate and fix upstream, including running models to hunt for patch bypasses and related variants;
  • give affected organizations time to prepare;
  • bring in government bodies;
  • prepare updates across products;
  • publish guidance and support deployment.

There is no fixed embargo length: timelines should be reassessed on a leak, active exploitation or a revealing public patch.

Also announced

  • $1 billion in subsidized access to Daybreak, OpenAI’s cyber-defense platform, for organizations with limited resources.
  • A php2shell-checker tool for finding vulnerable PHP versions — as a Codex skill and a standalone Node script.
  • Maintainers can apply for hands-on support through Patch the Planet.

Some in the community pointed out that the original discovery was made earlier by an independent researcher, so OpenAI’s role in the find itself is disputed.

Источники