OpenAI擬收購40多人安全團隊：模型負責找漏洞，工程師負

據The Information最新報道，OpenAI正就收購安全公司Trail of Bits展開早期談判，希望擴大網絡安全業務。知情人士稱，討論仍在進行，交易可能告吹；該媒體尚未獲悉潛在交易金額。

收購對象已參與修補開源軟件

Trail of Bits成立於2012年，業務包括安全研究、工具開發和開源項目維護。The Information援引其網站稱，公司擁有40多名員工，多數爲安全工程師。

雙方在今年6月已建立合作。報道指出，Trail of Bits人員在Patch the Planet項目中，藉助Codex及專門面向網絡安全的模型，查找、審查和修復Python等開源項目中的缺陷。

Trail of Bits首席執行官丹·吉多（Dan Guido）此前在該項目宣傳視頻中表示，團隊與開源社區建立了十多年的合作關係。他稱，Codex讓部分原本需要數週的工作縮短至一天。

工程師先覈驗，再交給維護者

OpenAI在6月公佈的合作方案中，將人工安全審查列爲項目基礎。研究人員先與開源維護者商定優先事項和披露流程，再覈驗、去重漏洞及補丁，之後才提交給維護者。

按OpenAI當時披露的安排，公司爲專家提供資金、Codex Security及模型支持，HackerOne和Calif也參與合作。已有30多個開源項目承諾加入，首批包括cURL、Go和Python。

OpenAI規定，哪些變更得到採用，仍由人工決定。OpenAI稱，項目最初五天的集中工作產生了數百個待審查問題，並有數十個補丁完成合並。

Rust案例保留人工複覈環節

Trail of Bits在7月公佈的一項工程實踐，展示了具體的交付過程。工程師針對Rust編譯器建立漏洞變體分析系統，先篩選已有問題，再讓不同代理分別尋找具有相同根源的安全缺陷。

候選結果須通過兩輪驗證：先檢查是否存在真實安全風險，再由另一模型檢驗問題能否在Rust的威脅模型下造成安全影響。兩輪均通過後，仍要經過人工篩選和重複檢查，才準備提交給上游項目。

公司還記錄了工具的侷限，審查zlib時，Codex曾反覆停留在同一片代碼；同時要求查找漏洞和提高覆蓋率，結果又偏向覆蓋率。團隊隨後將不同代碼區域拆成獨立任務，並保留一個自由探索任務。

截至該篇7月文章發表時，Trail of Bits稱，其通過一輪調整後的變體搜索報告了9個缺陷，其中3個已修復併合併到上游代碼。