OpenAI vừa giới thiệu Aardvark, một agent bảo mật AI tự hành được hỗ trợ bởi GPT-5, với mục tiêu cách mạng hóa cách các phát hiện và sửa lỗi lỗ hổng phần mềm. Công cụ này hiện trong bản private beta hoạt động như một nhà nghiên cứu bảo mật tự động, có khả năng đọc hiể” và lập luận về code thay vì chỉ quét dựa trên các phương pháp truyền thống.

Khác biệt với các công cụ bảo mật truyền thống như fuzzing hay phân tích phần mềm (SCA), Aardvark sử dụng khả năng reasoning của LLM để hiểu hành vi của code, tương tự như cách các chuyên gia bảo mật con người làm việc. Nó thực hiện việc đọc code, phân tích, viết các bài test và sử dụng nhiều công cụ khác nhau để xác định lỗ hổng.

Hệ thống này hoạt động theo một pipeline đa giai đoạn. Đầu tiên, nó phân tích toàn bộ repository để xây dựng một threat model . Sau đó, Aardvark quét các commit mới để tìm lỗ hổng bằng cách đối chiếu các thay đổi với toàn bộ codebase. Khi phát hiện một lỗ hổng, agent này sẽ khai thác nó trong môi trường sandbox để xác nhận đó là rủi ro bảo mật thực sự.

Cuối cùng, Aardvark tích hợp với OpenAI Codex để tự động tạo ra các bản vá, giúp lập trình viên có thể xem xét và áp dụng chỉ bằng một cú nhấp chuột.

Trong các thử nghiệm benchmark trên các repository chứa lỗ hổng đã biết, hệ thống đạt tỷ lệ phát hiện ấn tượng là 92%. Aardvark cũng đã có những đóng góp đáng kể cho bảo mật nguồn mở, khi OpenAI đã tiết lộ có trách nhiệm nhiều lỗ hổng mà agent này phát hiện, trong đó 10 lỗ hổng đã nhận được mã định danh CVE.