Aardvark basé sur GPT-5 : un nouveau standard pour la recherche en sécurité avec 92 % de détection des vulnérabilités

OpenAI a dévoilé « Aardvark », un agent autonome de recherche en sécurité exploitant GPT-5. Alors que plus de 40 000 nouvelles vulnérabilités ont été signalées pour la seule année 2024, les effectifs limités ne suffisent plus à faire face. Aardvark analyse et teste le code comme le ferait un chercheur en sécurité humain, et a déjà découvert 10 nouvelles CVE dans des projets open source.

Caractéristiques clés

• Taux de détection élevé : sur le benchmark du dépôt « golden », il a détecté 92 % des vulnérabilités connues et synthétiques, démontrant son efficacité en conditions réelles.
• Approche centrée sur l’humain : au lieu du fuzzing ou de l’analyse statique, il s’appuie sur un raisonnement fondé sur les LLM pour comprendre le code, rédiger et exécuter des tests. Il peut même repérer des bugs liés à des conditions complexes.
• Contribution à l’open source : il est prévu de proposer des scans gratuits pour les dépôts open source non commerciaux, avec une politique de divulgation responsable.

Fonctionnement (pipeline en 4 étapes)

1. Analyse (Analysis) : analyse de l’ensemble du dépôt pour générer un modèle de menace (compréhension de l’objectif du projet et de son architecture de sécurité).
2. Scan des commits (Commit Scanning) : examen des modifications et analyse de l’historique existant. Fournit une description des vulnérabilités et des commentaires sur le code.
3. Validation (Validation) : tentative d’exploitation réelle dans un sandbox, avec des explications exploitables et un faible taux de faux positifs.
4. Correctif (Patching) : grâce à l’intégration de Codex, propose des corrections pouvant être appliquées en un clic.

Intégré à GitHub et Codex, il s’insère naturellement dans les workflows de développement. Il a déjà permis de découvrir des vulnérabilités significatives en interne chez OpenAI ainsi que dans des environnements partenaires.

Contexte et impact

Au-delà des limites des outils traditionnels, il automatise la réponse aux bugs présents dans 1,2 % des commits de code. Il contribue à réduire l’asymétrie entre attaquants et défenseurs, tout en détectant aussi bien des défauts logiques que des problèmes de confidentialité. En renforçant l’écosystème open source et en favorisant une divulgation collaborative, il améliore la résilience de la sécurité à long terme.

Actuellement en bêta privée, les organisations intéressées peuvent faire une demande sur le site web d’OpenAI.