OpenAI lancia GPT-5.5-Cyber: il modello più potente per identificare vulnerabilità software

OpenAI ha lanciato GPT-5.5-Cyber per identificare e correggere vulnerabilità software in modo più efficace. Questo modello avanzato può analizzare grandi codebase e sviluppare patch, migliorando significativamente la sicurezza dei sistemi informatici. Inoltre, l'iniziativa Patch the Planet mira a ridurre il carico di lavoro sui manutentori di software open-source, facilitando la collaborazione per la scoperta e correzione delle vulnerabilità.

Mentre Mythos viene bloccato dall’amministrazione Trump, OpenAI – che non ha sollevato obiezioni per un utilizzo militare della sua tecnologia – rilancia nel settore della difesa digitale.

OpenAI ha annunciato il rilascio di una versione migliorata del modello GPT-5.5-Cyber nel quadro dell’iniziativa Daybreak, rivolta a partner fidati della sicurezza informatica. Questo nuovo modello è stato definito “il più potente finora per identificare e aiutare a correggere le vulnerabilità del software”.

Grazie alla sua capacità di analizzare grandi codebase, GPT-5.5-Cyber può individuare problemi di sicurezza, validarli in un ambiente controllato e sviluppare le rispettive patch. Contemporaneamente, OpenAI ha aggiornato il Codex Security plugin per accelerare la scoperta e la correzione di vulnerabilità nei sistemi esistenti. Questo plugin consente agli sviluppatori di eseguire scansioni profonde, generare report dettagliati con indicazioni sulla gravità, le posizioni del codice interessate e suggerimenti per la rimozione dei bug di sicurezza rilevati.

Inoltre, può validare i risultati provenienti da scanner, avvisi, bug-bounty e sistemi di ticketing, facilitando così la generazione di patch su larga scala.

OpenAI ha anche lanciato una nuova iniziativa chiamata “Patch the Planet” in collaborazione con Trail of Bits per migliorare la sicurezza dei progetti open-source. I partecipanti iniziali includono cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, il progetto Go, freenginx, Python e python.org.

Questi sviluppi arrivano in un momento in cui i modelli avanzati di Anthropic e OpenAI stanno accelerando la scoperta delle vulnerabilità, sovraccaricando i manutentori di software con un volume crescente di bug da verificare e correggere. Mentre in passato la sfida principale era trovare le vulnerabilità, ora il collo di bottiglia si è spostato sulla loro correzione.

I modelli AI possono navigare grandi codebase, ragionare sui percorsi di attacco e segnalare problemi di sicurezza che altrimenti sarebbero rimasti nascosti.

Un esempio è la vulnerabilità presente da 29 anni nel proxy web Squid (CVE-2026-47729, noto come Squidbleed), che può rivelare richieste HTTP in chiaro appartenenti ad altri utenti sotto determinate condizioni.

Gli esperti di cybersecurity hanno espresso preoccupazioni sul fatto che i modelli AI più avanzati stiano potenziando le capacità degli attori malintenzionati di sfruttare le vulnerabilità, costringendo l’industria a chiudere queste falle quasi immediatamente dopo la loro scoperta.

Il Canadian Centre for Cyber Security ha avvertito che gli attori minacciosi con scarse competenze tecniche possono utilizzare modelli AI pubblicamente disponibili per scopi malevoli.

Patch the Planet mira a ridurre il carico di lavoro sui manutentori permettendo agli ingegneri della sicurezza di rivedere e validare i risultati, collaborare con i progetti per sviluppare patch e test, e costruire workflow riutilizzabili per la scoperta delle vulnerabilità. Questo obiettivo è migliorare la sicurezza anche dopo che le correzioni iniziali sono state rilasciate.

Patch the Planet è progettato per mettere il ciclo difensivo completo a disposizione dei manutentori: scoperta, validazione, revisione della gravità, divulgazione, sviluppo delle patch, test e distribuzione. I modelli avanzati possono accelerare alcune fasi di questo ciclo, ma l’obiettivo è fornire agli esperti responsabili delle infrastrutture condivise strumenti migliori e maggiore capacità, preservando al contempo la loro autonomia nel decidere come implementare i cambiamenti.

Questi sviluppi arrivano in un momento in cui gli attori malintenzionati stanno utilizzando l’AI per ridurre il tempo tra la scoperta di una vulnerabilità e il suo sfruttamento. L’uso di vibe-exploit segna una nuova era in cui la tecnologia non solo abbassa la barriera all’elaborazione degli exploit, ma permette anche agli attaccanti di conoscere i bug di sicurezza non appena vengono divulgati, con pochissimo sforzo.

Nel mentre, le agenzie di intelligence di Australia, Canada, Nuova Zelanda, Regno Unito e Stati Uniti hanno avvertito che i modelli AI avanzati possono accelerare la velocità, la scala e la sofisticazione delle minacce cibernetiche, riducendo il tempo tra la scoperta di una vulnerabilità e il suo sfruttamento.

Carolina Vivianti

Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.

Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance