OpenAI ofrece agentes que prueban y parchan software

Las empresas que quieran que una IA ataque sus propias aplicaciones para encontrar fallas, y que luego les deje el parche casi listo, ya tienen dónde pedirlo. OpenAI presentó el jueves Daybreak Red Team y Daybreak Defense Factory, dos productos de ciberseguridad con agentes, es decir, programas de IA que ejecutan tareas por su cuenta, paso a paso.

Ninguno se compra hoy en una página. Red Team abrió un acceso anticipado donde las empresas dejan su interés, y Defense Factory, en vista previa de investigación, remite a ventas. OpenAI no publica precios ni dice si estarán disponibles en México.

Qué hace cada uno

Red Team simula lo que haría un equipo de pruebas de penetración, que son intentos autorizados de vulnerar un sistema para descubrir sus debilidades. OpenAI explica que los agentes parten del código fuente de la aplicación y de su contexto: con eso investigan rutas de ataque y confirman cuáles vulnerabilidades son reales. La empresa lo propone además para verificar lo que marcan los escáneres de código o los programas de recompensas por errores, y para confirmar que un parche sí frena el fallo. Para acotar el alcance de las pruebas, dice, corre los agentes en entornos aislados y los somete a una revisión llamada Guardian.

Defense Factory va un paso después: recibe las alertas que ya generan los sistemas de seguridad del cliente, o las de Red Team, analiza cada problema y redacta una propuesta de parche. Los ingenieros lo revisan y lo prueban antes de integrarlo; el sistema no despliega nada por su cuenta. Puede escanear código nuevo o programar revisiones periódicas. En el blog para desarrolladores se detalla que funciona como plugin, que hay que enlazarlo con un repositorio de GitHub y que necesita un entorno de Codex en la nube.

Lo que no se ha probado

Todo lo anterior es lo que OpenAI describe de sus propios productos. No hay una evaluación independiente de ninguno de los dos, ni cifras de cuántas vulnerabilidades encuentran o qué parches aciertan.

Daybreak ya existía como programa de la empresa; lo nuevo son estos dos productos. El blog agrega que la variante ofensiva, que llama Daybreak Red, exige una aprobación y salvaguardas aparte.

Quien usa esas aplicaciones lo notaría solo de rebote, si las empresas que adopten estas herramientas arreglan antes sus fallas.