Thought Leadership
Der neue Agent namens Aardvark soll Entwicklerteams bei der Identifikation von Sicherheitslücken unterstützen. Derzeit ist das System nur ausgewählten Partnern im Rahmen einer Private Beta zugänglich.
OpenAI hat mit Aardvark einen neuen “Security Researcher” vorgestellt, der auf ChatGPT-5 basiert. Das als “autonomer Agent” bezeichnete System soll Sicherheitsteams und Entwickler dabei unterstützen, Schwachstellen in Software aufzuspüren und zu beheben.
So funktioniert der KI-Sicherheitsagent
Laut OpenAI arbeitet Aardvark nach dem Vorbild menschlicher Sicherheitsforscher: Das System liest Code, analysiert ihn, nutzt verschiedene Werkzeuge und führt Tests durch. Dabei kommt eine Kombination aus LLM-gestütztem Reasoning und Tool-Nutzung zum Einsatz, um Schwachstellen zu identifizieren und Lösungsvorschläge zu entwickeln.
Der Workflow beginnt mit der Überwachung von Source-Code-Repositories. Aardvark analysiert Commits und scannt nach Sicherheitslücken, wobei eine Priorisierung nach Risikopotenzial erfolgt. Identifizierte Schwachstellen werden anschließend in einer Sandbox-Umgebung getestet, um ihre Ausnutzbarkeit zu bewerten. Für die Bereitstellung von Fixes arbeitet Aardvark mit Codex zusammen, OpenAIs KI-Coding-Agent für Entwickler.
Nach Angaben des Unternehmens kann das System auch komplexere Fehler aufspüren, darunter Logikfehler, unvollständige Patches und Datenschutzprobleme.
Aardvarks Praxiseinsatz und Testergebnisse
OpenAI nutzt Aardvark bereits zur Absicherung eigener Systeme. Auch die externen Alpha-Partner äußerten sich dem Unternehmen zufolge positiv über den Agenten. In Tests identifizierte Aardvark 92 Prozent der künstlich eingebrachten Schwachstellen, was OpenAI als Beleg für “hohe Erkennungsrate und Praxistauglichkeit” wertet.
Im Open-Source-Bereich konnte der Agent bereits zahlreiche Schwachstellen aufdecken. Zehn davon wurden mit CVE-Identifikatoren (Common Vulnerabilities and Exposures) versehen. Parallel zur Vorstellung von Aardvark kündigte OpenAI eine Überarbeitung seiner Koordinierten Offenlegungsrichtlinien an. Diese regeln, wie das Unternehmen Sicherheitslücken in Drittsystemen an die jeweiligen Entwickler und Hersteller meldet. Die neue Policy soll entwicklerfreundlicher gestaltet werden.
Aardvark befindet sich derzeit in einer Private-Beta-Phase und ist nur ausgewählten Partnern zugänglich.
