Sicurezza OpenAI tratta l'acquisto di Trail of Bits

Secondo The Information, OpenAI è in trattative iniziali per comprare Trail of Bits, la società di New York che trova e corregge falle nel software open source. Le due aziende lavorano già insieme da giugno a Patch the Planet.

Il contesto

Gran parte del software che usiamo ogni giorno poggia su progetti open source: componenti gratuiti e pubblici, come la libreria cURL per scaricare dati da internet o il linguaggio Python, mantenuti spesso da pochi volontari. Un difetto in uno di questi pezzi si ritrova in milioni di prodotti.

I nuovi modelli di intelligenza artificiale sono diventati molto bravi a trovare questi difetti. Il problema, spiega la stessa Trail of Bits, è che ora i manutentori ricevono una valanga di segnalazioni generate dall'AI, tra cui molti falsi allarmi. La parte costosa non è più trovare i bug, ma verificarli, valutarne la gravità e scrivere una correzione che i manutentori accettino. Su questo terreno si muove OpenAI, che secondo The Information sta cercando di costruire un'attività consistente nella sicurezza informatica.

I fatti, punto per punto

• La trattativa. The Information, citando persone a conoscenza della questione, scrive che i colloqui sono in una fase iniziale e potrebbero fallire. Il giornale ricorda che per comprare piccole startup OpenAI ha pagato a volte alcune centinaia di milioni di dollari in azioni, a volte meno. La notizia è stata ripresa da Reuters.
• Chi è Trail of Bits. È una società di sicurezza di New York fondata nel 2012, con più di 40 dipendenti secondo AI Weekly. Sul suo sito indica 659 audit e più di 200 progetti open source pubblicati.
• Il precedente. Nell'agosto 2025 il suo sistema automatico Buttercup è arrivato secondo alla finale dell'AI Cyber Challenge dell'agenzia americana DARPA, vincendo 3 milioni di dollari: aveva trovato 28 vulnerabilità e applicato 19 correzioni.
• La collaborazione con OpenAI. Patch the Planet è partito a giugno nell'ambito dell'iniziativa Daybreak di OpenAI: gli ingegneri di Trail of Bits usano Codex e il modello GPT-5.5-Cyber per cercare bug e poi scrivono le correzioni insieme ai manutentori.
• La prima settimana. Secondo il blog di Trail of Bits del 22 giugno: centinaia di bug trovati, 64 richieste di modifica e 51 segnalazioni in 19 progetti, tra cui cURL, Python, Go, PyPI, urllib3 e Sigstore. 37 correzioni erano già state accettate.

Patch the Planet in numeri

Fonti: blog e cruscotto pubblico di Trail of Bits. Delle 466 correzioni accettate, 73 riguardano difetti di gravità alta.

Un esempio concreto

Uno dei casi raccontati da Trail of Bits riguarda aiohttp, una libreria Python molto usata per far dialogare programmi e siti web. Il team ha segnalato in privato un gruppo di difetti: tra gli altri, cookie che dopo essere stati salvati e ricaricati potevano tornare validi per più siti del previsto, e credenziali che potevano rispondere a una richiesta proveniente dal sito sbagliato. I manutentori hanno scritto e pubblicato tutte e otto le correzioni in poche ore, sette in una sola finestra di cinque ore. Nel cruscotto del progetto aiohttp compare con otto codici CVE, l'identificativo pubblico delle vulnerabilità.

Un altro esempio mostra la velocità dell'AI: con il solo obiettivo di trovare bug sfruttabili a distanza, GPT-5.5-Cyber ha allestito in meno di un giorno un intero laboratorio di «fuzzing», la tecnica che bombarda un programma di dati anomali per farlo sbagliare. Secondo Trail of Bits, a un suo esperto lo stesso lavoro avrebbe richiesto due o tre settimane.

Cosa ci guadagnerebbe OpenAI

• Persone esperte: un gruppo con anni di audit alle spalle, capace di distinguere i bug veri dai falsi allarmi dell'AI.
• Un metodo collaudato: Patch the Planet è già costruito sui modelli di OpenAI.
• Credibilità nel settore: AI Weekly osserva che l'acquisizione darebbe a OpenAI un canale per portare GPT-5.5-Cyber ai clienti della sicurezza.

Cosa succede adesso

• Né OpenAI né Trail of Bits hanno confermato pubblicamente la trattativa nelle fonti consultate.
• Patch the Planet continua: il cruscotto pubblico viene aggiornato e il progetto accetta candidature da altri manutentori.
• Se l'accordo si farà, andranno chiariti prezzo e destino dei clienti di Trail of Bits.