Aardvark ist OpenAIs autonomer Agent für Code-Warehouse-Sicherheit. Es orientiert sich an -Szenarien und analysiert kontinuierlich das Warehouse, verifiziert Schwachstellen und gibt Reparaturpatches aus.

Erdferkel

Kernparameter und Statistiken

Aardvark ist ein von OpenAI eingeführter intelligenter Forschungsassistent für Sicherheitsschutz. Seine Kernaufgabe besteht nicht darin, gewöhnlichen Anwendungscode zu schreiben, sondern darin, das Code-Warehouse kontinuierlich zu analysieren, Schwachstellen zu identifizieren, die Ausnutzbarkeit zu bewerten, Schweregrade zu sortieren und Patch-Pläne auszugeben. Es bündelt Sicherheitsforschung, -verifizierung und -reparatur in einer automatisierten Verbindung und konzentriert sich auf die Betreuung von Teams, die bereits über ausgereifte Codebasen und Sicherheitsüberprüfungsprozesse verfügen.

Projekte	Öffentliche Informationen
Offizielle Positionierung	Forschungsassistent für intelligenten Sicherheitsschutz
Technische Basis	GPT-5
Wie man arbeitet	Analysieren Sie das Lager kontinuierlich, senden Sie es zum Scannen, Verifizieren und Reparieren
Integrationsobjekte	GitHub, Codex, bestehende Engineering-Prozesse
Öffentlicher Status	Im Betastadium
Veröffentlichter Preis	Nicht bekannt gegeben
Frei und offen	Kostenloses Scannen ist für ausgewählte nichtkommerzielle Open-Source-Projekte geplant
Öffentliche Ergebnisse	92 % der bekannten und von Menschen verursachten Schwachstellen wurden in Benchmarks identifiziert
Ankündigungszeitpunkt	30.10.2025

Positionierungsbedeutung: Der Kernwert von Aardvark besteht darin, die „Erkennung von Schwachstellen“ in die Phase der Codeentwicklung zu verlagern, anstatt auf Penetrationstests oder Nachprüfungen zu warten. Für Sicherheitsteams bedeutet dies, Probleme früher zu finden, die Überprüfung schneller abzuschließen und es einfacher zu machen, Korrekturen wieder in den Entwicklungsprozess einzuschleusen.

Produktgrenze: Es handelt sich weder um einen täglichen Codierungsassistenten für einzelne Entwickler noch um ein allgemeines Frage-und-Antwort-Tool. Es eignet sich am besten für Organisationen mit Lagergröße, Berechtigungsverwaltung und Sicherheitsreaktionsprozessen.

Workflow-Funktionen: Der Beamte gibt deutlich an, dass er sich nicht auf Fuzz-Tests oder herkömmliche Softwarekomponentenanalysen verlässt, sondern LLM-gesteuerte Argumentation und Toolaufrufe verwendet, um das Codeverhalten zu verstehen, was feststellt, dass es sich eher um eine „Zusammenarbeit von Sicherheitsforschern“ als um einen statischen Scanner handelt.

Benutzer- und Markterkennung

Interne Überprüfung: OpenAI gab öffentlich bekannt, dass Aardvark seit mehreren Monaten in der internen Codebasis läuft und Sicherheitslücken mit tatsächlichen Auswirkungen entdeckt hat, was darauf hindeutet, dass es sich nicht nur um eine Konzeptdemonstration handelt, sondern in echte Arbeitsabläufe eingetreten ist.

Externe Zusammenarbeit: Beamte erwähnten auch, dass das Unternehmen mit externen Alpha-Partnern zusammenarbeitet. Die Partner betonen die Tiefe der Analyse und sind besonders gut darin, Probleme zu entdecken, die unter komplexen Bedingungen auftreten.

Open-Source-Beitrag: In Open-Source-Projekten hat Aardvark dazu beigetragen, mehrere Schwachstellen zu entdecken und verantwortungsvoll offenzulegen, von denen zehn eine CVE-Identifizierung erhielten, was ein starkes Signal der Anerkennung durch den Markt und die Sicherheitsgemeinschaft ist.

Quantitative Ergebnisse: OpenAI gab an, 92 % der bekannten und von Menschen verursachten Schwachstellen im „Gold“-Codebasis-Benchmark identifiziert zu haben, was zeigt, dass es eine hohe Rückrufquote für diese Nischenaufgabe der Sicherheitsforschung aufweist.

Kostenvorteil

Die öffentliche Kostenstruktur von Aardvark ist sehr zurückhaltend: Der Beamte zeigt keine einheitliche SaaS-Preisliste, nennt aber klare Nutzungsgrenzen. Für Unternehmen sind die tatsächlichen Kosten oft nicht nur die Abonnementgebühr, sondern auch der Zugriff auf das Lager, die manuelle Überprüfung, Reparaturprobleme und das Sicherheitsprozessmanagement.

Hierarchie	Offenlegung	Kostenauswirkungen
C-Seite/Persönlich	Nicht bekannt gegeben	Derzeit kein Standardtool, das Einzelpersonen offen steht
Entwickler / API	Nicht öffentlich	Auf der öffentlichen Seite werden die API-Abrechnungsbedingungen	nicht angezeigt
Unternehmen / Partner	Offen für interne Tests, Anmeldung erforderlich	Preise und Konditionen unterliegen der Geschäftskommunikation
Open-Source-Projekte	Ausgewählte nicht-kommerzielle Projekte können kostenlos gescannt werden	Geeignet für Open-Source-Wartung und Lieferkettenschutz

Kostenbeurteilung: Der Kostenvorteil liegt nicht im niedrigen Preis, sondern darin, dass hochwertige Sicherheitsforschungsfunktionen in den Entwicklungszyklus integriert werden. Für große Teams kann diese Art von Front-End-Funktion die Nacharbeit bei der Fehlerbehebung und die Kosten für nachgelagerte Vorfälle reduzieren.

Hauptfunktionen

• Kontinuierliche Warehouse-Analyse: Das Quellcode-Warehouse automatisch lesen und analysieren und Codeänderungen kontinuierlich verfolgen.
• Schwachstellenbewertung: Bestimmen Sie nach der Identifizierung von Schwachstellen weiter die Ausnutzbarkeit und den Schweregrad, um Prioritätsunterschiede zwischen Sicherheitsteams zu verringern.
• Scannen auf Commit-Ebene: Überprüft Änderungen, sobald neue Commits eintreffen, und hilft so, inkrementelle Schwachstellen zu entdecken.
• Sandbox-Verifizierung: Versuchen Sie, potenzielle Schwachstellen in einer isolierten Umgebung auszulösen, um zu bestätigen, ob sie wirklich ausnutzbar sind.
• Patch-Generierung: Von Codex generierte Reparaturvorschläge und Patches zur manuellen Überprüfung einreichen.
• Engineering Collaboration: Funktioniert mit GitHub, Codex und bestehenden Entwicklungsprozessen, ohne dass Teams ihre gesamte Arbeitsweise ändern müssen.

Modell- und Versionsentwicklung

Aktuelle Hauptzeile

• Aardvark Closed Beta: Die offizielle Veröffentlichung am 30.10.2025 markiert den Übergang von der internen und Alpha-Version zur umfassenderen Closed Beta.
• GPT-5-Treiber: Die Release-Seite positioniert ihn eindeutig als Sicherheitsforschungsassistenten, der technischen Support für GPT-5 bereitstellt, was darauf hinweist, dass seine Leistungsbasis auf den Fähigkeiten der aktuellen Hauptmodelle basiert.

Öffentliche Meilensteine

• Interne und Alpha-Phase: Beamte sagen, dass es seit mehreren Monaten in der internen Codebasis von OpenAI und externen Alpha-Partnern läuft, was darauf hindeutet, dass die vorläufige Verifizierung vor dem offiziellen internen Test abgeschlossen wurde.
• Erweiterung von Open-Source-Projekten: Auf der öffentlichen Seite werden auch Pläne erwähnt, kostenlose Sicherheitsscans für ausgewählte nichtkommerzielle Open-Source-Projekte bereitzustellen, was darauf hindeutet, dass sich die Produktroute von internen Pilotversuchen hin zur Verifizierung auf Community-Seite erweitert.

Technische Vorteile

Klarer Mechanismus-Link: Aardvark wendet einen mehrstufigen Prozess an: „Analyse -> Scan senden -> Überprüfung -> Reparatur“. Dies hat zur Folge, dass die Schwachstelle nicht nur in einem statischen Alarmzustand verbleibt, sondern zu einer überprüfbaren und reparierbaren Schließung wird.

LLM + Tool Call: Es versteht das Verhalten durch das Lesen von Code, das Schreiben von Tests, das Ausführen von Tests und das Aufrufen von Tools und kann logische Fehler, komplexe bedingte Schwachstellen und Datenschutzprobleme abdecken, die für herkömmliche Scanner schwer zu bewältigen sind.

Erklärbare Korrekturen: Jedes Erkennungsergebnis wird mit einem von Aardvark gescannten Codex-generierten Patch geliefert und unterstützt die manuelle Überprüfung, sodass Korrekturvorschläge leichter vom Entwicklungsteam akzeptiert werden können.

Reduzierte Fehlalarme: Beamte betonen, dass die Verifizierungsphase die Ausnutzbarkeit in einer isolierten Sandbox bestätigt. Dieses Design kann das Risiko verringern, dass Sicherheitsteams mit Fehlalarmen überhäuft werden.

Wie man es benutzt

Eingang	Methode	Fit für die Aufgabe
Beta-Anwendung	Internen Beta-Antrag einreichen	Erwerben Sie die Testqualifikation für Partner
GitHub-Integration	Zugriff auf Repositorys und Commit-Streams	Kontinuierliches Scannen nach Codeänderungen
Codex-Zusammenarbeit	Korrekturen in die Überprüfungskette aufnehmen	Beschleunigen Sie Korrekturen
Open-Source-Projektplan	Fordern Sie einen nichtkommerziellen Open-Source-Scan an	Lieferkette und Gemeinschaftssicherheit

Standardprozess: Zuerst interne Tests beantragen, dann das Ziellager mit dem Scan-Link verbinden, dann Aardvark die Analyse und Verifizierung durchführen lassen und schließlich überprüft der Techniker den Patch und fügt ihn in den Code ein.

Wichtige Punkte für die Akzeptanz: Das erste Pilotprojekt sollte sich auf die tatsächliche Schwachstellenerkennungsrate, die Falsch-Positiv-Kontrolle, die Patch-Integrationsrate und den Team-Review-Aufwand konzentrieren und nicht nur auf die Scan-Geschwindigkeit.

Produktpreise

Der öffentliche Preis für Aardvark wurde nicht bekannt gegeben und ähnelt derzeit eher einem kontrollierten privaten Beta- und Partnertestmodell.

• C-Seite/Persönlich: Nicht bekannt gegeben, derzeit kein standardmäßiges persönliches Abonnementprodukt.
• Unternehmen/Partner: Nehmen Sie an der privaten Beta teil, indem Sie sich bewerben. Preis und Vertragsbedingungen werden nicht bekannt gegeben.
• Open-Source-Projekte: Offiziell klare Pläne zur Bereitstellung kostenloser Sicherheitsscans für ausgewählte nichtkommerzielle Open-Source-Projekte.

Anwendungsszenarien

• Enterprise Code Base Security: Geeignet für die Verlagerung von Sicherheitsüberprüfungen in die tägliche Entwicklungs- und Zusammenführungsphase.
• Open-Source-Wartung: Geeignet, um Projektbetreuer dabei zu unterstützen, Schwachstellen zu entdecken und verantwortungsvolle Offenlegungen vorzunehmen.
• Komplexe Fehlerortung: Geeignet zum Auffinden logischer Schwachstellen oder Datenschutzprobleme, die nur unter bestimmten Bedingungen ausgelöst werden.
• Generierung von Fixempfehlungen: Geeignet für Patches und Schwachstellenberichte, um gemeinsam in den manuellen Überprüfungsprozess einzutreten.

Anwendbare Personen

• Security Engineering Team: Erfordert kontinuierliches Scannen, Verifizieren und Beheben geschlossener Organisationen.
• Plattform-Engineering-Team: Das Team, das Sicherheits-Governance in GitHub und Engineering-Prozesse integrieren muss.
• Open Source Maintainer: Projektbetreuer, die Schwachstellen schneller entdecken und offenlegen müssen.

Ungeeignete Grenzen sind: Teams ohne formales Code-Repository, ohne Überprüfungsprozess oder Teams, die nur einen einmaligen statischen Scan benötigen. Diese Art von Anforderung ist einfacher und erfordert nicht die Einführung einer Sicherheitskooperationsstelle wie Aardvark.

Zusammenfassung und Ausblick

Die Positionierung von Aardvark ist sehr klar: Es weiterentwickelt die KI von „Unterstützung beim Schreiben von Code“ zu „Unterstützung bei der Codeaufbewahrung“. In der tatsächlichen Entwicklungsumgebung ist der Wert dieser Art von präventiver Sicherheitsfunktion normalerweise höher als der eines einzelnen Scans, da dadurch die Erkennung, Überprüfung und Reparatur von Schwachstellen in den Engineering-Prozess integriert werden kann.

Zu den Einschränkungen, die noch beachtet werden müssen, gehören der Umfang der offenen Beta, die öffentliche Preisgestaltung, die Geschäftsbedingungen und die Grenzen bestehender Sicherheitstools. Für Teams, die sich auf ein Pilotprojekt vorbereiten, wird empfohlen, mit einem einzelnen Repository oder Open-Source-Projekt zu beginnen, um die Falsch-Positiv-Rate, die Patch-Qualität und die Überprüfungskosten zu überprüfen, bevor sie entscheiden, ob sie auf weitere Codebasen ausgeweitet werden sollen.

Verwandte Tools: github-copilot, cursor

Versionsinfo

• Betaversion von Aardvark ：OpenAI hat Aardvark am 30.10.2025 offiziell veröffentlicht und es als intelligenten Forschungsassistenten für Sicherheitsschutz positioniert. Es befindet sich noch in der internen Testphase. （2025-10-30）
• Interne und Partner-Alpha-Phase ：Offizielle Beschreibung Aardvark wird seit mehreren Monaten in der internen Codebasis von OpenAI und in externen Alpha-Partnerumgebungen ausgeführt, um Schwachstellenerkennung, manuelle Überprüfung und Behebungsprozesse zu validieren. （~2025-10）