0sec Labs udostępnia otwartoźródłowe narzędzie „0” do automatyzacji testów bezpieczeństwa

Wspierany przez Y Combinator szwajcarski startup 0sec Labs udostępnił na podwójnej licencji MIT oraz Apache-2.0 projekt o nazwie „0”. Oprogramowanie nie jest kolejnym autonomicznym modelem językowym, lecz warstwą orkiestracji (tzw. harness), która spina zewnętrzne LLM-y z klasycznymi narzędziami bezpieczeństwa ofensywnego i inżynierii wstecznej. Narzędzie zadebiutowało w wersji badawczej (research preview), o czym poinformował serwis Marktechpost.

Główną regułą architektoniczną platformy jest wymóg odtworzenia problemu przed uznaniem go za wiarygodny (reproduce before trusting). Proces analizy został podzielony na odrębne etapy: planowanie i atak, selekcję znalezisk (triage), a następnie weryfikację. W tym ostatnim kroku niezależna sesja ponownie sprawdza każde potencjalne znalezisko, dysponując pięcioma turami na jego potwierdzenie. Końcowy raport może zostać zapisany w formacie SARIF, JSON, Markdown, HTML lub PDF.

W testach aplikacji webowych system stawia na bezpośredni dostęp do powłoki systemowej – zamiast zamkniętego zestawu zapytań HTTP agenci AI korzystają ze środowiska bash, narzędzia curl, skryptów w Pythonie oraz sqlmapa. Z kolei do badania skompilowanych programów służy wbudowany silnik 0verse, który opakowuje powszechnie stosowane narzędzia inżynierii wstecznej i fuzzingu: dekompilator Ghidra, platformę angr oraz fuzzer AFL++.

Integracja z agentami i własny model

Rozwiązanie udostępnione w repozytorium 0sec Labs na GitHubie można uruchomić lokalnie bez karty graficznej na systemach macOS z Apple Silicon lub na Linuksie (x64 i ARM64), a także w kontenerze. Platforma działa w modelu BYOM (Bring Your Own Model) – obliczenia związane z wnioskowaniem realizują dostawcy API wskazani przez użytkownika. Lista wspieranych integracji obejmuje 14 podmiotów, w tym OpenAI, Anthropic, DeepSeek, Azure, Qwen czy Grok, jak również interfejsy CLI Claude’a i Gemini.

Użytkownicy mogą sterować pracą narzędzia na trzy sposoby: z poziomu lokalnej konsoli w przeglądarce, która nie wymaga zakładania konta, poprzez bezgłowy interfejs linii poleceń (CLI) lub za pośrednictwem serwera MCP (Model Context Protocol). Ten ostatni tryb pozwala podłączać zewnętrzne środowiska programistyczne i agentów kodujących bezpośrednio do zdefiniowanych przepływów pracy audytorskiej.

Rezultaty testów i luki w jądrze Linuksa

Według informacji zespołu narzędzie posłużyło do wykrycia ponad 30 podatności typu zero-day w jądrze Linuksa, których poprawki włączono do oficjalnego drzewa jądra. Dotyczyły one m.in. podsystemów Bluetooth, NFC, mac802154 i TIPC. Zespół wymienia także luki CVE w programie Wireshark oraz bibliotekach protobuf.js i node-forge.

Jeśli chodzi o syntetyczne testy CTF, deklarowane przez twórców wyniki prezentują się optymistycznie, choć wymagają ostrożności przy interpretacji. W zadaniach webowych XBOW platforma osiągnęła skuteczność 97,9% (93 rozwiązane zadania na 95) przy wykorzystaniu modeli z rodziny gpt-5.4, generując koszt około 5,20 dolara na jedno rozwiązane wyzwanie. Wynik ten odzwierciedla jednak dowolną udaną próbę, a nie wskaźnik skuteczności przy pierwszym podejściu (pass@1). W innym teście, tzw. zimnym uruchomieniu przeprowadzonym w 2026 r., wynik wyniósł 43,3% (45 z 104 zadań).

Otwarta wersja narzędzia pozostaje bezpłatna, a użytkownicy pokrywają jedynie koszty zapytań do modeli językowych. Startup zapowiedział także uruchomienie komercyjnej wersji chmurowej 0cloud, do której dostęp jest obecnie ograniczony listą oczekujących.