Trail of Bits a publié patching-bugs et regression-hunt le 21 octobre 2026. Les plugins résultent de Patch the Planet, une initiative menée avec OpenAI qui a produit des centaines de correctifs de sécurité pour des projets open source largement utilisés. Le premier reproduit des bugs signalés, élabore des correctifs et les teste. Le second recherche les régressions : nouveaux défauts qui cassent un comportement auparavant correct. Les ingénieurs orientent le travail et examinent les résultats ; les mainteneurs fournissent leurs hypothèses de sécurité et leurs règles de correction.

L'examen de plus de 130 pull requests fusionnées révéla 21 régressions confirmées. Seize touchaient le fonctionnement, les autres le build ou les tests. Aucune n'a désactivé une protection de sécurité. Lors d'un passage, les agents trouvèrent 58 candidats et en confirmèrent 21, soit une précision d'environ 36 %. Ce bruit aboutit à deux conclusions : la création et la vérification des correctifs exigent des procédures répétables. Des exécutions différentes génèrent des candidats différents et alourdissent le tri manuel.

Les plugins reposent sur des consignes brèves et prescriptives, avec des étapes utilisables séparément. Chaque étape possède un schéma d'entrée et de sortie défini contenant l'affirmation, la révision du code, le contrôle requis, les éléments de preuve bruts et les questions ouvertes. Toute conclusion s'appuie sur une preuve de concept exécutée dans une instance construite et en fonctionnement, via une interface accessible à un véritable utilisateur. Sans telle preuve, le résultat demeure non concluant.

regression-hunt suit le code modifié à travers ses appelants jusqu'aux interfaces réelles. Il reproduit chaque régression possible sur un déploiement actif, puis rejoue la preuve avec un agent dans un contexte vierge. Une phase d'arbitrage doit établir qu'il ne s'agit ni d'un faux positif, d'un correctif incomplet, d'un défaut latent ni d'un bug préexistant. Lorsqu'un modèle de menace existe, chaque étape le reçoit comme contexte commun.

Comparé à un agent Codex de base invité à examiner une pull request, regression-hunt produisit 25 % moins de faux positifs sur les 21 régressions confirmées. L'intervalle de confiance à 95 % alla de 14 à 38 %. Des règles de preuve plus strictes laissèrent certaines régressions connues en zone grise parce que le plugin ne pouvait pas les confirmer. Trail of Bits veut améliorer la collecte des preuves.

patching-bugs applique une preuve en trois volets : le code d'origine doit échouer, le code corrigé doit réussir et l'annulation complète du patch doit faire réapparaître l'échec. Cela prouve que le patch lui-même fixa le bug, non un changement isolé. La réparation vise l'invariant de sécurité violé plutôt que le seul symptôme signalé. Le plugin exécute ensuite regression-hunt sur la modification proposée.

Les deux outils lisent THREAT_MODEL.md et PATCHING_GUIDELINES.md (ou AGENTS.md) d'un repository. Le modèle de menace doit définir les actifs importants, les frontières de confiance, les contrôles d'accès, les configurations prises en charge, les critères de vulnérabilité et les preuves requises pour les rapports valides. Le guide de correction doit décrire la compilation et les tests, l'étendue et l'emplacement du patch, la présentation des changements et ce que les tests de régression doivent montrer.

Pour GPAC, Trail of Bits rédigea des consignes propres au projet, attachées à la pull request 3953. Liboqs et validator.js publièrent des modèles de menace selon les recommandations de l'entreprise. Une documentation projet plus complète produit de meilleurs résultats des agents.

Trail of Bits évalue maintenant si patching-bugs corrige les bugs signalés et leurs variantes sans introduire de régressions. Il analyse les traces d'exécution pour voir quelles règles Codex suit, quelles étapes il ignore et où les preuves faiblissent. Les prochaines versions devraient permettre aux mainteneurs de choisir entre des patchs minimes et des vérifications plus larges avec des taux de faux positifs plus élevés. Les plugins sont déjà utilisés dans les travaux de Patch the Planet.