OpenAI przeprowadziło zaawansowane testy bezpieczeństwa przy użyciu autonomicznego potoku opartego na specjalistycznym modelu AI. System ten zidentyfikował i opracował exploity dla 948 unikalnych błędów w jądrze Linux, które pozwalają na eskalację uprawnień (LPE). Całość operacji kosztowała około 1,2 miliona dolarów w kredytach API.
Badania skupiły się na najnowszym kodzie w gałęzi master jądra Linux. Agenci AI najpierw wyselekcjonowali obszary istotne z punktu widzenia bezpieczeństwa, a następnie potwierdzili ponad 1700 potencjalnych błędów. W efekcie uzyskano 1169 działających exploitów LPE oraz blisko 300 dowodów koncepcji wycieków informacji. Co istotne, AI odkryło co najmniej 10 zupełnie nowych technik eksploatacji, których nie znali zewnętrzni eksperci.
Wyniki te pokazują ogromną dysproporcję między kosztem badań a wartością rynkową znalezionych błędów. OpenAI przekazało już setki raportów i łatek do społeczności kernel maintainers. Firma ostrzega jednocześnie, że posiadanie uprawnień o niskim poziomie w nieaktualizowanym systemie może być obecnie traktowane przez zaawansowanych napastników jako funkcjonalny dostęp do uprawnień roota.
Jako środki zaradcze OpenAI rekomenduje stosowanie obrony wielowarstwowej, w tym technologii izolacji i piaskownic, takich jak Firecracker czy gVisor. Dodatkowo firma ogłosiła znaczące zwiększenie nagród w swoim programie Bug Bounty, aby zachęcić badaczy do szukania luk, których automatyczne systemy mogłyby nie wykryć.
