Агенты OpenAI нашли 948 способов получить root-доступ в Linux
Будущая модель проверяла эксплойты и готовила патчи в исследовательском запуске стоимостью 1,21 млн долларов; отчёты перед публикацией проверяли люди.
OpenAI заявила, что автономная система кибербезопасности выявила 948 уникальных случаев локального повышения привилегий в ядре Linux. Для каждого система подготовила работающий эксплойт и проект патча. Такие ошибки могут позволить локальному пользователю без прав администратора получить root-доступ на уязвимой машине.
Прототип на базе будущей cyber-модели охватывал поиск, динамическую проверку, оценку возможности эксплуатации и создание исправлений. Система проанализировала 2308 кандидатов, воспроизвела 1724 уязвимости в изолированных средах и создала 1169 работающих эксплойтов повышения привилегий. После анализа вариантов результаты свели к 948 уникальным случаям и патчам.
Полный запуск обошёлся примерно в 1,21 млн долларов в API-кредитах. OpenAI утверждает, что 80% известных CVE из тестового набора были найдены менее чем за 30 минут каждый. В выборке эксплойтов компания также обнаружила несколько техник, которые приглашённые специалисты по ядру назвали новыми.
Результат не означает, что 948 новых CVE уже приняты или исправлены. Исследователи проверяли выводы системы до раскрытия, а разработчики Linux уже исправляли часть проблем, пока другие обсуждались. OpenAI сообщает, что отправила сотни отчётов и патчей для критических уязвимостей и продолжает работу с партнёрами.
Главный сдвиг — поиск и проверка уязвимостей масштабируются так быстро, что основными ограничениями становятся ручная сортировка, ответственное раскрытие и ресурсы сопровождающих проекта.
OpenAI
