OpenAI বলেছে যে তাদের স্বায়ত্তশাসিত সুরক্ষা এজেন্টগুলি Linux কার্নেলে 948টি ভিন্ন ভুল খুঁজে পেয়েছে, ব্যবহারযোগ্য এক্সপ্লয়িট কোড তৈরি করেছে এবং পরীক্ষার জন্য প্রতিকারের প্রস্তাব তৈরি করেছে—সমগ্র প্রক্রিয়াটি প্রায় 120 ডলারের API ক্রেডিট খরচ করেছে।
ওপেনএআই মঙ্গলবার প্রকাশিত ফলাফলে বলেছে: "আমরা লিনাক্স বেছে নিয়েছি, যাতে আমরা অগ্রগামী মডেলগুলির দ্বারা ভাঙ্গন খুঁজে পাওয়ার মাত্রা অধ্যয়ন করতে পারি এবং এই পরিমাণ এবং গুরুত্বপূর্ণ কোডবেসে এদের নিরাপত্তা প্রভাব প্রদর্শন করতে পারি।"
লিনাক্স কার্নেল ক্লাউড সার্ভার, অ্যান্ড্রয়েড ডিভাইস এবং বিশ্বব্যাপী অনেক গুরুত্বপূর্ণ কম্পিউটিং ইনফ্রাস্ট্রাকচারকে সমর্থন করে। ওপেনএআই-এর এই পরীক্ষায় শনাক্ত করা ভুলগুলি স্থানীয় প্রভিলেজ এসকেশন ভুল: আক্রমণকারীদের প্রথমে ভুলযুক্ত মেশিনে সীমিত অ্যাক্সেস প্রয়োজন, কিন্তু তারপর তারা root অধিকার অর্জন করতে পারে এবং সিস্টেমটি সম্পূর্ণভাবে নিয়ন্ত্রণ করতে পারে।
৯৪৮টি ভাঙ্গন, ১১৬৯টি উপলব্ধ দুর্বলতা ব্যবহার
OpenAI এর এজেন্ট প্রায় 28 লাখ লাইন কার্নেল কোড স্ক্যান করেছে, যা প্রকল্পটির প্রায় 7%। OpenAI বলেছে: “আমাদের প্রোটোটাইপ 2308টি Linux কার্নেল সম্ভাব্য আবিষ্কার শনাক্ত করেছে, 1724টি ভুলকে ডাইনামিকভাবে পুনরুৎপাদন করেছে এবং 948টি লোকাল প্রিভিলেজ এস্কেলেশন (LPE) এক্সপ্লয়িট তৈরি করেছে, যা অননুমোদিত স্থানীয় ব্যবহারকারীদের root অ্যাক্সেস পাওয়ার অনুমতি দিতে পারে।”
মূল কারণ এবং প্রস্তাবিত সমাধানের ভিত্তিতে দুর্বলতা কোডগুলিকে গ্রুপ করার পর, গবেষকরা 948টি ভিন্ন দুর্বলতা গণনা করেন।
এই অক্টোবরের অপারেশনে 1,213,430 ডলারের API ক্রেডিট ব্যয় হয়েছে, যা প্রতিটি ভালনের জন্য প্রায় 1,279 ডলারের সমান। ওপেনএআই এই সংখ্যাকে হ্যাকার প্রতিযোগিতায় লিনাক্স প্রিভিলেজ এসকেশন ভালনের ইতিহাসে 20,000 থেকে 70,000 ডলারের পুরস্কারের সাথে তুলনা করে বলেছে যে যদি একই ফলাফল ম্যানুয়ালি খুঁজে পাওয়া যেত, তাহলে এর তাত্ত্বিক মূল্য 18.9 মিলিয়ন থেকে 66.3 মিলিয়ন ডলারের মধ্যে হতে পারে।
OpenAI আরও বলেছে যে, জুলাইয়ের শুরুতেই GPT-5.6 Sol এর পুরনো সংস্করণটি 513,690 ডলার খরচে 166টি অনন্য প্রিভিলেজ এস্কেলেশন ভালনারেবল খুঁজে পেয়েছিল। অক্টোবরে, যদিও কার্নেলটি কয়েক মাস ধরে প্রতিকার করা হয়েছিল, একটি আপডেটেড কিন্তু এখনও প্রকাশিত হয়নি সাইবার সিকিউরিটি মডেলটি পাঁচগুণেরও বেশি ভালনারেবল খুঁজে পেয়েছিল।
OpenAI আরও বলেছে যে, তাদের এজেন্টগুলি শুধুমাত্র প্রশিক্ষণ ডেটা থেকে পুনরুদ্ধার করা পুরানো কৌশলগুলির চেয়েও কমপক্ষে 10টি এমন প্রযুক্তি ব্যবহার করেছে যেগুলি গবেষকদের এবং তাদের পরামর্শদাতা বাহ্যিক বিশেষজ্ঞদের কাছে অপরিচিত।
যদি হ্যাকাররাও একই টুল পায় তবে কী হবে?
একটি এআই কোম্পানি একটি গুরুত্বপূর্ণ দুর্বলতা আবিষ্কার করেছে, যা এই সিস্টেমগুলির উন্নত সাইবার নিরাপত্তা গবেষণা সম্পাদনের ক্ষমতা প্রমাণ করে, যেখানে এই ধরনের ফলাফলগুলি আগে প্রায়শই ব্যাপক মানব বিশেষজ্ঞের প্রয়োজন হত।
গত সপ্তাহে, Anthropic প্রকাশ করেছে যে তাদের একটি অপ্রকাশিত Claude সংস্করণ ব্যাপকভাবে ব্যবহৃত সফটওয়্যারে গুরুতর ভাঙন খুঁজে পেয়েছে এবং সেগুলি ব্যবহার করেছে, যার মধ্যে রয়েছে Chrome এবং Linux। এই ভাঙনগুলির কিছু ব্যবহারকারীর প্রায় কোনো ইন্টারঅ্যাকশন ছাড়াই দূরবর্তীভাবে ক্ষতিকর কোড চালানোর অনুমতি দেয়।
OpenAI প্রকাশের আগেই এই ধরনের গবেষণার আর্থিক কার্যক্ষমতা পরিবর্তিত হয়েছিল।
ভিডোক সিকিউরিটির গবেষকরা পাবলিকলি উপলব্ধ মডেল ব্যবহার করে প্রতি ফাইলের জন্য 30 ডলারের কম খরচে এনথ্রোপিকের শক্তিশালী মিথোস এআই-এর সাথে সম্পর্কিত কয়েকটি ভালন্যুলের পুনরুৎপাদন করেছেন।
এই পরীক্ষাগুলি দেখায় যে ভাঙ্গন আবিষ্কার করা ক্রমশ সহজ হয়ে পড়ছে, তবে একটি ভাঙ্গনকে পুনরুৎপাদন করা এবং সুরক্ষিত সিস্টেমগুলি ভেদ করার জন্য নির্ভরযোগ্য এক্সপ্লয়ট কোড তৈরি করা একই বিষয় নয়।
OpenAI-এর সর্বশেষ পরীক্ষাটি এই ব্যবহার প্রক্রিয়াকে আরও স্বয়ংক্রিয় করেছে, যা অপরাধীদের একই দুর্বলতা ব্যবহার করার আগে সফটওয়্যার প্যাচ করার জন্য প্রতিরক্ষাকারীদের জন্য সুবিধা প্রদান করতে পারে।
কোম্পানিটি সতর্ক করেছে যে, পুরনো অপারেটিং সিস্টেমে সীমিত অ্যাক্সেস থাকা আক্রমণকারীরা এখন এআই ব্যবহার করে অধিকার উন্নয়নের সম্ভাবনা বাড়ছে।
OpenAI একটি যাচাইকৃত সুরক্ষা প্রকল্পের মাধ্যমে তাদের আরও শক্তিশালী সাইবার নিরাপত্তা মডেলগুলির প্রবেশাধিকার সীমিত করার চেষ্টা করছে। তাদের Daybreak Red প্রকল্পটি ভেলনারেবিলিটি গবেষণা, এক্সপ্লয়িট টেস্টিং এবং মিটিগেশন সমাধান বিকাশের জন্য অনুমোদিত প্রতিরক্ষাবাহিনীদের জন্য বিশেষায়িত AI টুলস প্রদান করে।