Sinabi ng OpenAI na ang kanilang autonomous security agent ay nakakita ng 948 iba’t ibang vulnerability sa Linux kernel, nagbuo ng functional exploit code, at nagpaprepara ng patch para sa pagrerebyu—nagkakahalaga ng halos $1.2 milyon sa API credits.
Sa mga resulta na ipinahayag ng OpenAI noong Miyerkules: "Pumili kami ng Linux upang suriin kung gaano kalalim ang mga modernong modelo sa paghahanap ng mga vulnerabilities, at ipakita ang kanilang epekto sa kaligtasan sa isang codebase na may malaking sukat at kahalagahan."
Ang Linux kernel ay nagbibigay suporta sa cloud servers, mga Android device, at maraming kritikal na computing infrastructure sa buong mundo. Ang vulnerability na natuklasan sa eksperimento ng OpenAI ay isang local privilege escalation vulnerability: kailangan muna ng attacker na may limitadong pag-access sa masiraang machine, ngunit maaari niyang makakuha ng root privileges at buong kontrol sa sistema.
948 na vulnerabilities, 1,169 na available exploit codes
Sinuri ng agent ng OpenAI ang halos 2.8 milyong linya ng kernel code, o humigit-kumulang 7% ng proyekto. Sinabi ng OpenAI: “Nakikilala at sinusuri ng aming prototype ang 2,308 na kandidatong pagkakakita sa Linux kernel, dininamikong inuulit ang 1,724 na vulnerabilities, at ginawa ang 948 na local privilege escalation (LPE) exploit code na maaaring magbigay ng root access sa mga hindi awtorisadong lokal na user.”
Pagkatapos ay ipinangkat ng mga mananaliksik ang mga code exploit batay sa kanilang pangunahing sanhi at inirerekomendang pagpapabuti, na nagresulta sa 948 na iba’t ibang vulnerabilities.
Ang pagpapatakbo noong Oktubre ay nagkost ng $1,213,430 sa API credits, o humigit-kumulang $1,279 bawat vulnerability. Ikinukumpara ng OpenAI ang bilang na ito sa mga pambayad na halaga ng $20,000 hanggang $70,000 sa kasaysayan ng mga Linux privilege escalation vulnerabilities sa mga hacker competition, at sinabi na kung ito ay matatagpuan nang manual, ang teoretikal na halaga nito ay maaaring magmula sa $18.9 milyon hanggang $66.3 milyon.
Ipinahayag din ng OpenAI na noong July, ang mas maagang bersyon ng GPT-5.6 Sol solution ay nakahanap ng 166 natatanging vulnerability sa pamamagitan ng gastos na $513,690. At noong October, bagaman ang kernel ay nagsagawa ng maraming buwan ng pagpapabuti, ang isang mas updated ngunit hindi pa ipinapahayag na cybersecurity model ay nakahanap ng higit sa limang beses ang bilang ng mga vulnerability.
Inihayag din ng OpenAI na ginamit ng kanilang agent ang hindi kahit anong 10 uri ng teknik na hindi kilala ng mga mananaliksik at mga panlabas na eksperto na kanilang sinasalita, at hindi lamang ang mga umiiral na teknik na nakuha mula sa training data.
Ano ang mangyayari kung makakakuha rin ang mga hacker ng parehong kasangkapan?
Nakakita ang isang AI company ng isang mahalagang vulnerability, isang karagdagang patunay na kayang mag-execute ang mga sistema sa advanced na cybersecurity research, na dati ay nangangailangan ng malaking dami ng tao at propesyonal na kaalaman.
Noong nakaraang linggo, inilahad ng Anthropic na ang isang hindi pa ipinapakilalang bersyon ng Claude ay natuklasan at ginamit ang mga seriyosong butas sa malawakang ginagamit na software, kabilang ang Chrome at Linux. Ang ilan sa mga butas na ito ay maaaring magpahintulot sa pagpapatakbo ng masasamang code nang malayo nang hindi kailangan ng malaking interaksyon ng user.
Nagbago na ang ekonomiya ng ganitong uri ng pag-aaral bago ipahayag ni OpenAI.
Gumamit ang mga researcher ng Vidoc Security ng mga publiko available na modelo upang muling lumikha ng ilang mga vulnerability na may kaugnayan sa makapangyarihang Mythos AI ni Anthropic, na nagkakahalaga ng mas mababa sa $30 bawat file.
Ang mga pagsubok na ito ay nagpapakita na ang paghahanap ng mga vulnerability ay nagsisigla na mas madaling maabot, ngunit ang pagpapakita ng isang vulnerability ay iba sa pagbuo ng tiyak na exploit code na makakapag-atake sa mga protektadong sistema.
Ang pinakabagong eksperimento ng OpenAI ay nagpapalawig pa ang proseso ng pagpapakita, na maaaring magbigay ng kahusayan sa mga tagapagtanggol upang i-patch ang software bago gamitin ng mga kriminal ang parehong kahinaan.
Babala ng kumpanya na ang mga attacker na may limitadong akses sa mga luma操作系统, ay maaaring mas makapag-angkop ng AI upang i-upgrade ang kanilang mga pribilehiyo.
Sinusubaybayan ng OpenAI ang pag-access sa mas makapangyarihang mga modelo ng cybersecurity sa pamamagitan ng mga nasumpungan at ligtas na proyekto. Ang kanilang Daybreak Red program ay nag-aalok ng espesyal na mga AI tool para sa mga aprobado na tagapagtanggol para sa pag-aaral ng mga vulnerabilities, pagsubok ng pagpapahintulot, at pagbuo ng mga solusyon para sa pagpapalakas.