OpenAI ने घोषणा की कि उसके स्वायत्त सुरक्षा एजेंट ने Linux कर्नेल में 948 अलग-अलग दरारें खोजीं, उपयोगयोग्य दुरुपयोग कोड विकसित किया, और समीक्षा के लिए ठीक करने की योजना तैयार की — पूरी प्रक्रिया में लगभग 120 डॉलर के API क्रेडिट खर्च हुए।
OpenAI ने बुधवार को जारी परिणामों में कहा: "हमने लिनक्स का चयन इसलिए किया है कि हम अग्रणी मॉडल कितने गहराई तक वल्नरेबिलिटीज की खोज कर सकते हैं और उनके इतने बड़े और महत्वपूर्ण कोडबेस में सुरक्षा प्रभाव को दर्शा सकते हैं।"
Linux कर्नेल क्लाउड सर्वर, Android डिवाइस और दुनिया भर के कई महत्वपूर्ण कंप्यूटिंग बुनियादी ढांचे को समर्थन देता है। OpenAI के इस प्रयोग में पहचाने गए दुर्बलता स्थानीय प्रवेश उन्नयन दुर्बलता हैं: हमलावर को पहले दुर्बलता वाले मशीन तक सीमित पहुंच की आवश्यकता होती है, लेकिन फिर वह root अधिकार प्राप्त कर सकता है और पूरी तरह से सिस्टम को नियंत्रित कर सकता है।
948 वैल्नरेबिलिटीज, 1169 उपलब्ध एक्सप्लॉइट्स
OpenAI के एजेंट ने लगभग 28 लाख पंक्तियों कोड का स्कैन किया, जो प्रोजेक्ट का लगभग 7% है। OpenAI ने कहा: "हमारा प्रोटोटाइप ने 2308 लिनक्स कर्नेल संभावित खोजों की पहचान की और विश्लेषण किया, 1724 दुर्बलताओं को डायनामिक रूप से पुनर्निर्मित किया, और 948 स्थानीय उन्नयन (LPE) दुरुपयोग कोड उत्पन्न किए, जो अनधिकृत स्थानीय उपयोगकर्ताओं को root एक्सेस प्राप्त करने की अनुमति दे सकते हैं।"
जब दुरुपयोग कोड को मूल कारण और प्रस्तावित ठीक करने के उपाय के आधार पर समूहित किया गया, तो शोधकर्ताओं ने 948 अलग-अलग दुर्बलताओं की गिनती की।
इस अक्टूबर के रन ने 1,213,430 डॉलर के API क्रेडिट्स का उपयोग किया, जो प्रति वल्नरेबिलिटी लगभग 1,279 डॉलर के बराबर है। OpenAI ने इस संख्या की तुलना हैकर प्रतियोगिताओं में Linux प्रिविलेज एस्केलेशन वल्नरेबिलिटी के इतिहास में 20,000 से 70,000 डॉलर के पुरस्कारों से की है, और बताया कि यदि इसी परिणाम को मानव द्वारा खोजा जाता, तो इसका सैद्धांतिक मूल्य 18.9 मिलियन से 66.3 मिलियन डॉलर के बीच हो सकता है।
OpenAI ने यह भी बताया कि जुलाई में, GPT-5.6 Sol समाधान के पुराने संस्करण ने 513,690 डॉलर की लागत से 166 अनूठे प्रवेश अधिकार वृद्धि दोष पाए थे। और अक्टूबर में, भले ही कर्नेल में कई महीनों तक ठीक किया गया हो, एक अपडेटेड लेकिन अभी तक जारी नहीं किया गया साइबर सुरक्षा मॉडल ने पांच गुना से अधिक दोष पाए।
OpenAI ने यह भी बताया कि उनके एजेंट ने कम से कम 10 ऐसी तकनीकों का उपयोग किया, जो शोधकर्ताओं और उनके बाहरी सलाहकारों को अज्ञात थीं, और केवल प्रशिक्षण डेटा से प्राप्त पुरानी कौशलों का उपयोग नहीं किया।
अगर हैकर भी उसी टूल को प्राप्त कर लें तो क्या होगा?
AI कंपनियों ने की गई कुंजी विफलता की खोज केवल इस बात का एक और उदाहरण है कि ये प्रणालियाँ उच्च स्तरीय साइबर सुरक्षा शोध करने में सक्षम हैं, जबकि ऐसे परिणाम पहले अक्सर बड़ी मात्रा में मानवीय विशेषज्ञता की आवश्यकता होती थी।
पिछले हफ्ते, Anthropic ने खुलासा किया कि उसका एक अभी तक जारी नहीं किया गया Claude संस्करण, Chrome और Linux सहित व्यापक रूप से उपयोग किए जाने वाले सॉफ्टवेयर में गंभीर दुर्बलताओं को खोजकर और उनका दुरुपयोग करके काम कर रहा है। इनमें से कुछ दुर्बलताएँ लगभग किसी उपयोगकर्ता की अनुमति के बिना दूरस्थ रूप से दुर्भावनापूर्ण कोड निष्पादित कर सकती हैं।
OpenAI द्वारा घोषणा से पहले ही इस तरह के अनुसंधान की आर्थिकता बदल चुकी थी।
Vidoc Security के शोधकर्ताओं ने उपलब्ध सार्वजनिक मॉडल का उपयोग करके Anthropic के शक्तिशाली Mythos AI से संबंधित कई विभेदनों को प्रति फाइल 30 डॉलर से कम की लागत पर पुनः उत्पन्न किया।
ये परीक्षण दर्शाते हैं कि वल्नरेबिलिटी की खोज अब अधिक सुलभ हो रही है, लेकिन एक वल्नरेबिलिटी को दोहराना और सुरक्षित प्रणालियों को तोड़ने के लिए विश्वसनीय एक्सप्लॉइट कोड विकसित करना अलग बात है।
OpenAI का नवीनतम प्रयोग इस उपयोग प्रक्रिया को और अधिक स्वचालित करता है, जिससे रक्षाकर्मीयों को अपराधियों द्वारा समान कमजोरियों का दुरुपयोग करने से पहले सॉफ्टवेयर को ठीक करने का लाभ मिल सकता है।
कंपनी ने चेतावनी दी है कि पुराने ऑपरेटिंग सिस्टम पर सीमित पहुंच वाले हमलावर, AI का उपयोग करके अधिकारों को बढ़ाने में अधिक सक्षम हो सकते हैं।
OpenAI अपने अधिक शक्तिशाली साइबर सुरक्षा मॉडल तक पहुँच को सत्यापित सुरक्षा परियोजनाओं के माध्यम से सीमित करने की कोशिश कर रहा है। इसका Daybreak Red कार्यक्रम वेलकम सुरक्षा विशेषज्ञों को दुर्बलता अनुसंधान, दुरुपयोग परीक्षण और निवारण योजना विकास के लिए विशेष AI उपकरण प्रदान करता है।