OpenAI menyatakan bahwa agen keamanan otonomnya menemukan 948 kerentanan berbeda di kernel Linux, mengembangkan kode eksploitasi yang dapat digunakan, dan menyusun rancangan perbaikan untuk ditinjau—seluruh proses ini memakan biaya sekitar $1,2 juta dalam kredit API.
Dalam hasil yang dirilis pada Rabu, OpenAI menyatakan: "Kami memilih Linux untuk meneliti sejauh mana model mutakhir dapat menemukan kerentanan, serta menunjukkan dampak keamanannya pada kodebase yang sebesar dan sepenting ini."
Kernel Linux mendukung server cloud, perangkat Android, serta banyak infrastruktur komputasi kritis di seluruh dunia. Kerentanan yang diidentifikasi dalam eksperimen OpenAI ini merupakan kerentanan peningkatan hak lokal: penyerang terlebih dahulu perlu memiliki akses terbatas ke mesin yang rentan, tetapi selanjutnya dapat memperoleh hak root dan mengendalikan sistem sepenuhnya.
948 kerentanan, 1.169 kode eksploitasi yang tersedia
Agen OpenAI memindai sekitar 2,8 juta baris kode inti, sekitar 7% dari proyek tersebut. OpenAI menyatakan: "Prototipe kami mengidentifikasi dan menganalisis 2.308 temuan kandidat Linux kernel, mereproduksi secara dinamis 1.724 kerentanan, dan menghasilkan 948 eksploitasi peningkatan hak lokal (LPE) yang dapat memungkinkan pengguna lokal tanpa otorisasi mendapatkan akses root."
Setelah mengelompokkan kode eksploitasi berdasarkan akar penyebab dan solusi perbaikan yang diusulkan, peneliti menghitung 948 kerentanan berbeda.
Pengeluaran untuk operasi Oktober ini mencapai $1.213.430 dalam kredit API, atau sekitar $1.279 per kerentanan. OpenAI membandingkan angka ini dengan hadiah historis untuk kerentanan peningkatan hak akses Linux dalam kompetisi peretasan, yang berkisar antara $20.000 hingga $70.000, dan menyatakan bahwa jika ditemukan secara manual, nilai teoretisnya bisa berada di antara $18,9 juta hingga $66,3 juta.
OpenAI juga menyatakan bahwa pada Juli, versi lebih awal dari solusi GPT-5.6 Sol berhasil menemukan 166 kerentanan peningkatan hak istimewa dengan biaya sebesar 513.690 dolar AS. Pada Oktober, meskipun kernel telah mengalami perbaikan selama beberapa bulan, model keamanan siber yang lebih baru namun belum dirilis tetap menemukan lebih dari lima kali jumlah kerentanan tersebut.
OpenAI juga menyatakan bahwa agen tersebut menggunakan setidaknya 10 teknik pemanfaatan yang tidak dikenal oleh para peneliti dan pakar eksternal yang dikonsultasikan, bukan hanya teknik-teknik yang sudah ada yang diambil dari data pelatihan.
Apa yang terjadi jika peretas juga mendapatkan alat yang sama?
Perusahaan AI menemukan kerentanan kritis, hanya menjadi contoh lain bahwa sistem-sistem ini mampu melakukan penelitian keamanan siber tingkat tinggi, yang sebelumnya biasanya memerlukan keahlian manual yang luas.
Minggu lalu, Anthropic mengungkap bahwa salah satu versi Claude yang belum dirilis menemukan dan memanfaatkan kerentanan serius di perangkat lunak yang banyak digunakan, termasuk Chrome dan Linux. Beberapa kerentanan tersebut dapat mengeksekusi kode jahat secara jarak jauh hampir tanpa interaksi pengguna.
Ekonomi penelitian semacam ini sudah berubah sebelum OpenAI mengumumkannya.
Peneliti dari Vidoc Security menggunakan model yang tersedia secara publik untuk mereproduksi sejumlah temuan kerentanan terkait Mythos AI kuat dari Anthropic dengan biaya kurang dari 30 dolar per file.
Uji coba ini menunjukkan bahwa menemukan kerentanan semakin mudah, tetapi mereproduksi kerentanan berbeda dengan mengembangkan kode eksploitasi yang andal untuk menembus sistem yang dilindungi.
Eksperimen terbaru OpenAI semakin mengotomatisasi proses pemanfaatan ini, yang mungkin memberikan keunggulan kepada para pembela dalam memperbaiki perangkat lunak sebelum penjahat memanfaatkan kelemahan yang sama.
Perusahaan tersebut memperingatkan bahwa penyerang dengan akses terbatas pada sistem operasi yang usang semakin mampu meningkatkan hak akses mereka dengan memanfaatkan AI.
OpenAI sedang berusaha membatasi akses ke model keamanan siber yang lebih kuat melalui proyek keamanan yang telah diverifikasi. Program Daybreak Red-nya menyediakan alat AI khusus bagi para pembela yang telah disetujui untuk penelitian kerentanan, pengujian eksploitasi, dan pengembangan solusi mitigasi.