OpenAI menyatakan bahawa agen keselamatan swakendali mereka telah mengesan 948 kelemahan berbeza dalam kernel Linux, mengembangkan kod pemanfaatan yang boleh digunakan, dan menyediakan cadangan pembaikan untuk ditinjau—keseluruhan proses ini mengambil kira kira 1,2 juta dolar AS dalam kredit API.
Dalam hasil yang dikeluarkan pada Rabu, OpenAI menyatakan: "Kami memilih Linux untuk menyelidiki sejauh mana model terkini mampu mengesan lubang kelemahan, serta menunjukkan kesan keselamatannya dalam kodbase yang sebesar dan sepenting ini."
Kernel Linux menyokong pelayan awan, peranti Android, serta banyak infrastruktur pengkomputeran penting di seluruh dunia. Lohong yang dikenal pasti dalam eksperimen OpenAI ini adalah lohong peningkatan kuasa tempatan: penyerang perlu mempunyai akses terhadap mesin yang rentan terlebih dahulu, tetapi kemudian boleh memperoleh kuasa root dan mengawal sistem sepenuhnya.
948 lubang keamanan, 1169 kod eksploitasi yang tersedia
Agen OpenAI telah memindai sekitar 2.8 juta baris kod kernel, atau sekitar 7% daripada projek tersebut. OpenAI menyatakan: "Prototip kami mengenal pasti dan menganalisis 2,308 cadangan penemuan Linux kernel, mereplikasi dinamik 1,724 kelemahan, dan menghasilkan 948 eksploit LPE (Local Privilege Escalation) yang mungkin membolehkan pengguna tempatan tanpa kebenaran mendapatkan akses root."
Selepas mengelompokkan kod pemanfaatan berdasarkan punca asal dan penyelesaian yang dicadangkan, penyelidik menghitung 948 lubang keamanan yang berbeza.
Pengeluaran untuk operasi Oktober ini mencapai 1,213,430 dolar AS dalam kredit API, atau sekitar 1,279 dolar AS setiap kelemahan. OpenAI membandingkan angka ini dengan hadiah sejarah kelemahan peningkatan hak akses Linux dalam pertandingan peretasan, yang berkisar antara 20,000 hingga 70,000 dolar AS, dan menyatakan bahawa jika hasil yang sama ditemukan secara manual, nilai teorinya mungkin berada antara 18.9 juta hingga 66.3 juta dolar AS.
OpenAI juga menyatakan bahawa pada bulan Julai, versi lebih awal daripada skema GPT-5.6 Sol telah menemui 166 kelemahan peningkatan kuasa dengan kos sebanyak US$513,690. Pada bulan Oktober, walaupun kernel telah mengalami pembaikan selama berbulan-bulan, model keselamatan siber yang lebih baru tetapi belum dilancarkan masih mampu menemui lebih daripada lima kali ganda jumlah kelemahan tersebut.
OpenAI juga menyatakan bahawa agen tersebut menggunakan sekurang-kurangnya 10 teknik pemanfaatan yang tidak dikenali oleh penyelidik dan pakar luar yang dikonsultasikan, bukan sekadar teknik yang sudah ada yang diperoleh daripada data latihan.
Apa yang akan berlaku jika perompak juga mendapat alat yang sama?
Syarikat AI menemui lubang kepentingan, hanya membuktikan lagi bahawa sistem-sistem ini mampu menjalankan penyelidikan keselamatan siber tingkat tinggi, yang sebelum ini biasanya memerlukan keahlian manual yang banyak.
Seminggu yang lalu, Anthropic mengungkap bahawa satu versi Claude yang belum dirilis menemui dan memanfaatkan kelemahan serius dalam perisian yang banyak digunakan, termasuk Chrome dan Linux. Sebahagian daripada kelemahan ini membolehkan pelaksanaan kod jahat dari jauh hampir tanpa interaksi pengguna.
Kekenduran ekonomi dalam penyelidikan semacam ini sudah berubah sebelum OpenAI mengumumkan.
Penyelidik dari Vidoc Security menggunakan model yang tersedia secara awam untuk mereplikasi beberapa penemuan kerentanan yang berkaitan dengan AI Mythos yang kuat daripada Anthropic, dengan kos kurang daripada 30 dolar AS setiap fail.
Ujian-ujian ini menunjukkan bahawa penemuan lubang keamanan semakin mudah diperoleh, tetapi mereplikasi satu lubang keamanan berbeza daripada membangunkan kod eksploit yang boleh dipercayai untuk menyerang sistem yang dilindungi.
Eksperimen terbaru OpenAI memperautomatiskan proses pemanfaatan ini, yang mungkin memberikan keuntungan kepada pihak pertahanan dalam memperbaiki perisian sebelum penjenayah memanfaatkan kelemahan yang sama.
Syarikat tersebut memperingatkan bahawa penyerang dengan akses terhadap sistem operasi yang usang mungkin semakin mampu meningkatkan kekuasaan mereka dengan menggunakan AI.
OpenAI sedang berusaha membatasi akses kepada model keselamatan cyber yang lebih kuat melalui projek keselamatan yang telah disahkan. Program Daybreak Rednya menyediakan alat AI khas kepada pembela yang diluluskan untuk penyelidikan lubang keamanan, pengujian eksploitasi, dan pembangunan penyelesaian pengurangan.