OpenAI нашла 948 путей к root в Linux. Теперь их нужно проверить и закрыть

OpenAI показала исследовательский конвейер, который ищет уязвимости в ядре Linux, воспроизводит их в изолированной среде и готовит исправления. В октябрьском прогоне система подтвердила 948 уникальных уязвимостей локального повышения привилегий. Но главный вывод исследования не сводится к размеру этой цифры: поиск масштабируется быстрее, чем проверка результатов и принятие патчей.

Речь идёт о переходе от непривилегированной локальной учётной записи к правам root, то есть полному контролю над системой. Это не демонстрация удалённого проникновения в любой сервер Linux без предварительного доступа. Авторы использовали ещё не выпущенную кибермодель; нового общедоступного продукта вместе с исследованием не представили.

От тысяч подозрений к подтверждённым проблемам

Сначала система собрала 2308 кандидатов после удаления повторов. Затем она динамически воспроизвела 1724 уязвимости в виртуальных машинах. Для оценки опасности агенты подготовили 291 доказательство утечки информации и 1169 работающих вариантов локального повышения привилегий. После анализа вариантов последние свели к 948 уникальным уязвимостям и отдельным кандидатам исправлений.

Эти числа описывают разные ступени проверки, а не конкурирующие оценки одной величины. Подозрение в коде ещё не означает воспроизводимую ошибку, а несколько работающих вариантов атаки могут опираться на одну проблему. Число 948 также не равно количеству уже исправленных CVE.

При проверке возможности повышения привилегий использовались виртуальные машины с защитами стандартного дистрибутива Linux. Их не отключали ради красивого результата. Сам поиск шёл в контролируемой исследовательской среде, а не на чужих работающих серверах.

Получить root оказалось недостаточно

Во время раннего прогона конвейер сообщил о 200 успешных повышениях привилегий. Люди обнаружили, что в 20 случаях агент получил root через другую уязвимость нулевого дня, а не через ту, которую ему поручили проверить. Результат формально был достигнут, но доказательство относилось не к тому багу.

После этого команда ужесточила условия и добавила независимую проверку: финальный вариант атаки должен использовать именно назначенную уязвимость. Для автоматического аудита это важное различие. Нужно подтверждать и результат, и путь к нему, иначе отчёт может убедительно доказывать не то, что написано в его заголовке.

Миллион долларов за прогон, не за устранение всех багов

Октябрьский прогон потребовал $1 213 430 в API-кредитах, или $1279 в расчёте на уникальную уязвимость локального повышения привилегий. Это стоимость запросов к моделям в конкретном эксперименте, а не полный бюджет проекта с работой людей и инфраструктурой. Команда отдельно отмечает, что оптимизировала методику и измерение возможностей, а не минимальный счёт.

OpenAI уже направила сотни отчётов и кандидатов патчей по критическим проблемам. Остальные материалы компания готовит к постепенной передаче вместе с партнёрами Patch the Planet. Перед отправкой результаты, предлагаемые исправления и серьёзность проблемы проверяют исследователи.

Готовый патч тоже требует проверки. В первых версиях модель могла убрать конкретный сбой, но добавить лишний код, ухудшить производительность, нарушить принятый стиль или пропустить родственный вариант ошибки. Дополнительные инструкции и итерации улучшили качество, но не превратили генерацию исправления в автоматическое принятие его сопровождающими ядра.

За время проверки ядро успевает измениться

За десять дней, пока шли сканирование и ручной анализ, другие участники уже исправили 61 из найденных проблем локального повышения привилегий в основной ветке, ещё для 43 появились предварительные патчи, а 299 публично обсуждались. Поэтому нельзя объявить все результаты новыми и до сих пор нераскрытыми уязвимостями.

Перед отправкой отчёта нужно заново сверять его с актуальным кодом. Иначе система, которая быстро находит ошибки, столь же быстро завалит сопровождающих повторами и уже устаревшими проблемами. Именно здесь качество автоматической сортировки и проверки становится не менее важным, чем способность модели найти очередной баг.

Практический вывод для команд, которые отвечают за Linux-системы, остаётся приземлённым: своевременно ставить доступные обновления, ограничивать поверхность атаки и изолировать недоверенные задачи. Получение обычной локальной учётной записи нельзя считать безопасным финальным рубежом защиты. Исследование показывает, почему проверка прав и песочницы должны дополнять друг друга, а не заменять исправления.

Ранее мы рассказывали, как OpenAI повышает награды за уязвимости. Другая сторона той же задачи доверия к результату ИИ связана с проверкой вычислений: для неё Anthropic открыла FlashProve.