01IT之家OpenAI模型生成948个Linux提权漏洞
IT之家 11 月 5 日消息,OpenAI 于当地时间 11 月 4 日发布安全研究报告。OpenAI 称其利用新一代网络安全模型,搭建了一套自动化漏洞发现、验证、漏洞利用和补丁生成系统。 在一次针对 Linux 内核的测试中,该系统共识别出 2308 个潜在安全问题,动态复现其中 1724 个漏洞,并生成了 948 个可实现本地权限提升的有效漏洞利用程序(Exploit),能够帮助低权限本地用户获取系统 root 权限。 OpenAI 表示,这次测试于 2026 年 10 月中旬进行,使用的是一款尚未正式公布的网络安全模型。整个流程涵盖漏洞发现、动态验证、可利用性评估、补丁生成和人工审核五个阶段。最终生成的成果包括漏洞根因分析、最小化崩溃概念验证程序(PoC)、候选修复补丁以及完整漏洞利用程序,供安全研究人员进一步审核和提交上游维护团队。 在漏洞发现阶段,系统首先通过 Scout 智能体筛选 Linux 内核中具有安全审计价值的代码,再交由 Analyst 智能体进行分析。整个过程筛选出 5034 个审计目标,涉及约 280 万行代码,相当于 Linux 内核代码总量的约 7%。随后,分析智能体在 12 小时内生成 2308 个去重后的候选漏洞,相关 API 调用成本为 31.65 万美元。 研究团队还对 166 个漏洞利用样本进行了抽查,发现其中至少涉及 10 种此前未见的 Linux 漏洞利用技术。 目前,OpenAI 已经按照 Linux 内核社区的建议,优先提交严重漏洞报告和补丁,并计划通过 Patch the Planet 合作伙伴逐步提交其余报告。 除了常规 Linux 内核环境,OpenAI 还在谷歌 kernelCTF 漏洞奖励计划使用的加固环境中进行了测试,最终获得 25 个信息泄露 PoC 和 21 个本地权限提升漏洞利用程序。 如果这 21 个漏洞全部通过该计划审核,理论上可获得约 150 万美元(现汇率约合 1,002.6 万元人民币)奖励。 OpenAI 还指出,随着网络安全模型能力提升,传统上依赖复杂智能体编排和人工指导的漏洞研究流程可能需要调整。 因此,软件维护者需要加快漏洞修复,用户和企业也应及时安装安全更新。 OpenAI 强调,这项研究属于其 Patch the Planet 和 Daybreak 安全计划的一部分,后续将继续扩大对关键软件项目的安全审计,并与开源社区及安全合作伙伴合作,推动自动化漏洞发现和补丁修复。 如果这 21 个漏洞全部通过该计划审核,理论上可获得约 150 万美元奖励。 OpenAI 表示,这项研究属于其 Patch the Planet 和 Daybreak 安全计划的一部分,后续将继续扩大对关键软件项目的安全审计,并与开源社区及安全合作伙伴合作,推动自动化漏洞发现和补丁修复。
原文 ↗