OpenAI, tek bir çalışmada 948 Linux root açığı üretti

4 Kasım'da OpenAI, otonom bir güvenlik prototipinin tek bir çalışmada 948 farklı Linux çekirdeği zafiyeti için çalışan root erişimi istismarları ürettiğini açıkladı. OpenAI'ın araştırma yazısına göre, bu işlemde yayınlanmamış bir siber model kullanıldı ve API kredisi olarak 1.213.430 dolara mal oldu; bu da istismar başına yaklaşık 1.279 dolara denk geliyor. Şirket bunu savunma amaçlı bir çalışma olarak sunuyor ve hata bulmanın artık zor kısım olmadığını, asıl zorluğun bunları kontrol etmek, sıralamak ve yamalamak olduğunu belirtiyoropenai.com.

2.308 ipucundan 948 istismara

Tarama, Ekim ayı ortasında en güncel Linux çekirdeği ana dalı üzerinde gerçekleştirildi. Unite.AI'ın bildirdiğine göre, izci ajanlar çekirdeğin 40 milyondan fazla satırını 5.034 denetim hedefine indirdi; bu da kod tabanının yaklaşık %7'sine denk geliyor. Analist ajanlar 12 saat içinde 2.308 aday bulgu üretti. Interesting Engineering'in haberine göre, doğrulama ajanları ise 30 saat içinde bunların 1.724'ünü izole edilmiş sanal makinelerde yeniden ürettiunite.ai+1.

İstismar aşaması, 291 bilgi sızıntısı kanıtı ve 1.169 çalışan yerel ayrıcalık yükseltme istismarı üretti. Bunlar, yetkisiz bir kullanıcının root erişimi kazanmasını sağladı. Varyant analizi, bu istismarları her biri kendi aday yamasına sahip 948 farklı zafiyete kadar takip etti. OpenAI, test makinelerinin SMEP, SMAP ve KASLR gibi standart korumaların açık olduğu stok bir masaüstü sistemi çalıştırdığını belirttiopenai.com.

166 istismardan oluşan bir örneklemde araştırmacılar, daha önce belgelenmemiş olduğuna inandıkları en az 10 istismar tekniği buldu ve dış çekirdek uzmanları da buna katıldı. OpenAI, "güvenlik nedenleriyle" tam detayları yayınlamadı.

Yamalar ve insan denetimi

İnsan araştırmacılar, herhangi bir şey Linux bakımcılarına gitmeden önce her istismarı, yamayı ve önerilen ciddiyet derecesini gözden geçiriyor. Interesting Engineering'in bildirdiğine göre, OpenAI kritik açıklar için yüzlerce rapor ve yama gönderdiğini ve geri kalanını halletmek için Patch the Planet girişimi kapsamındaki ortaklarıyla çalıştığını belirtiyor. 948 düzeltme, birleştirilmiş yamalar değil, adaylardır. Unite.AI'ın belirttiğine göre, 10 günlük tarama ve analiz süreci sonunda zafiyetlerin 61'i yamalanmış, 43'ü için hazırlık yamaları mevcut ve 299'u ise kamuoyunda tartışılmaya başlanmıştıinterestingengineering.com+1.

İnceleme sırasında bir sorun da tespit edildi. Erken bir çalışmada, bildirilen 200 başarılı istismardan 20'si, ajana atanan zafiyetten farklı bir sıfırıncı gün (zero-day) açığı üzerinden root erişimi sağladı. OpenAI buna, her istismarın yolunun bağımsız bir kontrolünü ekleyerek yanıt verdi.

Üç ayda beş kat artış

Temmuz ayı sonlarında GPT-5.6 Sol, 513.690 dolara 166 benzersiz ayrıcalık yükseltme açığı bulmuştu. OpenAI, çekirdeğin üç ay boyunca güçlendirilmesine rağmen Ekim ayındaki modelin beş kat daha fazla açık bulduğunu belirtti. Pwn2Own ve TyphoonPWN ödül oranlarına göre, bu 948 istismar varsayımsal olarak 18,9 milyon ila 66,3 milyon dolar değerinde olabiliropenai.com.

Şirketin savunuculara uyarısı net: "İşletim sisteminde, mevcut en son yamalarla güncellenmemiş düşük yetkili bir hesaba erişiminiz olması, iyi kaynaklara sahip bir tehdit aktörü için işlevsel olarak root erişimine eşdeğer kabul edilmelidir."