Автоматизированный исследовательский конвейер OpenAI за один прогон в середине октября 2026 года нашёл 948 работающих эксплойтов локального повышения привилегий в ядре Linux. Каждый из них поднимает непривилегированного локального пользователя до root на обычном десктопном дистрибутиве. Компания опубликовала детали под инициативой Patch the Planet, частью более широкого обязательства Daybreak по безопасности открытого кода.
Пятиступенчатая система работает на готовящейся кибермодели. Её агенты-аналитики отметили 2308 дедуплицированных кандидатов в последней ветке master ядра Linux. Ничего не ушло мейнтейнерам без присмотра: люди-исследователи проверили каждый эксплойт, патч и оценку серьёзности перед отправкой. Работа началась с критических уязвимостей под руководством сообщества ядра Linux, сотни отчётов и патчей уже приняты в upstream.
Это масштабирование июньского раскрытия, в котором GPT-5.5 Cyber находила изъяны ядра и построила 24 таких эксплойта для проверки и отчёта. Цели не были ослабленными сборками: обычный десктопный дистрибутив работал с включёнными SMEP и SMAP, а также KASLR и HARDENED_USERCOPY — та же модель угроз, что используется на Pwn2Own и TyphoonPWN.
Разведка, триаж и разработка эксплойтов
Агенты Scout прочли каждую папку и файл, отмечая код, достижимый для низкопривилегированных пользователей. Этот триаж сжал более 40 миллионов строк кода ядра до 5034 целей аудита. Агенты-аналитики, работающие по схеме, смоделированной на плагине Codex Security от OpenAI, затем просканировали отфильтрованный набор и вернули полный список кандидатов за половину суток.
Агенты триажа писали и запускали proof-of-concept внутри изолированных виртуальных машин с ядром, инструментированным Kernel Address Sanitizer, итерируя, пока не воспроизводился краш или не исчерпывались пути срабатывания. Эта ступень подтвердила 1724 реальные уязвимости.
Далее разрешающий агент скрининга разделил проверенный набор на классы утечек информации и повышения привилегий. Агенты ExploitDev строили рабочие эксплойты, после чего анализ вариантов свёл результаты в уникальные уязвимости, каждую с отдельным кандидатом в патч.
Динамическую валидацию прошли только 74,7% кандидатов. Отказы группировались вокруг требований к привилегиям, состояний гонки и зависимостей от инъекции сбоев, а не ошибок модели. На ошибки модели пришлось всего 3,1% отказов.
Как OpenAI проверяла собственные заявления
OpenAI жёстко аудировала свои же успехи. Ранний прогон по счёту системы зафиксировал 200 успешных эксплойтов. Люди-ревьюеры прошли по каждому. Выяснилось, что 20 эксплойтов получили root через другой 0-day, не тот, который был назначен, поэтому OpenAI ужесточила ограничения задач и добавила независимую проверку, привязывающую каждый финальный эксплойт к назначенной ему ошибке.
Полная октябрьская кампания стоила $1 213 430 в API-кредитах, что даёт $1 279 за каждый работающий root-эксплойт. Основную часть бюджета съела разработка эксплойтов. OpenAI называет заявленные затраты верхней границей и утверждает, что инженерия обвязки могла бы снизить расходы на каждой ступени.
Тот же объём работы оценили по историческим призовым фондам соревнований. Ставки Pwn2Own и TyphoonPWN за LPE в ядре Linux дают гипотетическую оценку в $66,3 млн — примерно в 16–55 раз больше стоимости кампании.
Закалённая среда kernelCTF от Google стала второй площадкой для проверки. Конвейер дал там 21 эксплойт LPE за одну кампанию, приблизившись к 26 подтверждённым 0-day LPE, принятым от людей-отправителей за весь 2026 год. Одно автоматическое сканирование почти догнало годовой выход человеческих 0-day.
Прогон вскрыл даже уязвимость в QEMU TCG внутри самой тестовой обвязки — её отследили без доступа к исходникам QEMU. Эта ошибка уже была исправлена в upstream, но исправление отсутствовало в тестируемой релизной сборке.
Более ранняя модель OpenAI, GPT-5.6 Sol, дала 166 таких эксплойтов в конце июля. К октябрю дерево ядра впитало месяцы дополнительного укрепления, и новая кампания всё равно вернула более чем в пять раз больше.
Новые техники и патчи в upstream
Агенты применили как минимум 10 техник эксплуатации, которые сторонние эксперты по ядру подтвердили как новые для них. В наборе есть persistent elastic objects для распыления кэша и page grooming для надёжности; список замыкают data-only пути эскалации и произвольная путаница типов.
Тяжёлая оркестрация не пережила обновления моделей. Подобранная библиотека техник подняла успешность GPT-5.5 Cyber с 76,2 до 88,9%, но GPT-5.6 Cyber побила обе отметки без неё, и OpenAI убрала каркас из конвейера.
Мейнтейнеры двигались параллельно: в течение 10 дней после сканирования и ручного анализа 61 из найденных LPE уже был пропатчен в upstream. Промежуточные патчи покрывали ещё десятки, по сотням оставшихся шло открытое обсуждение.
Вывод OpenAI звучит как предупреждение администраторам: «В ближней и средней перспективе доступ к низкопривилегированной учётной записи на операционной системе, которая не обновлена до последних доступных патчей, следует считать функционально эквивалентным доступу root для хорошо обеспеченного ресурсами злоумышленника».
Что это значит для администратора
Практический смысл новости не в том, что ИИ научился искать ошибки, а в темпе. Сотни исправлений ушли в upstream за десять дней, и это меняет цену отложенного обновления ядра: локальная учётная запись без root перестаёт быть барьером, если патчи не установлены. Проверить, какие из исправлений уже есть в вашем дистрибутиве, можно по журналу изменений пакета ядра и по списку установленных обновлений — ориентируйтесь на даты после середины октября 2026 года.
Похожие истории уже были: специализированные модели для кибербезопасности выходят одна за другой, например Fugu-Cyber от Sakana AI, а Google DeepMind продвигает Gemini 4 Carbon для задач киберзащиты и кода. Конвейер OpenAI отличается тем, что доводит находку до работающего эксплойта и патча, а не только до отчёта.
Частые вопросы
Кого касается эта новость?
В первую очередь администраторов Linux-десктопов и серверов, где у пользователей есть локальные учётные записи, а ядро обновляется с задержкой. Эксплойты поднимают обычного локального пользователя до root на стандартном дистрибутиве.
Это уже эксплуатируют злоумышленники?
В статье об этом ничего не сказано. Речь о находках исследовательского конвейера, которые прошли ручную проверку и были отправлены мейнтейнерам; часть уже пропатчена в upstream.
Сколько уязвимостей подтвердилось?
Из 2308 дедуплицированных кандидатов триаж подтвердил 1724 реальные уязвимости, а динамическую валидацию прошли 74,7% кандидатов. Работающих эксплойтов локального повышения привилегий в прогоне оказалось 948.
Насколько это дорого по сравнению с призовыми?
Кампания обошлась в $1 213 430 API-кредитов, то есть $1 279 за работающий root-эксплойт. По ставкам Pwn2Own и TyphoonPWN тот же объём работы оценили бы в $66,3 млн.
Помогали ли люди проверять находки?
Да, каждый эксплойт, патч и оценку серьёзности просматривали исследователи по безопасности перед отправкой мейнтейнерам. Аудит поймал и ошибку системы: 20 эксплойтов из 200 получили root через другую 0-day, чем назначенная.
Что делать, если обновиться нельзя прямо сейчас?
Донор прямых рекомендаций не даёт, но его вывод прост: доступ к непривилегированной учётной записи на необновлённой системе фактически равен root. Ограничьте число локальных учётных записей и ставьте патчи ядра, как только они появляются в вашем дистрибутиве.
Почему это важно, если я не использую ИИ в работе?
Потому что конвейер ускоряет поиск ошибок в чужом коде, который вы уже используете. За десять дней после сканирования 61 найденный эксплойт был пропатчен в upstream, и ваш стек зависит от того, насколько быстро эти патчи доедут до вашего дистрибутива.
Есть ли тут что-то про kernelCTF?
Да, в закалённой среде kernelCTF от Google конвейер дал 21 эксплойт LPE за одну кампанию против 26 подтверждённых 0-day LPE от людей за весь 2026 год.
Источник: artificialintelligence-news.com