OpenAI виявила 948 вразливостей Linux

Компанія OpenAI продемонструвала, як автономні агенти штучного інтелекту можуть автоматизувати масштабні дослідження у сфері кібербезпеки: від виявлення вразливостей програмного забезпечення до розробки діючих експлойтів та створення виправлень у системі безпеки. Під час експерименту з ядром Linux ШІ-система виявила 2 308 потенційних проблем безпеки, підтвердила 1 724 вразливості та створила 948 унікальних експлойтів для підвищення привілеїв користувача до рівня адміністратора.

Ядро Linux було обрано для дослідження, оскільки воно лежить в основі пристроїв Android, хмарної інфраструктури, суперкомп’ютерів та багатьох інших систем. Маючи понад 40 мільйонів рядків коду, воно становить значний виклик для традиційного аудиту безпеки.

Замість аналізу всієї кодової бази компанія OpenAI розробила мультиагентну систему, яка зосереджується на компонентах, пов’язаних із безпекою та доступних користувачам з обмеженими привілеями. На початковому етапі було визначено 5 034 об’єкти аудиту, які охоплюють приблизно 2,8 мільйона рядків коду, або близько 7% ядра Linux.

Потім спеціалізовані ШІ-агенти виконували п’ять послідовних етапів:

1. Виявлення вразливостей: агенти-розвідники (Scout) визначають критично важливі для безпеки ділянки коду, тоді як агенти-аналітики (Analyst) досліджують вибрані компоненти на наявність потенційних слабких місць.
2. Динамічна перевірка: ШІ-агенти намагаються відтворити підозрілі вразливості в ізольованих віртуальних машинах, використовуючи результати виконання для відокремлення реальних проблем безпеки від помилкових спрацювань.
3. Оцінка можливості експлуатації: спеціалізовані агенти створюють експлойти для підтвердження концепції (proof of concept, PoC), щоб визначити, чи можуть підтверджені вразливості призвести до витоку інформації або підвищення привілеїв.
4. Генерація виправлень: ШІ створює потенційні виправлення, перевіряє їх на відповідність стандартам програмування та аналізує можливі варіанти експлуатації, щоб зробити виправлення повнішими.
5. Перевірка фахівцями: спеціалісти з кібербезпеки перевіряють результати, демонстрації експлойтів і запропоновані виправлення перед відправкою звітів розробникам Linux.

Такий підхід поєднує автоматизований аналіз коду з практичним тестуванням експлуатації вразливостей, дозволяючи оцінити не лише їхню наявність, а й потенційний вплив на безпеку системи.

Дослідження також виявило щонайменше 10 раніше не задокументованих методів експлуатації вразливостей у Linux. Це демонструє, що агенти ШІ здатні знаходити нові способи обходу механізмів захисту, а не лише відтворювати відомі сценарії атак.

Для тестування експлойтів у наближених до реальних умовах команда OpenAI використовувала віртуальні машини зі стандартним дистрибутивом Linux та ввімкненими механізмами захисту, зокрема рандомізацією розміщення адресного простору ядра (KASLR), запобіганням виконанню в режимі супервізора (SMEP) і запобіганням доступу в режимі супервізора (SMAP).

Експеримент обійшовся приблизно в 1,21 мільйона доларів у вигляді кредитів API, що в середньому становить 1 279 доларів за кожну унікальну вразливість, пов’язану з підвищенням рівня доступу. Для порівняння, історичні винагороди в межах програм Bug Bounty за аналогічні вразливості ядра Linux становили від 20 000 до 70 000 доларів за кожну.

Результати свідчать про значний прогрес порівняно з попереднім експериментом, проведеним у липні 2026 року, коли модель GPT-5.6 Sol виявила 166 унікальних вразливостей Linux із можливістю підвищення привілеїв. Нова модель для кібербезпеки вп’ятеро більше таких вразливостей, незважаючи на додаткове посилення захисту між експериментами.

Однак дедалі потужніші системи штучного інтелекту також створюють нові виклики для безпеки. Ті самі технології, які допомагають фахівцям виявляти та усувати вразливості, потенційно можуть дати змогу зловмисникам швидше виявляти та експлуатувати слабкі місця програмного забезпечення.

В OpenAI наголошують, що автоматизоване виявлення вразливостей має супроводжуватися більш оперативним випуском виправлень і незалежною перевіркою результатів. Компанія планує поширити цей підхід на інші критично важливі програмні проєкти, допомагаючи розробникам виявляти проблеми безпеки та усувати їх до того, як ними скористаються зловмисники.