OpenAI ha individuato 948 vulnerabilità nel kernel di Linux usando un nuovo modello AI con capacità cyber. L’azienda californiana non ha ancora svelato il nome del sistema, che è una versione più avanzata di GPT-5.5 Cyber, già impiegata per individuare 24 vulnerabilità nel mese di giugno. Il risultato è stato ottenuto mediante una pipeline articolata in cinque stadi.
Per condurre la ricerca è stato allestito un ambiente controllato, nel quale gli agenti AI hanno analizzato circa 2,8 milioni di linee di codice del kernel Linux. Il volume corrisponde a circa il 7% del totale, che supera i 40 milioni di righe. Il modello sarà annunciato a breve e implementerà una pipeline in cinque stadi: scoperta delle vulnerabilità, validazione, valutazione degli exploit, generazione delle patch e revisione umana.
Dalla scoperta alla conferma
Nella prima fase gli agenti hanno individuato 2.308 possibili vulnerabilità in circa 12 ore. La seconda fase si è svolta in circa 30 ore e ha confermato 1.724 vulnerabilità: le altre 2.308 possibili vulnerabilità si sono rivelate falsi positivi. Le conferme riguardano 313 casi di divulgazione di informazioni e 1.238 casi di escalation dei privilegi locali.
Gli agenti hanno quindi preparato proof-of-concept per 291 vulnerabilità di divulgazione di informazioni e per 1.169 vulnerabilità LPE. Le patch sono state scritte per 948 vulnerabilità LPE (Local Privilege Escalation). Ognuna delle prime quattro fasi richiede l’accesso al modello AI tramite API. Il costo complessivo della pipeline è stato di 1.213.430 dollari, pari a 1.279 dollari per vulnerabilità LPE.
Segnalazioni e correzioni
OpenAI ha segnalato tutte le vulnerabilità. Nei 10 giorni della ricerca ne sono state corrette oltre 100, mentre altre 300 erano in discussione. Gli agenti AI hanno inoltre utilizzato 10 nuove tecniche di sfruttamento, i cui dettagli non sono stati descritti da OpenAI.
Il confronto con i premi assegnati dalle competizioni più note, Pwn2Own e TyphoonPWN, mostra un’ampia variazione: per questo tipo di vulnerabilità, i premi oscillano tra 20.000 e 70.000 dollari. La somma totale per le 948 vulnerabilità scoperte varia quindi tra 18,9 e 66,3 milioni di dollari, corrispondente tra 16 e 55 volte il costo della pipeline.
