Een nog niet uitgebracht model van OpenAI heeft in één run 948 (!) local privilege escalation-kwetsbaarheden in de Linux-kernel gevonden en uitgebuit. Het kostte 1,2 miljoen dollar als OpenAI zichzelf had betaald op basis van API-credits. Het systeem schreef voor elke kwetsbaarheid ook een patch.
Het OpenAI-model vond in eerste instantie 2.308 kandidaatbevindingen. Uiteindelijk bleven er 948 unieke kwetsbaarheden over waarmee een gebruiker zonder rechten root-toegang krijgt. Het is niet helemaal duidelijk hoeveel overlap er per exploit is, maar zelfs een tiende van dit aantal was opzienbarend geweest.
De VM’s draaiden een standaard desktopdistributie, met beschermmuren zoals SMEP, SMAP, KASLR en HARDENED_USERCOPY ingeschakeld. Per exploit kwam de test uit op 1.279 dollar. Als verwijzing naar wat deze exploits per stuk waard waren geweest: Pwn2Own en TyphoonPWN keerden historisch 20.000 tot 70.000 dollar uit per Linux-kernel-LPE (Local Privilege Escalation).
In juli vond GPT-5.6 Sol nog 166 unieke LPE’s. Het nieuwe model vond er dus meer dan vijf keer zoveel, terwijl de kernel tussen de twee scans drie maanden lang verder was beveiligd. Volgens OpenAI gebruikten de agents bovendien minstens tien exploitatietechnieken die ook externe kernelexperts nog niet kenden. De details daarvan houdt het bedrijf om veiligheidsredenen voor zich, maar zullen we op den duur vermoedelijk leren kennen.
Vijf fasen
Scout-agents selecteerden eerst 5.034 zogeheten audit targets. Daarbij ging het om zo’n 2,8 miljoen regels code, ongeveer 7 procent van de kernel. Analyst-agents haalden daar binnen twaalf uur de kandidaatbevindingen uit. Triage-agents bouwden vervolgens proofs-of-concept in VM’s met KASAN. Slechts 3,1 procent bleek op een foute analyse te berusten. Na de exploit- en patchfase controleren menselijke onderzoekers alles.
Het is een tot nu toe zeldzame omschrijving van de manier waarop de kwetsbaarheden door deze modellen gevonden worden, al blijft het een vage uitleg en mogelijk ook voor maker OpenAI zelfs koffiedik kijken aangezien een LLM niet altijd doet wat het zegt dat het doet of de eigen redeneerprocessen precies blootlegt.
Druk op maintainers
Het regent dit jaar al Linux-kwetsbaarheden en vormt daarmee het bewijs van de veelzijdigheid aan cybergevaren die al jaren of decennia rondspoken als zero-days. Linus Torvalds hekelde eerder de stroom AI-bugmeldingen, dus het werk van hobbyisten om de kernel te beschermen met AI-slop als inzendingen wordt bepaald niet gewaardeerd. OpenAI werkt zelf via een initiatief genaamd Patch the Planet, onder meer samen met Trail of Bits, en meldt deze keer eerst de kritieke gevallen. De rest van de kwetsbaarheden volgt nog.
Tien dagen na de start van de scan waren 61 van de LPE’s al upstream gepatcht, hadden er 43 een staging-patch en werden er 299 publiek besproken. Toch waarschuwt OpenAI dat een account met weinig rechten op een niet-gepatcht systeem voorlopig “functioneel gelijk aan root-toegang” is voor een aanvaller met voldoende middelen.