OpenAI enseñó a agentes de IA a encontrar 948 vías a root en Linux por $1,2 millones

Imagine una situación típica: un atacante ha vulnerado una aplicación web en su servidor y obtiene una cuenta normal, sin privilegios especiales. Si el kernel de Linux de esa máquina no está actualizado, una sola vulnerabilidad de escalada local de privilegios (LPE) convierte esa cuenta en root, es decir, en administrador total con capacidad para hacerlo todo. OpenAI ha demostrado que ahora es posible buscar, verificar y convertir en exploits funcionales este tipo de fallos no uno a uno, sino en flujo continuo.

En una sola ejecución, su pipeline, basado en un modelo de ciberseguridad que la compañía prepara, confirmó 1724 vulnerabilidades del kernel y generó 948 exploits que dan root a un usuario normal. El coste fue de $1 213 430 en llamadas a la API, es decir, unos $1279 por exploit.

Cómo funciona el pipeline

Antes, cada hallazgo en el kernel era una investigación de varios días. Ahora el trabajo se divide en cinco etapas: búsqueda, verificación dinámica, evaluación de la explotabilidad, generación de parches y revisión humana. En junio, dentro de la iniciativa Patch the Planet, OpenAI informó de que GPT-5.5 Cyber había encontrado vulnerabilidades en el kernel y escrito 24 exploits. Ahora ese trabajo se ha convertido en un pipeline completo.

Primero, los agentes exploradores revisaron las carpetas y archivos del kernel y seleccionaron los que un usuario con pocos privilegios puede alcanzar. Resultaron 5034 objetivos, unos 2,8 millones de líneas, aproximadamente el 7% del código del kernel. Esta etapa costó $3426. Después, los agentes analistas produjeron en 12 horas 2308 candidatas a vulnerabilidad tras eliminar duplicados; esto costó $316 549.

Pero una candidata todavía no es una vulnerabilidad. El agente verificador escribía código que provocaba el fallo y lo ejecutaba en una máquina virtual aislada, con un kernel que tiene activado el depurador de memoria KASAN. Revisaba la salida del programa y la consola del sistema, y refinaba el código hasta que el error se reproducía.

En 30 horas se confirmaron 1724 casos, el 74,7%. En su mayoría, el resto requería privilegios elevados o no se reprodujo en el tiempo asignado por culpa de condiciones de carrera complejas y de condiciones de ejecución poco frecuentes. Solo el 3,1% resultó ser un error de análisis del modelo, en el que la vulnerabilidad suponía una condición imposible.

La verificación costó $73 330.

Por cada hallazgo, el sistema genera al final un análisis de la causa raíz, el código mínimo que provoca el fallo, un candidato a parche y un exploit completo. El resultado de la ejecución, a mediados de octubre de 2026, fue de 291 filtraciones de información y 948 exploits LPE funcionales. El objetivo era un sistema operativo de escritorio común, no un sistema debilitado.

Cuánto cuesta y qué implica

OpenAI comparó el resultado con los premios de los concursos. Pwn2Own y TyphoonPWN pagaban antes $20 mil y $70 mil por un exploit de este tipo para el kernel de Linux. Para 948 hallazgos, serían hipotéticos $18,9–66,3 millones, entre 16 y 55 veces más que el coste del pipeline.

En una versión reducida del kernel de la competición kernelCTF, el pipeline obtuvo 25 filtraciones y 21 exploits por $32 936. A modo de comparación, en 2026 el programa aceptó 26 LPE 0-day confirmados. Si se aceptaran también esos 21, la recompensa rondaría $1,5 millones, unas 45 veces el coste del escaneo. Además, los agentes aplicaron al menos 10 técnicas nuevas de explotación del kernel.

Los autores subrayan que midieron las capacidades del modelo, no el precio, por lo que las cifras citadas son más bien un límite superior. En su opinión, un ajuste adecuado del entorno que rodea al modelo abaratará notablemente cada etapa.

Qué hacer en la práctica

La conclusión más importante para los administradores: en los próximos años, para un atacante con recursos, el acceso a una cuenta con pocos privilegios en un sistema sin los últimos parches equivale a tener root. Por eso hay que instalar las actualizaciones con rapidez y considerar los sandboxes y el aislamiento, como Firecracker y gVisor, una protección obligatoria que limita el daño de una vulnerabilidad explotada.

La segunda conclusión se refiere a los modelos. El nuevo modelo de ciberseguridad encontró en octubre más de 5 veces más LPE nuevas que la ejecución de GPT-5.6 Sol de julio, a pesar de que en tres meses el kernel se había reforzado. Por tanto, los proyectos grandes habrá que escanearlos y corregirlos en varias rondas, repitiendo el proceso con cada generación de modelos, tanto en código cerrado como en código abierto.

La comunidad tampoco se queda quieta: durante los 10 días que duró el escaneo, más de 100 LPE de Linux ya habían sido corregidas o contaban con borradores de parches de otros participantes, y unas 300 más se discutían públicamente. OpenAI sigue las recomendaciones de la comunidad del kernel, empieza por las vulnerabilidades críticas y prepara nuevos informes y parches junto con los socios de Patch the Planet.

Los autores consideran que la generación automática de parches es necesaria para cerrar los fallos al ritmo al que se encuentran. Con la participación de un experto, esos parches pueden ser correctos, ajustados al estilo del proyecto y resistentes a variantes del ataque. Se trata de un prototipo de investigación que exige revisión humana, pero la dirección es clara: encontrar vulnerabilidades se está volviendo más fácil que analizarlas y cerrarlas.