OpenAI ensina agentes de IA a achar 948 caminhos para root no Linux por $1,2 milhão

Imagine um cenário típico: um invasor compromete uma aplicação web no seu servidor e ganha uma conta comum, sem privilégios especiais. Se o kernel do Linux dessa máquina não estiver atualizado, uma única vulnerabilidade de escalonamento local de privilégios (LPE) transforma essa conta em root, o administrador completo, que pode tudo. A OpenAI mostrou que agora é possível encontrar, verificar e transformar essas falhas em exploits funcionais não uma a uma, mas em fluxo contínuo.

Em uma única execução, seu pipeline, baseado em um modelo de cibersegurança ainda em preparação, confirmou 1724 vulnerabilidades do kernel e produziu 948 exploits que dão root a um usuário comum. O custo foi de $1 213 430 em chamadas de API, ou cerca de $1279 por exploit.

Como funciona o pipeline

Antes, cada descoberta no kernel era uma investigação de vários dias. Agora o trabalho está dividido em cinco etapas: busca, verificação dinâmica, avaliação de explorabilidade, geração de patch e revisão humana. Em junho, no âmbito da iniciativa Patch the Planet, a OpenAI informou que o GPT-5.5 Cyber havia encontrado vulnerabilidades no kernel e escrito 24 exploits. Agora esse trabalho virou um pipeline completo.

Primeiro, agentes de reconhecimento examinaram pastas e arquivos do kernel e selecionaram os que um usuário com poucos privilégios consegue alcançar. Resultado: 5034 alvos, cerca de 2,8 milhões de linhas, ou aproximadamente 7% do código do kernel. Essa etapa custou $3426. Em seguida, agentes analistas entregaram, em 12 horas, 2308 candidatos a vulnerabilidade depois da remoção de duplicatas; o custo foi de $316 549.

Mas um candidato ainda não é uma vulnerabilidade. O agente verificador escrevia um código que provoca a falha e o executava em uma máquina virtual isolada, com um kernel em que o depurador de memória KASAN está ativado. Ele analisava a saída do programa e o console do sistema e refinava o código até a falha ser reproduzida. Em 30 horas, 1724 casos foram confirmados, ou 74,7%. Os demais, na maioria, exigiam privilégios elevados ou não foram reproduzidos no tempo disponível, por causa de condições de corrida (race conditions) complexas e de condições de execução raras. Apenas 3,1% eram erro de análise do modelo, em que a vulnerabilidade pressupunha uma condição impossível. A verificação custou $73 330.

Na saída, para cada descoberta o sistema reúne a análise da causa raiz, o código mínimo que provoca a falha, um candidato a patch e um exploit completo. O saldo da execução, em meados de outubro de 2026: 291 vazamentos de informação e 948 exploits de LPE funcionais. O alvo foi um sistema operacional de desktop comum, e não um sistema enfraquecido.

Quanto isso custa e o que significa

A OpenAI comparou o resultado com os prêmios de competições. Pwn2Own e TyphoonPWN pagavam antes $20 mil e $70 mil por um exploit desse tipo para o kernel do Linux. Para 948 descobertas, isso daria hipotéticos $18,9–66,3 milhões, de 16 a 55 vezes o custo do pipeline.

Em uma versão reduzida do kernel da competição kernelCTF, o pipeline obteve 25 vazamentos e 21 exploits por $32 936. Para comparação, em 2026 o programa aceitou 26 0-days de LPE confirmados. Se esses 21 também fossem aceitos, a recompensa seria de cerca de $1,5 milhão, aproximadamente 45 vezes o custo da varredura. Além disso, os agentes aplicaram pelo menos 10 novas técnicas de exploração do kernel.

Os autores ressaltam que mediram a capacidade do modelo, e não o preço, e por isso os valores citados são mais um teto do que uma estimativa. Segundo eles, um ajuste adequado da estrutura que envolve o modelo deve baratear de forma notável cada etapa.

O que fazer na prática

A conclusão mais importante para administradores: nos próximos anos, para um atacante competente, o acesso a uma conta com poucos privilégios em um sistema sem os últimos patches equivale a ter root. Por isso, as atualizações devem ser aplicadas rapidamente, e sandboxes e isolamento, como Firecracker e gVisor, devem ser tratados como proteção obrigatória, que limita o estrago de uma vulnerabilidade explorada.

A segunda conclusão diz respeito aos modelos. O novo modelo de cibersegurança encontrou em outubro mais de 5 vezes o número de novas LPEs da execução do GPT-5.6 Sol em julho, embora o kernel tenha sido reforçado nesse intervalo de três meses. Ou seja, projetos grandes terão de ser varridos e corrigidos em várias rodadas, repetidas a cada nova geração de modelos, tanto para código fechado quanto para código aberto.

A comunidade também não ficou parada: nos 10 dias da varredura, mais de 100 LPEs no Linux já tinham sido corrigidas ou recebido rascunhos de patch de outros participantes, e cerca de outras 300 estavam em discussão pública. A OpenAI segue as recomendações da comunidade do kernel, começa pelas vulnerabilidades críticas e prepara novos relatórios e patches junto com os parceiros do Patch the Planet.

Os autores consideram que a geração automática de patches é necessária para fechar as brechas no ritmo em que são encontradas. Com a participação de um especialista, esses patches podem ser corretos, seguir o estilo do projeto e resistir a variações do ataque. Trata-se de um protótipo de pesquisa com revisão humana obrigatória, mas a direção é clara: achar vulnerabilidades está ficando mais fácil do que analisá-las e corrigi-las.