OpenAI научила ИИ-агентов находить 948 путей к root в Linux за $1,2 млн

Представьте типичную ситуацию: злоумышленник взломал одно веб-приложение на вашем сервере и получил обычную учётную запись без особых прав. Если ядро Linux на этой машине не обновлено, одна уязвимость локального повышения привилегий (LPE) превращает эту учётку в root — полного администратора, который может всё. OpenAI показала, что такие дыры теперь можно искать, проверять и превращать в рабочие эксплойты не по одной, а потоком. В одном прогоне её конвейер на базе готовящейся киберМодели подтвердил 1724 уязвимости ядра и сделал 948 эксплойтов, дающих root обычному пользователю. Это обошлось в $1 213 430 за вызовы API, то есть около $1279 за эксплойт.

Как устроен конвейер

Раньше каждая находка в ядре была отдельным многодневным расследованием. Теперь работа разбита на пять этапов: поиск, динамическая проверка, оценка эксплуатируемости, генерация патча и проверка человеком. В июне, в рамках инициативы Patch the Planet, OpenAI сообщала, что GPT-5.5 Cyber нашла уязвимости в ядре и написала 24 эксплойта. Теперь эту работу превратили в полноценный конвейер.

Сначала агенты-разведчики просмотрели папки и файлы ядра и выбрали те, до которых дотянется пользователь с низкими правами. Получилось 5034 цели, около 2,8 млн строк, то есть примерно 7% кода ядра. Этап стоил $3426. Затем агенты-аналитики за 12 часов выдали 2308 кандидатов в уязвимости после удаления дублей; это обошлось в $316 549.

Но кандидат ещё не уязвимость. Агент-проверяющий писал код, вызывающий сбой, и запускал его в изолированной виртуальной машине с ядром, где включён отладчик памяти KASAN. Он смотрел на вывод программы и консоль системы и дорабатывал код, пока ошибка не воспроизведётся. За 30 часов подтвердились 1724 случая, то есть 74,7%. Остальные чаще всего требовали повышенных прав или не воспроизвелись за отведённое время из-за сложных гонок потоков и редких условий запуска. Лишь 3,1% оказались ошибкой анализа модели, когда уязвимость предполагала невозможное условие. Проверка стоила $73 330.

На выходе по каждой находке система собирает анализ первопричины, минимальный код сбоя, кандидат в патч и полный эксплойт. Итог прогона в середине октября 2026 года: 291 утечка информации и 948 рабочих эксплойтов LPE. Целью была обычная настольная ОС, а не ослабленная система.

Сколько это стоит и что это значит

OpenAI сопоставила результат с призами конкурсов. Pwn2Own и TyphoonPWN раньше платили $20 тыс. и $70 тыс. за такой эксплойт для ядра Linux. Для 948 находок это гипотетические $18,9–66,3 млн, в 16–55 раз больше затрат конвейера.

На урезанной версии ядра из соревнования kernelCTF конвейер получил 25 утечек и 21 эксплойт за $32 936. Для сравнения, в 2026 году программа приняла 26 подтверждённых 0-day LPE. Если бы приняли и эти 21, награда составила бы около $1,5 млн, примерно в 45 раз больше стоимости сканирования. Кроме того, агенты применили не менее 10 новых приёмов эксплуатации ядра.

Авторы подчёркивают: они мерили возможности модели, а не цену, поэтому названные суммы скорее верхняя граница. Грамотная настройка обвязки, по их мнению, заметно удешевит каждый этап.

Что делать на практике

Самый важный вывод для администраторов: в ближайшие годы доступ к низкопривилегированной учётке на системе без последних патчей для сильного атакующего равен root. Поэтому обновления нужно ставить быстро, а песочницы и изоляцию вроде Firecracker и gVisor считать обязательной защитой, которая ограничивает ущерб от взломанной уязвимости.

Второй вывод касается моделей. Новая киберМодель в октябре нашла более чем в 5 раз больше новых LPE, чем прогон GPT-5.6 Sol в июле, хотя за три месяца ядро успели укрепить. Значит, крупные проекты придётся сканировать и чинить несколько раундов, повторяя это с каждым поколением моделей, и для закрытого, и для открытого кода.

Сообщество тоже не стоит на месте: за 10 дней, пока шёл скан, более 100 LPE в Linux уже были исправлены или получили черновые патчи от других участников, ещё около 300 публично обсуждались. OpenAI следует рекомендациям сообщества ядра, начинает с критических уязвимостей и готовит дальнейшие отчёты и патчи вместе с партнёрами Patch the Planet.

Авторы считают, что автоматическая генерация патчей необходима, чтобы закрывать дыры в темпе их поиска. С участием эксперта такие патчи могут быть корректными, в стиле проекта и устойчивыми к вариантам атаки. Это исследовательский прототип с обязательной проверкой людьми, но направление ясно: искать уязвимости становится проще, чем их разбирать и закрывать.