Штучний інтелект OpenAI самостійно знайшов майже тисячу вразливостей у Linux

Ope­nAI оприлюднила результати масштабного експерименту з кібербезпеки: автономні агенти на основі штучного інтелекту самостійно просканували ядро Lin­ux, виявили 948 окремих вразливостей і розробили робочі експлойти для кожної з них. Компанія також заявила, що система згенерувала кандидати на виправлення — але їх перевірка та впровадження залишаються відповідальністю людей.

Агенти проаналізували близько 2,8 мільйона рядків коду ядра, що становить приблизно 7% усього проєкту. Зі 2308 підозрілих фрагментів система динамічно відтворила 1724 вразливості та сформувала 948 експлойтів типу local priv­i­lege esca­la­tion — тобто таких, що дозволяють непривілейованому користувачеві отримати повний контроль над системою.

Експеримент, проведений у жовтні, обійшовся у 1 213 430 доларів у вигляді витрат на API — у середньому близько 1279 доларів за одну вразливість. Для порівняння: на хакерських змаганнях за схожі знахідки в Lin­ux традиційно виплачували від 20 до 70 тисяч доларів. Якби ті самі результати були отримані вручну, їхня гіпотетична ринкова вартість склала б від 18,9 до 66,3 мільйона доларів.

Примітно, що новіша, ще не випущена кіберспеціалізована модель знайшла у жовтні більш ніж у п’ять разів більше вразливостей, ніж попередня версія GPT‑5.6 Sol виявила в липні за 513 690 доларів — і це навіть після місяців виправлень у самому ядрі. Крім того, агенти застосували щонайменше 10 технік експлуатації, невідомих ні розробникам системи, ні залученим зовнішнім експертам.

Окремо варто згадати, що минулого тижня Anthrop­ic повідомила, що її нова версія Claude самостійно виявила та використала серйозні вразливості в Chrome і Lin­ux, частина з яких дозволяла дистанційно виконувати шкідливий код. Дослідники з Vidoc Secu­ri­ty також показали, що деякі аналогічні знахідки можна відтворити за допомогою публічно доступних моделей менш ніж за 30 доларів за файл.

Ope­nAI попереджає: зловмисники з обмеженим доступом до застарілих систем дедалі частіше зможуть підвищувати свої привілеї за допомогою штучного інтелекту. У відповідь компанія запустила ініціативу Day­break Red — верифіковану програму, яка надає схваленим фахівцям із безпеки доступ до спеціалізованих інструментів для пошуку вразливостей і розробки засобів захисту.