OpenAI valideert 948 Linux-kwetsbaarheden met nieuw cybermodel

Het experiment werd uitgevoerd in het kader van het initiatief Patch the Planet. Het cybermodel doorzocht de Linux-kernel – een codebase van meer dan 40 miljoen regels code – via een geautomatiseerde pipeline die kwetsbaarheden opspoort, dynamisch valideert, de misbruikbaarheid beoordeelt en voorgestelde patches genereert.

Hoge nauwkeurigheid en autonome triage

In de eerste fase scanden verkennings- en analyseagents ongeveer 7 procent van de kernelcode. Dit leverde 2.308 voorlopige bevindingen op. Vervolgens voerden triageagents automatische tests uit binnen geïsoleerde virtuele machines met een standaard Linux-distributie en ingeschakelde beveiligingsmechanismen zoals SMEP, SMAP en KASLR.

Binnen 30 uur wist het systeem 1.724 kwetsbaarheden dynamisch te reproduceren, oftewel 74,7 procent van alle voorlopige bevindingen. Uiteindelijk resulteerde het onderzoek in 291 werkende proofs-of-concept voor informatielekken en 948 afzonderlijke LPE-exploits die een gebruiker zonder verhoogde rechten roottoegang op het systeem kunnen geven. Naast bekende Patronen ontdekten de agents ten minste 10 nieuwe exploitatietechnieken in de kernel.

Economische vergelijking met bugbounties

OpenAI zette de API-kosten van het project af tegen de marktwaarde van de gevonden kwetsbaarheden. Op basis van beloningen bij cyberbeveiligingswedstrijden zoals Pwn2Own en TyphoonPWN, waar LPE-exploits in Linux tussen de 20.000 en 70.000 dollar opleveren, vertegenwoordigen de 948 gegenereerde exploits een theoretische bountywaarde van 18,9 miljoen tot 66,3 miljoen dollar. Dat is 16 tot 55 keer de totale scankost.

Een afzonderlijke test in de zwaarder beveiligde kernelCTF-omgeving kostte circa 33.000 dollar aan API-credits en leverde 21 geaccepteerde LPE-exploits op. Die zouden via het beloningsprogramma circa 1,5 miljoen dollar aan bounty's hebben vertegenwoordigd.

Snelle patchcyclus en menselijke controle

Tijdens de tiendaagse analyseperiode bleken Linux-beheerders en de beveiligingsgemeenschap al snel te handelen: ruim 100 van de gevonden LPE's waren inmiddels upstream gepatcht of voorzien van klaargezette fixes, terwijl er zo'n 300 openbaar werden besproken. Menselijke onderzoekers van OpenAI hebben kritieke rapporten en patches inmiddels overgedragen aan het Linux-kernelteam en werken samen met partners aan het herstel van de overige kwetsbaarheden.

Uit het onderzoek blijkt verder dat nieuwere modellen aanzienlijk efficiënter presteren met minder menselijke orkestratie. Zo vond het nieuwere cybermodel in oktober meer dan vijf keer zoveel unieke LPE's als een eerdere test met GPT-5.6 Sol in juli, ondanks tussentijdse beveiligingsupdates in de kernel. OpenAI benadrukt dat het automatisch genereren en verifiëren van patches essentieel wordt om de verdediging van kritieke opensourcesoftware gelijke tred te laten houden met de evoluerende AI-capaciteiten.