OpenAI показала ИИ-конвейер: 948 эксплойтов для Linux за $1,2 млн

OpenAI опубликовала отчёт о прототипе автономного конвейера, который ищет уязвимости в ядре Linux, воспроизводит их, строит эксплойты и генерирует патчи. В основе конвейера, ещё не вышедшая «киберпрофильная» модель OpenAI (название не приводится). Работа велась в контролируемой исследовательской среде. Это развитие июньской работы в рамках инициативы Patch the Planet, где GPT-5.5 Cyber нашла уязвимости в ядре и разработала 24 эксплойта локального повышения привилегий (LPE).

Конвейер состоит из пяти этапов: поиск уязвимостей, динамическая проверка, оценка эксплуатируемости, генерация патчей и проверка человеком. На выходе система собирает анализ первопричины, минимальный PoC (демонстрационный код), вызывающий сбой, кандидатный патч и полный эксплойт. Перед отправкой мейнтейнерам специалисты по безопасности просматривают эксплойт, патч и предложенную оценку серьёзности.

В прогоне в середине октября 2026 года система нашла и проанализировала 2308 кандидатных находок (после дедупликации), динамически воспроизвела 1724 уязвимости, создала PoC для 291 уязвимости утечки информации и получила 948 рабочих LPE-эксплойтов для широко используемого дистрибутива Linux. Цели, виртуальные машины с обычной настольной ОС, а не ослабленная мишень, в модели угроз, как на соревнованиях Pwn2Own и TyphoonPWN. Весь прогон обошёлся в $1 213 430 в API-кредитах, то есть $1279 на один LPE-эксплойт.

По этапам: агенты-разведчики (Scout) отобрали 5034 объекта аудита, около 2,8 млн строк кода, примерно 7% кодовой базы ядра, это стоило $3426. Агенты-аналитики за 12 часов выдали 2308 кандидатных находок ($316 549). Валидацию вели в изолированной виртуальной машине с ядром, собранным с KASAN (Kernel Address Sanitizer): агент-триажёр писал PoC и итеративно дорабатывал его. За 30 часов воспроизвелись 1724 уязвимости, около 74,7% от 2308 кандидатов; вся валидация стоила $73 330. Большинство остальных находок требовали повышенных привилегий или не воспроизвелись в отведённое время из-за сложных гонок, особых условий запуска или долгой проверки; лишь 3,1% оказались ошибкой анализа модели, когда уязвимость опиралась на невозможное условие. Стоимость проверки реальной и ложной находки оказалась схожей, поэтому отсев ложных срабатываний как можно раньше заметно экономит деньги. Стоимость этапов оценки эксплуатируемости и генерации патчей в тексте отчёта не приведена.

На адаптированной среде kernelCTF (версия ядра с уменьшенной поверхностью атаки) конвейер получил 25 PoC для утечек информации и 21 LPE-эксплойт; для сравнения, в 2026 году на момент написания kernelCTF приняла 26 подтверждённых 0-day LPE-эксплойтов. Кампания стоила примерно $32 936. Если бы 21 уязвимость приняли, награда составила бы около $1,5 млн, примерно в 45 раз больше затрат. По оценке OpenAI, агенты открыли и применили как минимум 10 новых техник эксплуатации Linux.

OpenAI приводит и гипотетическую оценку: исторические награды за LPE-эксплойты ядра Linux, $20 000 на Pwn2Own и $70 000 на TyphoonPWN, для 948 эксплойтов дают $18,9-66,3 млн, то есть в 16-55 раз больше стоимости конвейера. Это расчёт, награды никто не получал.

Выводы OpenAI. За 10 дней, пока шло сканирование, более 100 LPE в Linux были исправлены или получили черновые патчи от других участников, ещё около 300 публично обсуждались. Конвейер на новой модели в середине октября нашёл более чем в 5 раз больше новых LPE, чем прогон на GPT-5.6 Sol в июле, несмотря на три месяца «закаливания» кода между сканированиями. Узким местом оказался не поиск, а выяснение, какие находки воспроизводятся, какую границу безопасности пересекают и какие требуют внимания мейнтейнеров в первую очередь. OpenAI считает, что автоматическая генерация патчей необходима, а при участии эксперта патчи ИИ могут быть корректными и устойчивыми к вариантам атаки (это направление для дальнейших исследований). Компания также ожидает, что в ближайшие годы передовые модели смогут находить уязвимости в проекте, а даже менее мощные, писать эксплойты после раскрытия. Затраты, по её словам, скорее верхняя граница: упор был на методологию и возможности модели, а доработка обвязки может заметно удешевить этапы. Компания работает с партнёрами Patch the Planet над дальнейшими отчётами и патчами, начав, по рекомендации сообщества ядра Linux, с критических уязвимостей.

Ключевые факты

• Прогон в середине октября 2026 года: 2308 кандидатных находок, 1724 воспроизведённые уязвимости, 948 рабочих эксплойтов локального повышения привилегий для широко используемого дистрибутива Linux.
• Общая стоимость, $1 213 430 в API-кредитах, или $1279 на один LPE-эксплойт; поиск целей обошёлся в $3426, анализ, в $316 549, валидация, в $73 330.
• Конвейер из пяти этапов (поиск, динамическая проверка, оценка эксплуатируемости, патчи, проверка человеком) работает на ещё не вышедшей киберпрофильной модели OpenAI.
• Новая модель нашла более чем в 5 раз больше новых LPE, чем GPT-5.6 Sol в июле, хотя между сканированиями прошло три месяца исправлений.
• По мнению OpenAI, непривилегированный аккаунт в необновлённой ОС следует считать равным root-доступу для хорошо оснащённого злоумышленника.

Почему это важно

Отчёт показывает, что поиск и эксплуатация уязвимостей ядра превращается из штучной работы в системный процесс с измеримой ценой: $1279 за рабочий LPE-эксплойт при стоимости всего прогона около $1,2 млн. 948 эксплойтов за один прогон на обычной настольной ОС, масштаб, несопоставимый с 26 принятыми за 2026 год на момент написания 0-day LPE-эксплойтами kernelCTF, которые OpenAI приводит для сравнения. Рост возможностей виден и по динамике: новая модель нашла более чем в 5 раз больше новых LPE, чем июльский прогон на GPT-5.6 Sol. OpenAI делает вывод, что главным узким местом становится не поиск, а приоритизация и валидация находок.

Кому это важно

Мейнтейнерам ядра Linux и дистрибутивов, которым придётся принимать поток отчётов и патчей. Командам безопасности и администраторам: OpenAI называет доступ к непривилегированному аккаунту в необновлённой ОС функциональным эквивалентом root-доступа для хорошо оснащённого злоумышленника. Исследователям уязвимостей и участникам программ вознаграждения, компания приводит расчёт стоимости эксплойтов по историческим наградам. Разработчикам безопасных ОС, браузеров и сетевых стеков, к которым обращены рекомендации о формальной верификации и безопасном по умолчанию коде.

Как это применить

Прямо применить конвейер нельзя: он основан на ещё не вышедшей модели, сроки её выхода не указаны. Практические выводы отчёта для защитников: своевременно ставить патчи, использовать глубокую эшелонированную защиту и изоляцию (OpenAI называет песочницы и подходы вроде Firecracker и gVisor), повторять циклы сканирования и исправления с каждым новым поколением передовых моделей. OpenAI публикует стоимость каждого этапа, чтобы другие исследователи могли оценить ресурсы для воспроизведения работы, а валидацию рекомендует строить так, чтобы ложные срабатывания отсеивались как можно раньше.

Можно ли доверять

Это материал самой OpenAI: цифры и выводы принадлежат компании, независимой проверки в тексте нет. Эксплойты показаны на виртуальных машинах с обычной настольной ОС для одного широко используемого дистрибутива, названия которого в тексте нет; перенос на ядро Linux вообще или на другие дистрибутивы не утверждается. Оценки в $18,9-66,3 млн и $1,5 млн, гипотетические расчёты по историческим наградам, никто их не получал. Сколько отчётов и патчей уже принято мейнтейнерами, в доступном тексте не сказано. Прогнозы вроде «в ближайшие годы» сформулированы как мнение компании.

Риски и подводные камни

Двойное назначение: тот же процесс, что помогает защитникам, потенциально доступен и атакующим, а OpenAI ожидает, что даже менее мощные модели смогут писать эксплойты после раскрытия уязвимостей. Поток находок может перегрузить мейнтейнеров: сама OpenAI отмечает, что кандидатных находок слишком много для ручной проверки и приоритизация остаётся проблемой. Качество патчей зависит от участия экспертов, компания лишь считает, что при этом они могут быть корректными, и называет тему областью дальнейших исследований. Заявленные затраты, скорее верхняя граница, а часть находок не воспроизвелась из-за сложных гонок и долгой проверки, так что цифры не дают полной картины уязвимостей ядра.

«В ближайшей и среднесрочной перспективе доступ к непривилегированной учётной записи в операционной системе, не обновлённой до последних доступных патчей, следует считать функционально равным root-доступу для хорошо оснащённого злоумышленника.»

— OpenAI, «A thousand fewer paths to root»