OpenAI znalazło 948 luk w jądrze Linux

OpenAI opublikowało na swoim blogu podsumowanie prac nad autonomicznym wykrywaniem podatności w oprogramowaniu. Aby zademonstrować możliwości swoich modeli, badacze przeprowadzili audyt jądra Linux — i znaleźli w nim 948 potwierdzonych luk typu local privilege escalation (LPE), czyli błędów pozwalających lokalnemu użytkownikowi bez uprawnień zdobyć dostęp roota.

To nie tylko popis technologiczny, ale też sygnał, w jakim kierunku zmierza bezpieczeństwo systemów. Skala przedsięwzięcia robi wrażenie — podobnie jak jego koszt.

Jak wyglądał proces wykrywania podatności

Prototyp OpenAI nie ograniczył się do statycznej analizy kodu. System przeszedł przez kilka etapów weryfikacji, które zawęziły pulę zgłoszeń do rzeczywistych, potwierdzonych błędów.

Od kandydatów do potwierdzonych exploitów

Na początku model wskazał 2308 potencjalnych podatności w jądrze. Następnie 1724 z nich zostało dynamicznie odtworzonych — czyli AI faktycznie sprawdziło, że błąd da się wywołać w praktyce. Ostatecznie udało się uzyskać 948 działających exploitów LPE. Co istotne, system wygenerował również propozycje łatek, które trafiły do przeglądu przez maintainerów.

Koszt: 1,2 miliona dolarów w kredytach API

Odnalezienie blisko tysiąca luk wymagało zużycia 1,2 mln dolarów w kredytach API. To liczba, która pokazuje zarówno potencjał, jak i barierę wejścia dla podobnych projektów. Autonomiczny audyt na taką skalę wciąż jest kosztowny, choć w perspektywie czasu może okazać się tańszy niż ręczne przeglądy kodu przez specjalistów.

Co to oznacza dla przyszłości bezpieczeństwa oprogramowania

Badacze OpenAI podzielili się w blogu szerszą refleksją na temat konsekwencji takich możliwości. Ich zdaniem w ciągu najbliższych lat frontierowe modele będą prawdopodobnie w stanie wykrywać podatności w dowolnym projekcie — a nawet słabsze systemy mogą potrafić opracować exploity po ujawnieniu luki.

W świecie, w którym nie ma nieznanych podatności, kluczowe będzie budowanie i utrzymywanie oprogramowania o wysokiej pewności — zwłaszcza takiego jak systemy operacyjne, przeglądarki, biblioteki parsujące obrazy czy stos TCP/IP.

Eksperci wskazują kilka kierunków, które mogą pomóc w skalowaniu bezpieczeństwa. Wymieniają m.in. trenowanie modeli tak, by domyślnie pisały bezpieczny kod, ograniczanie powierzchni ataku poprzez usuwanie zbędnych funkcji oraz weryfikację formalną. Wszystko to obok samego znajdowania i łatania istniejących błędów.

Zaskakujący wynik porównania modeli

Jednym z ciekawszych wniosków z publikacji jest porównanie dwóch modeli OpenAI. Okazuje się, że GPT-5.5 Cyber wykrywał ponad pięć razy więcej nowych luk LPE niż GPT-5.6 Sol — mimo że między skanami jądro Linux przeszło trzy miesiące utwardzania i łatek.

To zaskakujące, bo nowszy model powinien teoretycznie wypadać lepiej. Wynik sugeruje, że specjalizacja pod kątem cyberbezpieczeństwa może mieć większe znaczenie niż sama generacja modelu. Warto jednak pamiętać, że to pojedyncze porównanie w konkretnym kontekście, a nie kompleksowy benchmark.

Autonomiczne audyty jako nowy standard?

OpenAI udostępniło pełne szczegóły swojego eksperymentu w blogu. Choć projekt ma charakter demonstracyjny, wpisuje się w wyraźny trend: modele językowe coraz częściej pełnią rolę narzędzi do analizy kodu i wyszukiwania błędów bezpieczeństwa.

Przed nami pytania o praktyczne wdrożenia. Czy autonomiczne audyty staną się standardem w projektach open source? Jak poradzą sobie z fałszywymi alarmami i kosztami? I wreszcie — czy tempo wykrywania podatności przez AI wymusi szybsze zmiany w sposobie projektowania oprogramowania? Odpowiedzi poznamy zapewne w nadchodzących latach.