OpenAI раскрыла собственную цепочку уязвимостей: за один раз было обнаружено 948 уязвимостей повышения привилегий в Linux

Согласно информации с официального сайта OpenAI, компания создала автономную исследовательскую линию безопасности, охватывающую обнаружение уязвимостей, динамическую проверку, оценку эксплуатируемости и генерацию патчей. В ходе одной из операций, сосредоточенной на предстоящей сетевой модели, линия завершила сканирование и проверку целей, связанных с ядром Linux, и сгенерировала 948 эксплойтов, которые могут быть использованы для локального повышения привилегий (LPE) на популярных дистрибутивах Linux, стоимость API составила около 1,213,000 долларов, что примерно соответствует 1,279 долларов за каждый LPE.

Как сообщается, линия идентифицировала и проанализировала 2,308 кандидатов на обнаружение, динамически воспроизвела 1,724 уязвимости и также произвела 291 PoC утечки информации; целевая виртуальная машина работала с полностью защищенной стандартной настольной системой. Интеллектуальный агент Scout сначала определил около 5,034 целей аудита (примерно 2.8 миллиона строк кода, что составляет около 7% ядра), а интеллектуальный агент Analyst за примерно 12 часов выдал кандидаты на обнаружение. OpenAI заявила, что приоритизировала отправку критических патчей в соответствии с рекомендациями сообщества Linux и продолжает сотрудничество с партнерами Patch the Planet для продвижения остальных отчетов.

OpenAI также сообщила, что в адаптированной среде kernelCTF было получено еще 25 PoC утечек информации и 21 LPE; в выборочной проверке 166 эксплойтов агент, как сообщается, использовал как минимум 10 новых технологий эксплуатации Linux, которые он считал более современными. Компания подчеркивает, что поддержка исправлений происходит быстро: за примерно 10 дней было исправлено более 100 LPE или они были помещены в временные патчи, еще около 300 находятся на стадии открытого обсуждения.