OpenAI Signale 948 Exploits d'Élévation de Privilèges Linux
OpenAI indique qu'un système prototype pour enquêter sur les vulnérabilités du noyau Linux a généré 948 exploits distincts d'élévation de privilèges locaux, ainsi que des correctifs candidats, lors d'une opération à la mi-octobre 2026. En utilisant un modèle cybernétique à venir, le système a examiné 2 308 résultats candidats et reproduit 1 724 vulnérabilités par le biais de tests dynamiques, selon l'entreprise.
Ce travail concerne des défauts qui permettent à une personne ayant un accès limité à une machine d'obtenir un accès root, que OpenAI décrit comme le niveau de privilège le plus élevé sur Linux. L'entreprise a publié les résultats le 4 novembre 2026, dans sa divulgation de recherche, Un millier de chemins en moins vers root.
OpenAI a déclaré que 61 vulnérabilités d'élévation de privilèges locaux avaient reçu des correctifs en amont à la fin de son effort de scan et d'analyse manuelle de 10 jours. 43 autres avaient des correctifs en préparation, tandis que 299 étaient en discussion publique. La divulgation ne précise pas si ces chiffres de statut tiennent compte de toutes les 948 vulnérabilités distinctes de l'opération.
L'entreprise a déclaré avoir soumis des centaines de rapports sur des vulnérabilités et des correctifs traitant de problèmes critiques, suivant les recommandations de la communauté du noyau Linux. Le travail sur des rapports et des correctifs supplémentaires se poursuivait avec des partenaires dans Patch the Planet, selon OpenAI.
Pour la découverte, le prototype a sélectionné des portions de code du noyau auxquelles les utilisateurs avec des privilèges limités pouvaient accéder, puis a recherché des défauts potentiels. OpenAI a déclaré que son analyse se concentrait sur des candidats ne nécessitant pas de capacités spéciales et montrant des preuves mesurables de corruption de mémoire. Les tests de reproduction utilisaient le Kernel Address Sanitizer à l'intérieur de machines virtuelles isolées.
Une fois les défauts validés, le système a évalué s'ils pouvaient exposer des informations ou permettre une élévation de privilèges, selon l'entreprise. Les tests d'exploitation ont eu lieu dans des machines virtuelles exécutant une distribution Linux standard. OpenAI a déclaré que SMEP, SMAP, KASLR et HARDENED_USERCOPY restaient activés pendant ces tests ; les tests ne dépendaient pas de la désactivation de ces protections. Le flux de travail a également généré des correctifs proposés pour examen par des chercheurs en sécurité humains.
OpenAI a estimé le coût en crédits API de l'opération à 1 213 430 $, soit en moyenne 1 279 $ pour chaque exploit distinct d'élévation de privilèges locaux. Il a déclaré que cette estimation était spécifique aux modèles, configurations cibles et flux de travail utilisés. Un ingénierie supplémentaire du cadre de test pourrait réduire le coût, selon l'entreprise.
La recherche prolonge un effort de juin 2026 dans lequel GPT-5.5 Cyber a identifié des vulnérabilités du noyau Linux et généré 24 exploits d'élévation de privilèges locaux, a déclaré OpenAI. Le pipeline ultérieur a élargi ce travail en un processus couvrant la découverte de défauts, la validation par exécution, l'évaluation de l'exploitabilité et la génération de correctifs candidats.
* Cet article est basé sur des informations publiquement disponibles au moment de la rédaction.