ИИ OpenAI обнаружил 948 уязвимостей Linux

OpenAI сообщила, что ее экспериментальная система искусственного интеллекта выявила 948 уникальных уязвимостей в ядре Linux, позволяющих пользователю с ограниченными правами получить права администратора. Результаты представили 4 ноября. Исследование проводилось в контролируемой среде и не свидетельствует о взломе реальных криптовалютных платформ.

Во время проверки в середине октября система обнаружила 2 308 потенциальных проблем в коде, из которых 1 724 удалось воспроизвести при тестировании. Затем ИИ подготовил 1 169 работающих способов повышения привилегий. После анализа повторяющихся вариантов исследователи выделили 948 уникальных уязвимостей и подготовили для них предлагаемые исправления.

Испытания проходили на виртуальных машинах со стандартными средствами защиты Linux. Обнаруженные ошибки позволяли повысить права уже имеющего доступ пользователя, а не проникнуть в произвольный компьютер через интернет. Результаты проверяли специалисты, после чего сообщения об уязвимостях и варианты исправлений начали передавать разработчикам ядра.

Стоимость эксперимента составила $1,21 млн в пересчете на использование программных моделей, или около $1 279 на одну уникальную уязвимость с подтвержденным способом эксплуатации. OpenAI оценила условную стоимость такого количества находок в $18,9–66,3 млн на основе прежних вознаграждений на соревнованиях по кибербезопасности. Это расчетная оценка, а не фактически полученные выплаты.

Почему результаты важны для криптоиндустрии

Linux используется в инфраструктуре блокчейнов, в том числе на серверах и узлах сети Ethereum. Уязвимость операционной системы отдельного узла может создать риск для его владельца или обслуживаемых им сервисов. При этом наличие ошибки в Linux само по себе не означает компрометацию блокчейна или возможность изменить его историю транзакций.

Технический директор Polygon Labs Мудит Гупта считает, что распределенная архитектура блокчейнов и разнообразие инфраструктуры повышают устойчивость сетей к отдельным сбоям. Однако децентрализация не устраняет уязвимости конкретных серверов и программных компонентов.

OpenAI подчеркивает защитную цель исследования – обнаруживать ошибки до их использования злоумышленниками. Разработчики Linux рассматривают предлагаемые исправления, но сведения о принятии всех 948 исправлений отсутствуют. Приведенные показатели основаны на испытаниях самой OpenAI, а использованная модель пока не выпущена публично.