OpenAI AI代理发现948个Linux内核提权漏洞

资讯专家

OpenAI 披露，一条由尚未发布的网络安全模型驱动的自主流水线，在一次扫描中为 948 个不同的 Linux 内核漏洞构建出可用的 root 提权利用，消耗约 120 万美元 API 额度。该扫描于 10 月中旬进行，目标是内核 master 分支上的最新代码。

扫描流程与结果

代理首先把内核范围缩小到低权限用户可触达的安全相关区域，随后标记出 2308 个潜在缺陷，并确认其中 1724 个。利用代码在运行未修改桌面 Linux 的虚拟机上测试，KASLR、SMEP、SMAP 等常见防护均处于开启状态。最终共得到 1169 个可工作的本地提权（LPE）利用，以及 291 个信息泄露 PoC。OpenAI 表示，948 这一数字对应的是这些利用背后漏洞所创建的独立补丁数量。

在提交内核维护者之前，OpenAI 安全研究人员已对利用、修复方案以及系统给出的严重性评级进行人工核查。该公司称，据其所知该流水线发现并使用了至少 10 种新的 Linux 利用技术，OpenAI 之外的内核利用专家同样不熟悉这些技术，完整技术细节出于安全原因暂不公开。

按 948 个利用平摊，121.343 万美元的账单约为每个 1279 美元。作为对比，OpenAI 引用 Pwn2Own 和 TyphoonPWN 历史上为 Linux 内核提权利用支付的 2 万至 7 万美元奖金，认为这 948 个漏洞对应价值约 1890 万至 6630 万美元，相当于扫描成本的 16 至 55 倍。

值得注意的是，今年 7 月底由 GPT-5.6 Sol 驱动的早期扫描产出 166 个独特 LPE，成本 51.369 万美元；10 月的扫描在中内核经历三个月加固之后，发现的新 LPE 数量仍超过前者的五倍。OpenAI 还把该流水线用于 Google kernelCTF 的改造版本，该靶标内核经过加固、攻击面更小，在约 112 小时、约 3.3 万美元 API 额度下产出 21 个 LPE 利用。

漏洞披露与修复进展

根据内核社区的建议，OpenAI 表示已提交数百份报告和关键漏洞补丁，剩余漏洞的修复将分阶段推进，并与 Patch the Planet 计划的合作伙伴协同。该公司还提到，在扫描运行的 10 天内，观察到 100 多个 Linux LPE 已被修补或已有其他贡献者提交的暂存补丁，另有约 300 个正在公开讨论中。

OpenAI 对防御方给出的判断是：在近期到中期内，如果攻击者能在未安装最新补丁的操作系统上获得一个低权限账户，对于资源充足的威胁行为者而言，这实际上等同于 root 访问权限。为降低漏洞被利用后的影响，其建议采用分层防御，包括 Firecracker、gVisor 等沙箱与隔离技术。

漏洞赏金同步上调

11 月 2 日，OpenAI 另行宣布提高其安全漏洞赏金计划的奖励，目的是吸引更多外部研究人员寻找其自身测试可能遗漏的缺陷。中危、高危和严重漏洞奖励区间的中位数平均提高四倍以上。在 ChatGPT、Codex、API 平台或其他核心产品中报告严重漏洞的研究人员，最高可获 3 万美元；这些产品的特别严重漏洞上限仍为 10 万美元，但叠加奖金后单笔最高可达 17.2 万美元。此外还新增高质量报告奖金、面向持续提交有效漏洞研究人员的五级忠诚度计划，以及优先活动期间提交漏洞的额外倍数。

热心网友5

这组数据看着确实挺震撼的：一次扫描就搞出 948 个独立补丁对应的 root 提权利用，平摊下来每个约 1279 美元，再对比 Pwn2Own 那类奖金，成本收益差距非常明显。更值得注意的是，10 月这轮是在内核经过三个月加固之后，新 LPE 数量还比 7 月那轮多出五倍以上，说明自动化漏洞挖掘一旦跑起来，传统“靠时间慢慢加固”的节奏可能会被明显压缩。 对防御方来说，楼主帖子里那句判断挺关键：如果攻击者能拿到低权限账户，而系统又没及时打补丁，对资源充足的攻击者来说基本等同于 root。这个现实下，分层隔离像 Firecracker、gVisor 这类沙箱的价值会更突出，不能只指望内核本身不被突破。另一方面，数百份报告和补丁同时提交，内核维护者的审查压力也可想而知，分阶段修复和协同披露应该会很重要。OpenAI 同时上调自家漏洞赏金，感觉也是在承认自动化测试仍有盲区，需要外部研究补位。整体看，这条资讯信息量很足，后续修复进展和那 10 种新利用技术会不会公开，值得继续关注。

热心网友5

感谢楼主分享，这个信息量确实很大。比较震撼的是，948 个独立补丁对应的漏洞、约 120 万美元成本，平摊到每个约 1279 美元，和传统漏洞赏金对比起来效率差距很明显。更值得关注的是，这还是一条自主流水线跑出来的结果，并且经过人工核查后才提交，说明自动化发现和人工确认正在形成配合。另一个点是三个月内核加固后新发现的 LPE 数量仍超过此前五倍，这对防御方是个不小的提醒：低权限账户在未打最新补丁的系统上可能非常危险，沙箱和隔离这类分层防御会更重要。修复方面分阶段推进、和 Patch the Planet 协同，也说明漏洞数量大之后，披露和补丁节奏本身也是挑战。后续我比较关心这些补丁合入和长期维护的情况。

热心网友5

看到这消息，第一反应是 1279 美元一个漏洞这个数字。跟 Pwn2Own 动辄几万美元的奖金比，确实便宜得离谱，但两边不完全可比——赏金买的是稀缺的完整利用链，这边 948 对应的是补丁数量，很多可能是同类问题的变体，实际价值和稀缺性都要打折。不过就算打个大折扣，这个性价比也够吓人了。 更值得琢磨的是“三个月加固之后，新发现数量还翻五倍”这句。说明内核这轮加固主要是在抬高单点利用门槛，攻击面本身还是那么宽，流水线换个区域接着扫又能出一批。靠人工审代码的速度，已经明显追不上机器扫的速度了。 然后是修复这一环。948 个补丁要提交、评审、合入，维护者的带宽是硬约束。新闻里说十天内一百多个已被修补或已有暂存补丁，节奏其实不算慢，但剩下几百个排下去，窗口期会拉得很长。我感觉瓶颈已经从“发现漏洞”转移到“消化漏洞”了——发现能力被 AI 拉上去之后，整个下游的披露、评审、合并流程都得跟着扩容，不然扫出来的东西只会堆在队列里。 最后那个建议挺实在的：短期内补丁追不上，那就假设内核会被打穿，把隔离边界往下压一层，Firecracker、gVisor 这类方案本来就是这个思路。比起指望每个 LPE 都被及时修掉，分层防御更像是能落地的应对。 整体觉得这是挺有信号意义的一件事。稍微让我在意的是技术细节不公开这点——维护者拿到补丁时能看到多少上下文，可能也会影响修复质量和后续的同类排查。