OpenAI می گوید مدل سایبری آن نزدیک به 1000 مشکل امنیتی هسته لینوکس را پیدا کرده و وصله کرده است

OpenAI از عوامل هوش مصنوعی برای تجزیه و تحلیل هسته لینوکس استفاده کرد و 948 آسیب‌پذیری متمایز افزایش امتیاز را کشف کرد.

خط لوله خودکار اکسپلویت ها را ایجاد کرد، یافته ها را تأیید کرد و به ایجاد وصله ها برای نگهبانان لینوکس کمک کرد.

محققان می گویند هوش مصنوعی به طور فزاینده ای قادر به یافتن و اولویت بندی نقص های جدی نرم افزار در مقیاس است OpenAI بیش از یک میلیون دلار برای تجزیه و تحلیل کد هسته لینوکس هزینه کرده است و هزاران آسیب پذیری از جمله نقص های بی شماری در افزایش امتیازات را پیدا کرده است که می تواند برای سیستم عامل محبوب کاملا مشکل ساز باشد.

این شرکت هوش مصنوعی گزارش عمیق جدیدی را منتشر کرد که در آن توضیح می‌داد که چگونه یک خط لوله پنج مرحله‌ای ساخته است که به آن کمک می‌کند هزاران آسیب‌پذیری را شناسایی کند، شناسایی کند که کدام یک واقعا خطرناک هستند، به ایجاد وصله‌ها کمک کرده و در نهایت اکوسیستم لینوکس را ایمن کند.

این خط لوله کشف آسیب‌پذیری، اعتبارسنجی پویا، ارزیابی قابلیت بهره‌برداری، تولید وصله و بررسی انسانی را پوشش می‌دهد و پس از انجام آن، 948 نقص افزایش امتیاز را در هسته لینوکس پیدا کرد.

بازاریابی چریکی

OpenAI گفت: «هسته لینوکس زیربنای دستگاه‌های اندروید، زیرساخت‌های ابری، ابررایانه‌ها و سایر سیستم‌هایی است که میلیاردها نفر از آنها استفاده می‌کنند.

"هسته با بیش از 40 میلیون خط کد، سطح حمله گسترده ای را از طریق تماس های سیستمی، شبکه، سیستم های فایل و درایورهای دستگاه نشان می دهد. ما لینوکس را انتخاب کردیم تا بررسی کنیم که چگونه مدل های مرزی می توانند آسیب پذیری ها را به طور موثر پیدا کنند و تاثیر امنیتی خود را در پایگاه کدی با این مقیاس و اهمیت نشان دهند."

در حالی که این تلاش‌ها قطعا قابل ستایش هستند (به‌ویژه این واقعیت که کل این مصیبت تقریبا ۱.۲۱ میلیون دلار اعتبارات API هزینه داشت)، این گزارش همچنین شبیه بازاریابی چریکی برای آخرین مدل سایبری این شرکت است. به هر حال، این گزارش هرگز نام آن را ذکر نمی‌کند، جدای از این واقعیت که این یک «مدل سایبری آینده» است که بیش از 900 نقص پیدا کرده است، که سپس با GPT 5.5-Cyber ​​مقایسه می‌شود که «24 سوء استفاده از افزایش امتیازات محلی را توسعه داده است».

همانطور که گفته شد، نتایج را نمی توان (و نباید) نادیده گرفت. در مرحله اول از عوامل هوش مصنوعی برای شناسایی بخش‌های مرتبط با امنیت هسته و اسکن آن‌ها برای عیوب احتمالی استفاده شد و در عرض 12 ساعت، بیش از 2300 نامزد ظاهر شدند. سپس OpenAI از عوامل اضافی برای تولید کد اثبات مفهوم (PoC) و آزمایش هر نامزد استفاده کرد. کل فرآیند 30 ساعت به طول انجامید و سیستم با موفقیت 1724 یافته (تقریبا 75 درصد از نامزدهای اولیه) را بازتولید کرد، در حالی که ظاهرا تنها 3 درصد از یافته های باقی مانده از تحلیل مدل نادرست حاصل شده است.

در مرحله بعدی، عوامل آسیب‌پذیری‌ها را بر اساس تأثیر رتبه‌بندی کردند، و ۱۱۶۹ اکسپلویت افزایش امتیاز محلی و ۲۹۱ PoC که افشای اطلاعات را نشان می‌دهند، توسعه دادند. پس از حذف دو ورودی و مثبت کاذب، محققان به 948 نقص تشدید مشخص رسیدند و وصله هایی برای آنها ساختند.

OpenAI گفت که محققان آن قبل از تماس با نگهبانان هسته لینوکس، همه اکسپلویت ها و وصله های ایجاد شده را بررسی کردند. به دنبال راهنمایی های جامعه لینوکس، تیم نقص ها را بر اساس اولویت رتبه بندی کرد و به نظر می رسد برخی از آنها قبلا اصلاح شده اند. گفته شد که یافته های باقی مانده در حال حاضر در حال رسیدگی است.

تکنیک های جدید بهره برداری

OpenAI در توضیح این فرآیند می‌گوید: «ما کد منبع مربوطه را به مدل ارائه می‌دهیم و بهترین روش‌ها را در پچ‌نویسی، مانند انجام بررسی‌های ثابت روی وصله، پیروی از شیوه‌های توسعه نرم‌افزار مورد استفاده در کدهای نزدیک، و انجام تجزیه و تحلیل انواع برای اطمینان از کامل بودن وصله، به آن می‌دهیم».

همه آسیب‌پذیری‌ها به‌طورکلی «جدید» نبودند. OpenAI گفت که نگهبانان لینوکس قبلا 61 نقص شناسایی شده در ارتفاع امتیاز را تا زمانی که تجزیه و تحلیل خود را تکمیل کردند وصله کردند، در حالی که 43 مورد دیگر دارای وصله های مرحله بندی بودند. کمتر از 300 مورد (تقریبا یک سوم) گزارش شده و به صورت عمومی مورد بحث قرار گرفته است، که ارزش آن را نیز دارد.

علاوه بر همه اینها، این تیم 166 تکنیک بهره برداری را مورد بررسی قرار داد و 10 مورد را یافت که قبلا مستند نشده بودند. آنها شامل دستکاری حافظه هسته، اصلاح صفحه و افزایش امتیاز از طریق حملات فقط داده می شوند. OpenAI تصمیم گرفت جزییات مربوط به این ایرادات را تا زمانی که رفع نشوند، به اشتراک نگذارد تا به عوامل تهدید دست بالا ندهد.