OpenAI hat am 4. November einen Sicherheitsbericht zum Linux-Kernel veröffentlicht: Eine Pipeline, die von einem noch nicht veröffentlichten Cybersicherheitsmodell angetrieben wird, lief Mitte Oktober einmal durch und lieferte 948 verschiedene Exploits für lokale Rechteausweitung (LPE), jeweils mit einem Patch-Kandidaten. Die API-Kosten dieses Durchlaufs beliefen sich auf 1.213.430 US-Dollar; OpenAI rechnet damit auf rund 1.279 US-Dollar pro Rechteausweitung und gibt an, die Kosten seien nach oben abgeschätzt.
Der Bericht trägt den Titel „A thousand fewer paths to root“. Die Zahl 948 wird leicht so gelesen, als seien 948 Schwachstellen bereits behoben. Mehrere Medien weisen jedoch darauf hin, dass sie sich auf verifizierte Exploits und von der Pipeline erzeugte Patch-Kandidaten bezieht; tatsächlich in den Kernel übernommene Fixes werden separat gezählt.
Der Trichter wird Stufe für Stufe enger
Die Pipeline besteht aus mehreren Agententypen, die sich die Arbeit weiterreichen. Ein Aufklärungs-Agent wählt Code nach Erreichbarkeit und Sicherheitsrelevanz aus, ein Analyse-Agent scannt die Ziele, und ein Triage-Agent erzeugt und verfeinert in einer virtuellen Maschine mit aktiviertem Kernel Address Sanitizer Proof-of-Concepts und sichert dabei die Laufzeitbelege.
| Stufe | Ergebnis |
|---|---|
| Geprüfte Ziele | 5.034, rund 2,8 Millionen Zeilen, etwa 7 % des Kernels |
| Kandidatenfunde nach Deduplizierung | 2.308 |
| Dynamisch reproduziert | 1.724 |
| Proof-of-Concepts für Informationslecks | 291 |
| Funktionierende Rechteausweitungs-Exploits | 1.169 |
| Rechteausweitungen nach Deduplizierung über unabhängige Patches | 948 |
Der Rückgang von 1.169 auf 948 geht auf eine Variantenanalyse zurück, die Exploits mit derselben Grundursache zusammenführt; OpenAI verwendet die Zahl unabhängiger Patches als Zählweise für Rechteausweitungen. Kandidaten, die es nicht bis zur Reproduktion schafften, benötigten laut Berichten meist höhere Rechte oder ließen sich im Zeitbudget nicht reproduzieren.
Die Testumgebung bestand aus isolierten virtuellen Maschinen. Berichten zufolge handelte es sich um Desktop-Konfigurationen gängiger Distributionen, bei denen SMEP, SMAP, KASLR und HARDENED_USERCOPY aktiviert waren; die Schutzmaßnahmen wurden für das Experiment nicht absichtlich abgeschwächt.
Drei Etappen in vier Monaten
Fügt man die bisher veröffentlichten Zahlen des Projekts zusammen, ergibt sich folgendes Bild:
- Juni: Das Projekt Patch the Planet startete; der damalige Kernel-Scan lieferte 24 Proof-of-Concepts für Rechteausweitung und 8 für Zeigerlecks;
- Juli: GPT-5.6 Sol erzeugte 166 unabhängige Rechteausweitungen bei Kosten von 513.690 US-Dollar;
- Oktober: Das unveröffentlichte Cybersicherheitsmodell kam auf 948 bei Kosten von 1.213.430 US-Dollar.
Grob gerechnet sanken die Kosten je Rechteausweitung von etwa 3.095 US-Dollar im Juli auf 1.279 US-Dollar, also um rund sechs Zehntel. Scanumfang und Ablauf der beiden Durchläufe müssen nicht identisch sein, der Vergleich dient daher nur als Anhaltspunkt.
Eine weitere Zahlenreihe stammt aus Googles kernelCTF, einem stärker gehärteten Ziel. Dieselbe Pipeline lieferte dort 21 Rechteausweitungen bei Kosten von rund 32.936 US-Dollar. Laut einer Zusammenstellung Dritter wurden bei kernelCTF in diesem Jahr bislang insgesamt 26 0-Day-Rechteausweitungen bestätigt. Wie viele der 21 akzeptiert werden, steht noch nicht fest.
OpenAI gibt außerdem an, die Agenten hätten mindestens 10 zuvor unbekannte Linux-Exploit-Techniken eingesetzt; diese Einschätzung stammt von OpenAI selbst und von den konsultierten Experten. Aus Sicherheitsgründen werden keine technischen Details genannt, sodass Außenstehende dies vorerst nicht überprüfen können.
Schwächen, die der Bericht selbst nennt
In frühen Durchläufen erlangten 20 von 200 als erfolgreich gemeldeten Exploits Root-Rechte über eine andere 0-Day-Lücke und nicht über die in der Aufgabe vorgegebene Schwachstelle. OpenAI verschärfte daraufhin die Aufgabenvorgaben und ergänzte eine unabhängige Prüfung des Exploit-Pfads.
Auch unter den 948 Rechteausweitungen sind nicht alle neu. Berichten zufolge wurden 61 bereits von anderen im Upstream behoben, für 43 gibt es Vorab-Patches, und 299 werden öffentlich gemeldet oder diskutiert. Ob sich diese drei Gruppen überschneiden, geht aus den Berichten nicht klar hervor; ohne jede Überschneidung machten sie zusammen rund vier Zehntel aus.
Zum weiteren Vorgehen gibt OpenAI an, Maintainern bereits Hunderte Berichte und Patches zu schwerwiegenden Schwachstellen übermittelt zu haben; der Rest geht in Tranchen über die Partner von Patch the Planet hinaus. Startup Fortune erwähnt, dass vor der Einreichung eine Prüfung durch Ingenieure von Trail of Bits steht.
Nicht offengelegt sind bislang der offizielle Name des Modells, der Aufwand für die manuelle Prüfung und die Zahl der Patches, die Maintainer am Ende akzeptiert haben. Alle Zahlen stammen aus einem einzelnen Experiment von OpenAI und wurden noch nicht unabhängig überprüft.
Personalmangel ist für Open-Source-Maintainer ohnehin ein altes Problem: Postgres 19 wurde verschoben, weil die von LLMs gemeldeten Bugs nicht schnell genug behoben werden konnten. Wenn 948 Patch-Kandidaten in Tranchen bei den Kernel-Maintainern ankommen, zeigt erst die Commit-Historie der nächsten Kernel-Versionen, wie viele davon sich prüfen lassen.
Quellen: Sicherheitsbericht von OpenAI, Startup Fortune, CocoLoop, Unite.AI, FourWeekMBA; Mengen und Kosten der einzelnen Stufen folgen den Angaben des OpenAI-Berichts, die Zahl der bestätigten kernelCTF-Funde stammt aus einer Zusammenstellung Dritter.