La empresa OpenAI reveló un logro técnico destacado, ya que un sistema de automatización basado en un modelo de inteligencia artificial no anunciado logró descubrir y desarrollar exploits para 948 vulnerabilidades de seguridad únicas en el núcleo del sistema operativo Linux (Linux Kernel). Este proceso se llevó a cabo durante una única ronda de análisis dirigida a las versiones más recientes del código en la rama principal del núcleo, y tuvo un costo aproximado de 1.2 millones de dólares en créditos de la interfaz de programación de aplicaciones (API).
Mecanismo de trabajo y resultados
Los agentes de inteligencia artificial comenzaron su labor identificando las áreas sensibles desde el punto de vista de la seguridad en el núcleo a las que los usuarios con privilegios bajos pueden acceder. De las 2,308 vulnerabilidades potenciales detectadas, el sistema confirmó la existencia de 1,724 vulnerabilidades. La herramienta logró desarrollar 1,169 exploits eficaces para la escalada de privilegios local (LPE), además de 291 pruebas de concepto para la filtración de datos.
OpenAI confirmó que los investigadores de seguridad de la empresa revisaron todos los exploits y las correcciones propuestas antes de enviarlos a los desarrolladores del núcleo. Asimismo, la empresa indicó que el sistema ideó al menos 10 nuevas técnicas de explotación que ni siquiera eran conocidas por los expertos en seguridad del núcleo, manteniendo los detalles técnicos precisos bajo reserva por razones de seguridad.
¿Por qué es importante esta noticia?
Este avance representa un cambio fundamental en la forma en que se descubren las vulnerabilidades de seguridad. Con un costo aproximado de 1,279 dólares por vulnerabilidad, OpenAI demostró que la inteligencia artificial puede realizar tareas de investigación y desarrollo de exploits que en los mercados tradicionales (como los programas de recompensas Pwn2Own) habrían costado entre 18.9 y 66.3 millones de dólares. Esto significa que la inteligencia artificial se ha vuelto capaz de ejecutar tareas de seguridad complejas con una velocidad y eficiencia que superan con creces las capacidades humanas tradicionales.
¿Qué significa esto para los usuarios y los defensores?
OpenAI advirtió que poseer una cuenta con privilegios bajos en un sistema operativo no actualizado debe considerarse actualmente el equivalente funcional a poseer privilegios de root ante la presencia de actores de amenazas con recursos técnicos avanzados. Para mitigar los riesgos, la empresa recomienda depender de defensas de múltiples capas, incluidas tecnologías de aislamiento y contenedores como Firecracker y gVisor.
Por otro lado, OpenAI anunció un aumento en las recompensas de su programa de detección de vulnerabilidades (Security Bug Bounty), elevando los montos promedio de recompensa para las vulnerabilidades medias, altas y críticas en más de cuatro veces, de modo que la recompensa por una sola vulnerabilidad crítica alcance los 30,000 dólares, con la posibilidad de llegar a los 172,000 dólares al sumar bonificaciones adicionales, con el fin de incentivar a los investigadores independientes a cerrar las brechas que la inteligencia artificial podría pasar por alto.