La société OpenAI a révélé une réalisation technique remarquable, un système d'automatisation basé sur un modèle d'intelligence artificielle non annoncé ayant réussi à découvrir et à développer des exploits pour 948 failles de sécurité uniques dans le noyau du système d'exploitation Linux (Linux Kernel). Cette opération a été menée lors d'une seule session de scan ciblant les dernières versions du code de la branche principale du noyau, pour un coût d'environ 1,2 million de dollars en crédits d'API.
Mécanisme de fonctionnement et résultats
Les agents d'intelligence artificielle ont commencé leur travail en identifiant les zones sensibles du point de vue de la sécurité dans le noyau, accessibles aux utilisateurs disposant de faibles privilèges. Sur 2,308 failles potentielles détectées, le système a confirmé l'existence de 1,724 failles. L'outil a réussi à développer 1,169 exploits efficaces pour l'élévation locale de privilèges (LPE), en plus de 291 preuves de concept pour la fuite de données.
OpenAI a confirmé que les chercheurs en sécurité de l'entreprise ont examiné l'ensemble des exploits et des correctifs proposés avant de les soumettre aux développeurs du noyau. La société a également indiqué que le système a inventé au moins 10 nouvelles techniques d'exploitation qui étaient inconnues, même des experts en sécurité du noyau, tout en gardant les détails techniques précis secrets pour des raisons de sécurité.
Pourquoi cette nouvelle est-elle importante ?
Cette évolution représente un changement fondamental dans la manière dont les failles de sécurité sont découvertes. Pour un coût approximatif de 1,279 dollars par faille, OpenAI a prouvé que l'intelligence artificielle peut effectuer des recherches et développer des exploits qui auraient coûté sur les marchés traditionnels (tels que les programmes de primes Pwn2Own) entre 18,9 et 66,3 millions de dollars. Cela signifie que l'intelligence artificielle est désormais capable d'exécuter des tâches de sécurité complexes avec une rapidité et une efficacité bien supérieures aux capacités humaines traditionnelles.
Qu'est-ce que cela signifie pour les utilisateurs et les défenseurs ?
OpenAI a averti que la possession d'un compte à faible privilège sur un système d'exploitation non mis à jour doit désormais être considérée comme fonctionnellement équivalente à la possession de privilèges root, en présence d'acteurs malveillants disposant de ressources techniques avancées. Pour atténuer les risques, l'entreprise recommande de s'appuyer sur des défenses multicouches, y compris des techniques d'isolation et de conteneurisation telles que Firecracker et gVisor.
Par ailleurs, OpenAI a annoncé une augmentation des récompenses de son programme de découverte de bugs de sécurité (Security Bug Bounty), relevant les montants moyens des primes pour les failles moyennes, élevées et critiques de plus de quatre fois. La prime pour une faille critique unique atteint ainsi 30,000 dollars, avec la possibilité d'atteindre 172,000 dollars en incluant les bonus supplémentaires, afin d'encourager les chercheurs indépendants à combler les lacunes que l'intelligence artificielle pourrait négliger.