A OpenAI revelou um marco técnico notável, com um sistema de automação baseado em um modelo de inteligência artificial não divulgado conseguindo descobrir e desenvolver exploits para 948 vulnerabilidades de segurança exclusivas no kernel do sistema operacional Linux (Linux Kernel). Esse processo ocorreu durante uma única varredura direcionada às versões mais recentes do código no branch principal do kernel, custando cerca de 1,2 milhão de dólares em créditos de interface de programação de aplicativos (API).
Mecanismo de funcionamento e resultados
Os agentes de inteligência artificial iniciaram seu trabalho identificando áreas sensíveis à segurança no kernel que podiam ser acessadas por usuários com privilégios baixos. Das 2.308 vulnerabilidades potenciais identificadas, o sistema confirmou a existência de 1.724 vulnerabilidades. A ferramenta conseguiu desenvolver com sucesso 1,169 exploits funcionais para escalonamento de privilégios local (LPE), além de 291 provas de conceito para vazamento de dados.
A OpenAI confirmou que os pesquisadores de segurança da empresa revisaram todos os exploits e correções propostas antes de enviá-los aos desenvolvedores do kernel. A empresa também apontou que o sistema inventou pelo menos 10 novas técnicas de exploit que eram desconhecidas até mesmo para especialistas em segurança de kernel, mantendo os detalhes técnicos exatos em sigilo por motivos de segurança.
Por que esta notícia é importante?
Este desenvolvimento representa uma mudança fundamental na forma como as vulnerabilidades de segurança são descobertas. Com um custo aproximado de 1.279 dólares por vulnerabilidade, a OpenAI provou que a inteligência artificial pode realizar pesquisas e desenvolvimento de exploits que custariam nos mercados tradicionais (como programas de recompensa Pwn2Own) entre 18,9 e 66,3 milhões de dólares. Isso significa que a inteligência artificial tornou-se capaz de realizar tarefas de segurança complexas com uma velocidade e eficiência que superam em muito as capacidades humanas tradicionais.
O que isso significa para os usuários e defensores?
A OpenAI alertou que ter uma conta de baixo privilégio em um sistema operacional desatualizado deve agora ser considerado funcionalmente equivalente a ter privilégios de root, diante de agentes de ameaças com recursos técnicos avançados. Para mitigar os riscos, a empresa recomenda confiar em defesas em camadas, incluindo tecnologias de isolamento e contêineres como Firecracker e gVisor.
Por outro lado, a OpenAI anunciou um aumento nas recompensas de seu programa de detecção de vulnerabilidades (Security Bug Bounty), elevando os valores médios de recompensa para vulnerabilidades médias, altas e críticas em mais de quatro vezes, com a recompensa para uma única vulnerabilidade crítica atingindo 30.000 dólares, podendo chegar a 172.000 dólares quando adicionados bônus extras, a fim de incentivar pesquisadores independentes a preencherem as lacunas que a inteligência artificial possa ignorar.