Компания OpenAI сообщила о выдающемся техническом достижении: система автоматизации на базе неанонсированной модели искусственного интеллекта смогла обнаружить и разработать эксплойты для 948 уникальных уязвимостей безопасности в ядре операционной системы Linux (Linux Kernel). Этот процесс был осуществлен в ходе одного раунда сканирования, нацеленного на последние версии кода в основной ветке ядра, и обошелся примерно в 1,2 миллиона долларов в виде кредитов API.
Механизм работы и результаты
Агенты искусственного интеллекта начали свою работу с определения чувствительных с точки зрения безопасности областей ядра, к которым могут получить доступ пользователи с низкими привилегиями. Из 2,308 потенциальных уязвимостей, обнаруженных системой, было подтверждено наличие 1,724 уязвимостей. Инструмент успешно разработал 1,169 эффективных эксплойтов для локального повышения привилегий (LPE), а также 291 концепт-доказательство для утечки данных.
Компания OpenAI подтвердила, что исследователи безопасности компании изучили все эксплойты и предложенные исправления перед их отправкой разработчикам ядра. Компания также отметила, что система создала по меньшей мере 10 новых техник эксплойтов, которые были неизвестны даже экспертам по безопасности ядра, при этом точные технические детали держатся в секрете из соображений безопасности.
Почему эта новость важна?
Это развитие событий представляет собой фундаментальный сдвиг в том, как обнаруживаются уязвимости безопасности. При примерной стоимости в 1,279 доллара за уязвимость, компания OpenAI доказала, что искусственный интеллект может выполнять исследования и разработку эксплойтов, которые на традиционных рынках (таких как программы вознаграждений вроде Pwn2Own) обошлись бы в сумму от 18.9 до 66.3 миллионов долларов. Это означает, что искусственный интеллект стал способен выполнять сложные задачи по безопасности со скоростью и эффективностью, значительно превосходящими традиционные человеческие возможности.
Что это значит для пользователей и защитников?
Компания OpenAI предупредила, что наличие учетной записи с низкими привилегиями на необновленной операционной системе в настоящее время следует считать функционально эквивалентным наличию привилегий суперпользователя (Root) в условиях наличия у угроз передовых технических ресурсов. Для снижения рисков компания рекомендует полагаться на многоуровневую защиту, включая технологии изоляции и контейнеризации, такие как Firecracker и gVisor.
С другой стороны, OpenAI объявила об увеличении наград своей программы по обнаружению уязвимостей (Security Bug Bounty), подняв средние суммы вознаграждений за средние, высокие и критические уязвимости более чем в четыре раза. Теперь максимальная награда за одну критическую уязвимость составляет 30,000 долларов с возможностью достижения 172,000 долларов при добавлении бонусных выплат, что призвано стимулировать независимых исследователей устранять пробелы, которые могут быть упущены искусственным интеллектом.