Modeli i ri kibernetik i OpenAI ndërtoi 948 sulme funksionale për marrjen e kontrollit “root” në Linux
Një sistem i automatizuar që funksionon me një model të ri, ende të papublikuar, të inteligjencës artificiale e ka kthyer një pjesë të madhe të dobësive të kernelit të Linux-it në sulme funksionale që i japin një përdoruesi të zakonshëm kontroll të plotë “root” mbi kompjuterin, dhe ka shkruar një arnim për secilën dobësi, siç bën të ditur OpenAI në një postim të ri kërkimor, sipas Help Net Security. Ekipi kibernetik i kompanisë e vuri sistemin në punë në mesin e tetorit 2026 ndaj versionit më të fundit të kernelit të Linux-it, me makina që përdornin një sistem operativ desktop të zakonshëm; puna përfundoi me 948 sulme të tipit të përshkallëzimit lokal të privilegjeve (LPE) dhe kushtoi 1.213.430 dollarë në kredi API, ose rreth 1.279 dollarë për çdo sulm.
Studiuesit shpjeguan se zgjodhën Linux-in sepse kerneli i tij fuqizon pajisjet Android, infrastrukturën cloud, superkompjuterët dhe sisteme të tjera që përdoren nga miliarda njerëz, ndërsa më shumë se 40 milionë rreshta kodi ofrojnë një sipërfaqe të gjerë sulmi. “Kërkimi i sigurisë që dikur kërkonte një hetim të veçantë e të vazhdueshëm për çdo gjetje, gjithnjë e më shumë mund të kryhet si një proces sistematik”, shkroi ekipi, sipas Help Net Security.
Procesi u zhvillua në disa faza: një grup i parë agjentësh përzgjodhi pjesët e kernelit që mund të arrihen nga përdoruesit me privilegje të ulëta, duke lënë për auditim rreth 7 për qind të kodit; një grup i dytë doli brenda 12 orësh me 2.308 dobësi të mundshme, ndërsa agjentët e triazhimit arritën t’i riprodhojnë 1.724 prej tyre brenda 30 orësh në makina virtuale të izoluara. Agjentët e zhvillimit të sulmeve prodhuan më pas 291 prova koncepti për rrjedhje informacioni dhe 1.169 sulme funksionale “root”; pasi u grupuan sulmet që buronin nga e njëjta dobësi, OpenAI numëroi 948 dobësi të dallueshme.
Nga një kampion prej 166 sulmesh, agjentët kishin përdorur 10 teknika shfrytëzimi që, sipas studiuesve, nuk ishin parë më parë; teknikat iu ndanë edhe ekspertëve të jashtëm të kernelit, për të cilët ishin po ashtu të reja. Kompania i mbajti detajet teknike jashtë postimit për arsye sigurie. Sipas Help Net Security, rezultatet vetjake të agjentëve nuk qëndruan gjithmonë: në një provë të hershme, faza e sulmeve raportoi 200 suksese, por shqyrtimi njerëzor tregoi se 20 prej tyre kishin arritur kontrollin “root” përmes një dobësie tjetër nga ajo që u ishte caktuar, ndaj studiuesit e OpenAI e shqyrtojnë çdo sulm, arnim dhe vlerësim të rëndësisë përpara se materiali t’u shkojë mirëmbajtësve të Linux-it.
Kur skanimi dhe analiza manuale u mbyllën pas 10 ditësh, 61 prej dobësive ishin arnuar tashmë në burimin kryesor, 43 kishin arnime në përgatitje dhe 299 po raportoheshin e diskutoheshin publikisht. OpenAI thotë se ka dërguar qindra raporte e arnime, duke nisur nga dobësitë më serioze me sugjerimin e komunitetit të Linux-it, dhe po punon me partnerët e nismës Patch the Planet për pjesën tjetër. Siç njofton edhe CoinDesk, qëllimi i deklaruar i kompanisë është mbrojtja: gjetja e dobësive përpara hakerëve, në mënyrë që ato të mbyllen.
Krahasimi i kostos është në qendër të raportit: garat Pwn2Own dhe TyphoonPWN kanë paguar historikisht 20.000 dhe 70.000 dollarë për një sulm të tillë, ndaj OpenAI e vlerëson sasinë e tetorit në mënyrë hipotetike midis 18,9 dhe 66,3 milionë dollarë. Në një provë tjetër, ndaj një versioni të ngurtësuar të kernelit të përdorur nga programi kernelCTF i Google-it, sistemi prodhoi për 112 orë dhe 32.936 dollarë 21 sulme përshkallëzimi privilegjesh dhe 25 prova rrjedhjeje informacioni. Paralajmërimi i studiuesve është i drejtpërdrejtë: për të ardhmen e afërt dhe afatmesme, një llogari me privilegje të ulëta në një sistem të paarnuar duhet konsideruar praktikisht e barabartë me kontrollin “root” për një sulmues me burime të mjaftueshme, ndaj rekomandohen mbrojtje në shtresa, përfshirë mjetet e izolimit si Firecracker dhe gVisor.
