OpenAI, otonom güvenlik açığı hattını açıkladı; tek seferde 948 Linux yerel yetki yükseltme güvenlik açığı tespit etti.

BlockBeats haberine göre, 5 Kasım'da OpenAI'nin resmi web sitesinde yapılan açıklamaya göre şirket, güvenlik açığı keşfi, dinamik doğrulama, sömürülebilirlik değerlendirmesi ve yama oluşturmayı kapsayan otonom bir güvenlik araştırma hattı kurmuştur. Yakında çıkacak bir siber modeli merkeze alan bir çalıştırmada, hat Linux çekirdeğiyle ilgili hedefleri tarayıp doğrulamış ve yaygın Linux dağıtımlarında yerel ayrıcalık yükseltme (LPE) sağlayabilen 948 güvenlik açığı sömürüsü üretmiş olup API maliyeti yaklaşık 1 milyon 213 bin dolar, yani her LPE sömürüsü başına yaklaşık 1.279 dolardır.

Açıklamaya göre, hat toplamda 2.308 aday bulguyu tanımlayıp analiz etmiş, 1.724 güvenlik açığını dinamik olarak yeniden üretmiş ve ayrıca 291 bilgi sızıntısı PoC'si üretmiştir; hedef sanal makine tam korumalı standart bir masaüstü sistemi çalıştırmaktadır. Scout ajanı önce yaklaşık 5.034 denetim hedefi belirlemiş (yaklaşık 2,8 milyon satır kod, çekirdeğin yaklaşık %7'si), Analyst ajanı ise yaklaşık 12 saat içinde aday bulgular üretmiştir. OpenAI, Linux topluluğunun önerileri doğrultusunda kritik güvenlik açığı yamalarının öncelikli olarak bildirildiğini ve Patch the Planet iş ortaklarıyla kalan raporların ilerletilmeye devam edildiğini belirtmiştir.

OpenAI ayrıca, uyarlanmış kernelCTF ortamında 25 bilgi sızıntısı PoC'si ve 21 LPE daha elde edildiğini belirtmiştir; örnekleme yapılan 166 sömürünün içinde ajanın en az 10 adet kendisinin daha yeni olduğunu düşündüğü Linux sömürü tekniği kullandığı iddia edilmektedir. Şirket, bakımcıların çok hızlı düzelttiğini vurgulamıştır: taramadan yaklaşık 10 gün içinde 100'den fazla LPE yamalanmış veya geçici yama aşamasına girmiş, yaklaşık 300 tanesi ise kamuya açık tartışmaya açılmıştır.