Eén experiment van OpenAI legt 948 uitbuitbare gaten in de Linux-kernel bloot
Het experiment kostte volgens OpenAI zo'n 1,2 miljoen dollar aan rekenkracht, maar de cijfers zijn niet onafhankelijk gecontroleerd en de meeste fixes moeten nog in de kernel raken.
OpenAI heeft een prototype van een geautomatiseerde pijplijn losgelaten op de Linux-kernel en zegt daarmee 948 afzonderlijke kwetsbaarheden te hebben gevonden waarvoor een werkende aanval bestaat die een gewone gebruiker rootrechten geeft. Dat meldt SecurityOnline op basis van een blogbericht van het bedrijf. De pijplijn draaide met een nog niet uitgebracht cybermodel en onderzocht in oktober ongeveer 2,8 miljoen regels code, zo'n 7 procent van de kernel.
Volgens SecurityOnline leverde de scan 2.308 mogelijke problemen op, waarvan er 1.724 als echte kwetsbaarheid werden bevestigd. De totale kostprijs bedroeg ongeveer 1,21 miljoen dollar, of zo'n 1.280 dollar per uniek lek met werkende aanval. Analisten vonden in een steekproef ook minstens tien nieuwe technieken om Linux aan te vallen. Door de pijplijn voorgestelde patches gaan eerst langs menselijke onderzoekers voor ze naar de kernelbeheerders worden gestuurd.
Startup Fortune plaatst kanttekeningen: de 948 gevallen zijn gevalideerde aanvallen met een voorgestelde patch, wat niet betekent dat er al 948 oplossingen in de kernel zitten. De kosten en resultaten komen bovendien uit OpenAI's eigen boekhouding. OpenAI werkt met de kernelbeheerders en partners om de lekken te dichten en publiceert de aanvalscode niet.