Une seule expérience d'OpenAI met au jour 948 failles exploitables dans le noyau Linux
L'expérience a coûté environ 1,2 million de dollars en puissance de calcul selon OpenAI, mais les chiffres n'ont pas été vérifiés de manière indépendante et la plupart des correctifs doivent encore être intégrés au noyau.
OpenAI a lancé un prototype de pipeline automatisé sur le noyau Linux et affirme y avoir trouvé 948 vulnérabilités distinctes pour lesquelles il existe une attaque fonctionnelle donnant les droits root à un simple utilisateur. C'est ce que rapporte SecurityOnline, sur la base d'un billet de blog de l'entreprise. Le pipeline tournait avec un modèle de cybersécurité pas encore commercialisé et a examiné en octobre environ 2,8 millions de lignes de code, soit quelque 7 % du noyau.
Selon SecurityOnline, l'analyse a produit 2.308 problèmes potentiels, dont 1.724 ont été confirmés comme de véritables vulnérabilités. Le coût total s'élève à environ 1,21 million de dollars, soit quelque 1.280 dollars par faille unique dotée d'une attaque fonctionnelle. Sur un échantillon, les analystes ont aussi relevé au moins dix nouvelles techniques d'attaque contre Linux. Les correctifs proposés par le pipeline sont d'abord relus par des chercheurs humains avant d'être transmis aux mainteneurs du noyau.
Startup Fortune apporte des nuances : les 948 cas sont des attaques validées accompagnées d'un correctif proposé, ce qui ne signifie pas que 948 corrections figurent déjà dans le noyau. Les coûts et les résultats proviennent en outre de la comptabilité d'OpenAI elle-même. OpenAI collabore avec les mainteneurs du noyau et des partenaires pour combler les failles et ne publie pas le code d'attaque.