OpenAI lâche des agents IA sur le noyau Linux et recense 948 attaques fonctionnelles pour 1,2 million de dollars

OpenAI a décrit comment une chaîne automatisée d'agents IA a passé au crible en octobre le dernier noyau Linux à la recherche de failles permettant à un simple utilisateur d'obtenir tous les droits d'administrateur. Après fusion des doublons, il restait 948 vulnérabilités distinctes accompagnées d'une attaque fonctionnelle, rapporte Help Net Security. La facture d'utilisation de l'API s'est élevée à 1.213.430 dollars, soit environ 1.279 dollars par attaque.

Les agents ont examiné environ 7% du code et trouvé en douze heures 2.308 bogues possibles, dont 1.724 ont pu être reproduits. Dans un échantillon de 166 attaques, ils ont utilisé dix techniques jugées nouvelles par les chercheurs. OpenAI calcule que de telles attaques vaudraient ensemble 18,9 à 66,3 millions de dollars dans des concours de piratage comme Pwn2Own, même s'il s'agit, selon CSO Online, d'une comparaison et non de versements réels. L'entreprise garde les détails techniques pour elle, par mesure de sécurité.

Des chercheurs humains contrôlent les analyses et les correctifs proposés avant leur envoi aux développeurs du noyau. Dix jours plus tard, 61 failles étaient corrigées dans le noyau officiel, 43 avaient un correctif en préparation et 299 faisaient l'objet d'une discussion publique. Un premier test avait montré que 20 attaques sur 200 apparemment réussies exploitaient une autre faille que celle visée, après quoi OpenAI a ajouté un contrôle supplémentaire. Un analyste d'IDC a déclaré à CSO Online que le plus grand risque réside dans le délai avant que les correctifs n'atteignent réellement les versions Linux des entreprises.