OpenAI découvre 948 failles de sécurité dans Linux — et apprend à les exploiter

OpenAI affirme que ses agents de sécurité autonomes ont découvert 948 vulnérabilités distinctes dans le noyau Linux, développé des exploits fonctionnels et rédigé des correctifs pour examen—le tout pour environ 1,2 million de dollars en crédits API.

« Nous avons choisi Linux pour étudier l'efficacité avec laquelle les modèles de pointe pouvaient trouver des vulnérabilités et démontrer leur impact sur la sécurité dans une base de code de cette échelle et de cette importance », a déclaré OpenAI dans les résultats publiés mercredi.

948 failles, 1 169 exploits fonctionnels

Les agents d'OpenAI ont analysé environ 2,8 millions de lignes de code du noyau, soit environ 7 % du projet. « Notre prototype a identifié et analysé 2 308 constats candidats dans le noyau Linux, reproduit dynamiquement 1 724 vulnérabilités et produit 948 exploits d'élévation de privilèges locaux (LPE) qui pourraient permettre à un utilisateur local non privilégié d'obtenir un accès root », a déclaré OpenAI.

Après avoir regroupé les exploits par cause sous-jacente et correctif proposé, les chercheurs ont compté 948 failles distinctes.

La campagne d'octobre a coûté 1 213 430 dollars en crédits API, soit environ 1 279 dollars par vulnérabilité. OpenAI a comparé cela aux primes historiques de 20 000 à 70 000 dollars versées pour des exploits d'élévation de privilèges Linux lors de compétitions de hacking, suggérant une valeur hypothétique de 18,9 millions à 66,3 millions de dollars si les mêmes résultats avaient été obtenus manuellement.

Une campagne antérieure avec GPT-5.6 Sol avait trouvé 166 vulnérabilités uniques d'élévation de privilèges en juillet pour 513 690 dollars. Un modèle cyber plus récent, non publié, en a trouvé plus de cinq fois plus en octobre, même après que le noyau avait fait l'objet de mois de correctifs.

OpenAI a également indiqué que ses agents ont utilisé au moins 10 techniques d'exploitation inconnues des chercheurs et des experts externes qu'ils ont consultés — pas simplement des astuces existantes récupérées dans les données d'entraînement.

Que se passe-t-il lorsque les hackers disposent des mêmes outils ?

Le fait que des entreprises d'IA trouvent des bugs critiques n'est qu'une preuve supplémentaire de la capacité des systèmes à mener des recherches avancées en cybersécurité, obtenant des résultats qui exigeaient auparavant une expertise humaine considérable.

La semaine dernière, Anthropic a divulgué qu'une version non publiée de Claude avait découvert et exploité de graves vulnérabilités dans des logiciels largement utilisés, notamment Chrome et Linux. Certains de ces exploits pouvaient exécuter du code malveillant à distance avec peu ou pas d'interaction de l'utilisateur.

L'économie de cette recherche changeait déjà avant l'annonce d'OpenAI.

Des chercheurs de Vidoc Security ont reproduit plusieurs découvertes de vulnérabilités associées au puissant modèle Mythos d'Anthropic en utilisant des modèles accessibles au public pour moins de 30 dollars par fichier.

Ces tests ont montré que la découverte de vulnérabilités devenait de plus en plus accessible, bien que reproduire une faille soit différent de développer un exploit fiable capable de compromettre un système protégé.

La dernière expérience d'OpenAI va plus loin en automatisant une grande partie de ce processus d'exploitation, créant un avantage potentiel pour les défenseurs qui tentent de corriger les logiciels avant que les criminels ne puissent tirer parti des mêmes faiblesses.

L'entreprise a averti que les attaquants disposant d'un accès limité à un système d'exploitation obsolète pourraient de plus en plus être capables d'élever leurs privilèges avec l'aide de l'IA.

OpenAI tente de restreindre l'accès à ses modèles de cybersécurité plus performants via des programmes de sécurité vérifiés. Son initiative Daybreak Red fournit aux défenseurs approuvés un accès à des outils d'IA spécialisés pour la recherche de vulnérabilités, les tests d'exploitation et le développement de mesures d'atténuation.