OpenAI เปิดเผยไปป์ไลน์ช่องโหว่อัตโนมัติ สามารถสร้างช่องโหว่ยกระดับสิทธิ์ในเครื่อง Linux ได้ถึง 948 รายการในการรันครั้งเดียว

ข่าว BlockBeats วันที่ 5 พฤศจิกายน ตามการเปิดเผยบนเว็บไซต์ทางการของ OpenAI บริษัทได้สร้างไปป์ไลน์การวิจัยด้านความปลอดภัยแบบอัตโนมัติที่ครอบคลุมการค้นหาช่องโหว่ การตรวจสอบแบบไดนามิก การประเมินความเป็นไปได้ในการโจมตี และการสร้างแพตช์ ในการทำงานครั้งหนึ่งซึ่งมีโมเดลเครือข่ายที่กำลังจะเปิดตัวเป็นแกนกลาง ไปป์ไลน์ได้สแกนและตรวจสอบเป้าหมายที่เกี่ยวข้องกับเคอร์เนล Linux และสร้างช่องโหว่ที่ใช้โจมตีได้ 948 รายการซึ่งสามารถยกระดับสิทธิ์ในเครื่อง (LPE) บนดิสทริบิวชัน Linux ที่ใช้กันทั่วไป โดยมีต้นทุน API ประมาณ 1.213 ล้านดอลลาร์สหรัฐ หรือประมาณ 1,279 ดอลลาร์สหรัฐต่อช่องโหว่ LPE หนึ่งรายการ

ตามคำอธิบาย ไปป์ไลน์ดังกล่าวระบุและวิเคราะห์การค้นพบที่เป็นไปได้ทั้งหมด 2,308 รายการ ทำซ้ำช่องโหว่แบบไดนามิก 1,724 รายการ และยังสร้าง PoC การรั่วไหลของข้อมูลอีก 291 รายการ เครื่องเสมือนเป้าหมายรันระบบเดสก์ท็อปมาตรฐานที่มีการป้องกันครบถ้วน เอเจนต์ Scout กำหนดเป้าหมายการตรวจสอบประมาณ 5,034 รายการก่อน (ประมาณ 2.8 ล้านบรรทัดโค้ด หรือประมาณ 7% ของเคอร์เนล) และเอเจนต์ Analyst สร้างการค้นพบที่เป็นไปได้ภายในเวลาประมาณ 12 ชั่วโมง OpenAI ระบุว่าได้รายงานแพตช์ช่องโหว่สำคัญตามคำแนะนำของชุมชน Linux ก่อนแล้ว และกำลังดำเนินการร่วมกับพันธมิตร Patch the Planet เพื่อผลักดันรายงานที่เหลือต่อไป

OpenAI ยังระบุอีกว่าในสภาพแวดล้อม kernelCTF ที่ปรับให้เหมาะสม ได้รับ PoC การรั่วไหลของข้อมูลเพิ่มอีก 25 รายการและ LPE อีก 21 รายการ จากการสุ่มตรวจช่องโหว่ที่ใช้โจมตีได้ 166 รายการ มีรายงานว่าเอเจนต์ใช้เทคนิคการโจมตี Linux อย่างน้อย 10 เทคนิคที่เห็นว่าใหม่พอสมควร บริษัทเน้นย้ำว่าผู้ดูแลระบบแก้ไขได้อย่างรวดเร็ว ภายในประมาณ 10 วันหลังการสแกน มี LPE มากกว่า 100 รายการได้รับการแพตช์หรือเข้าสู่แพตช์ที่รอดำเนินการ และอีกราว 300 รายการเข้าสู่การอภิปรายแบบสาธารณะ