Bin auf eine ziemlich anspruchsvolle Sicherheitsstudie von OpenAI gestoßen: Sie haben die Schritte „Schwachstelle finden → verifizieren → Ausnutzbarkeit bewerten → patchen“ zu einer automatisierten Pipeline gemacht und damit den Linux-Kernel untersucht.
Laut dem offiziellen Blog: Beim Scan Mitte Oktober wurden rund 2.308 Kandidaten herausgefiltert, 1.724 Schwachstellen dynamisch reproduziert und 948 lokale Rechteausweitungen (LPEs) ausgenutzt – ein normaler lokaler Benutzer konnte also Root-Rechte erlangen. Die gesamten API-Kosten beliefen sich auf etwa 1,21 Millionen US-Dollar, im Schnitt rund 1.279 US-Dollar pro LPE. Grob anhand der Prämien bei Pwn2Own und TyphoonPWN in der Vergangenheit geschätzt, wären die 948 Schwachstellen etwa 18,9 bis 66,3 Millionen US-Dollar wert.
Der Prozess umfasste eine menschliche Überprüfung. OpenAI zufolge kamen mindestens zehn Ausnutzungsmethoden zum Einsatz, die selbst für externe Kernel-Experten neu waren. Berichte und Patches werden an die Maintainer weitergeleitet. Wichtig: Es geht um lokale Rechteausweitung, nicht um einen Remote-Angriff, und gemeldet wird erst nach menschlicher Prüfung.
KI findet und behebt Schwachstellen inzwischen so schnell, dass sie den Maintainer:innen die Zeit streitig macht. #OpenAI #Linux #AI
Laut dem offiziellen Blog: Beim Scan Mitte Oktober wurden rund 2.308 Kandidaten herausgefiltert, 1.724 Schwachstellen dynamisch reproduziert und 948 lokale Rechteausweitungen (LPEs) ausgenutzt – ein normaler lokaler Benutzer konnte also Root-Rechte erlangen. Die gesamten API-Kosten beliefen sich auf etwa 1,21 Millionen US-Dollar, im Schnitt rund 1.279 US-Dollar pro LPE. Grob anhand der Prämien bei Pwn2Own und TyphoonPWN in der Vergangenheit geschätzt, wären die 948 Schwachstellen etwa 18,9 bis 66,3 Millionen US-Dollar wert.
Der Prozess umfasste eine menschliche Überprüfung. OpenAI zufolge kamen mindestens zehn Ausnutzungsmethoden zum Einsatz, die selbst für externe Kernel-Experten neu waren. Berichte und Patches werden an die Maintainer weitergeleitet. Wichtig: Es geht um lokale Rechteausweitung, nicht um einen Remote-Angriff, und gemeldet wird erst nach menschlicher Prüfung.
KI findet und behebt Schwachstellen inzwischen so schnell, dass sie den Maintainer:innen die Zeit streitig macht. #OpenAI #Linux #AI
