948 kerentanan eskalasi hak akses: satu AI menemukan semuanya sekaligus dengan biaya US$1,21 juta 💥
🧭 群里聊方向
Pada 5 November, OpenAI mengumumkan bahwa agen keamanan otonomnya menemukan 948 kerentanan eskalasi hak akses lokal yang berbeda di kernel Linux, dan juga menulis 1169 program eksploit yang dapat digunakan.
Total biaya: US$1,21 juta dalam kuota API, setara dengan US$1279 per kerentanan.
Pertama, mari bahas betapa tidak biasanya angka-angka ini.
Agen ini hanya memindai sekitar 2,8 juta baris kode kernel—7% dari keseluruhan proyek—dan menghasilkan 2308 kandidat, mereproduksi 1724 di antaranya secara dinamis, lalu mengelompokkannya menjadi 948 kerentanan berbeda.
Jika hasil yang sama dicapai lewat penelitian manual, dengan tarif US$20.000 hingga US$70.000 per eksploit eskalasi hak akses di kompetisi peretasan, nilai tersiratnya mencapai US$18,9 juta hingga US$66,3 juta.
Artinya, AI memangkas biaya penelitian kerentanan hingga seperlima puluh dari semula.
Yang lebih menarik, model generasi sebelumnya pada Juli hanya menemukan 166 kerentanan dengan biaya US$513.000. Versi Oktober ini menemukan lebih dari lima kali lipat kerentanan, meskipun kernel sudah menerima patch selama berbulan-bulan, dan menggunakan setidaknya 10 teknik eksploitasi yang belum pernah dilihat para peneliti—bukan sekadar menggali data lama ⚠️
Ini bukan berita yang bisa diabaikan oleh dunia kripto.
Mesin pencocokan bursa, full node, backend dompet, dan server cloud pada dasarnya semuanya berjalan di Linux.
Eskalasi hak akses lokal berarti penyerang hanya perlu lebih dulu mendapatkan akun biasa, lalu bisa merangkak hingga memperoleh akses root dan menguasai seluruh mesin.
Dalam kasus pencurian senilai US$6,3 miliar pada 29 Oktober, pintu masuknya adalah komputer seorang karyawan. Rekayasa sosial dan malware terlebih dahulu memberi penyerang pijakan, baru setelah itu mereka memperoleh akses ke dompet.
Dulu, hambatan utama pertahanan adalah menemukan kerentanan. Sekarang, hambatannya adalah mendeteksi penyusupan 🦖
Pihak yang bertahan juga bisa menggunakan perangkat yang sama. Namun, apakah pemelihara proyek open source dan bursa punya cukup tenaga untuk merilis patch sebelum peretas bergerak, itu soal lain.
Yang saya amati bukan seberapa hebat AI, melainkan apakah saat insiden keamanan berikutnya dievaluasi, akan muncul kalimat: “Ini sebenarnya bisa ditambal lebih awal.”
Yuk, bahas di kolom komentar: saat memilih bursa, apakah kamu lebih dulu melihat kecepatan tanggap darurat atau izin resminya? 👀
Setiap hari, saya mengajakmu mengikuti isu keamanan kripto terkini—bukan hanya melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 🚀
🧭 群里聊方向
Pada 5 November, OpenAI mengumumkan bahwa agen keamanan otonomnya menemukan 948 kerentanan eskalasi hak akses lokal yang berbeda di kernel Linux, dan juga menulis 1169 program eksploit yang dapat digunakan.
Total biaya: US$1,21 juta dalam kuota API, setara dengan US$1279 per kerentanan.
Pertama, mari bahas betapa tidak biasanya angka-angka ini.
Agen ini hanya memindai sekitar 2,8 juta baris kode kernel—7% dari keseluruhan proyek—dan menghasilkan 2308 kandidat, mereproduksi 1724 di antaranya secara dinamis, lalu mengelompokkannya menjadi 948 kerentanan berbeda.
Jika hasil yang sama dicapai lewat penelitian manual, dengan tarif US$20.000 hingga US$70.000 per eksploit eskalasi hak akses di kompetisi peretasan, nilai tersiratnya mencapai US$18,9 juta hingga US$66,3 juta.
Artinya, AI memangkas biaya penelitian kerentanan hingga seperlima puluh dari semula.
Yang lebih menarik, model generasi sebelumnya pada Juli hanya menemukan 166 kerentanan dengan biaya US$513.000. Versi Oktober ini menemukan lebih dari lima kali lipat kerentanan, meskipun kernel sudah menerima patch selama berbulan-bulan, dan menggunakan setidaknya 10 teknik eksploitasi yang belum pernah dilihat para peneliti—bukan sekadar menggali data lama ⚠️
Ini bukan berita yang bisa diabaikan oleh dunia kripto.
Mesin pencocokan bursa, full node, backend dompet, dan server cloud pada dasarnya semuanya berjalan di Linux.
Eskalasi hak akses lokal berarti penyerang hanya perlu lebih dulu mendapatkan akun biasa, lalu bisa merangkak hingga memperoleh akses root dan menguasai seluruh mesin.
Dalam kasus pencurian senilai US$6,3 miliar pada 29 Oktober, pintu masuknya adalah komputer seorang karyawan. Rekayasa sosial dan malware terlebih dahulu memberi penyerang pijakan, baru setelah itu mereka memperoleh akses ke dompet.
Dulu, hambatan utama pertahanan adalah menemukan kerentanan. Sekarang, hambatannya adalah mendeteksi penyusupan 🦖
Pihak yang bertahan juga bisa menggunakan perangkat yang sama. Namun, apakah pemelihara proyek open source dan bursa punya cukup tenaga untuk merilis patch sebelum peretas bergerak, itu soal lain.
Yang saya amati bukan seberapa hebat AI, melainkan apakah saat insiden keamanan berikutnya dievaluasi, akan muncul kalimat: “Ini sebenarnya bisa ditambal lebih awal.”
Yuk, bahas di kolom komentar: saat memilih bursa, apakah kamu lebih dulu melihat kecepatan tanggap darurat atau izin resminya? 👀
Setiap hari, saya mengajakmu mengikuti isu keamanan kripto terkini—bukan hanya melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 🚀