OpenAI affirme que le pipeline d’un modèle cyber à venir a produit 948 exploits d’élévation de privilèges dans le noyau Linux

OpenAI décrit un pipeline autonome qui détecte, reproduit, exploite et corrige des vulnérabilités du noyau Linux, exécuté avec un modèle cyber à venir qui n’a pas encore été publié. Lors d’un essai mené à la mi-octobre sur une distribution Linux de bureau standard, OpenAI affirme que le pipeline a analysé 2 308 résultats potentiels, reproduit dynamiquement 1 724 vulnérabilités et produit 291 preuves de concept de fuite d’informations ainsi que 948 exploits fonctionnels d’élévation locale de privilèges (LPE), qui permettent à un utilisateur local non privilégié d’obtenir les droits root. Des chercheurs humains ont examiné les résultats avant de les signaler aux responsables de la maintenance, accompagnés de correctifs proposés.

OpenAI estime le coût de cet essai à 1 213 430 $ en crédits API, soit 1 279 $ par exploit LPE, et précise qu’il s’agit d’une borne supérieure. Dans un environnement kernelCTF adapté, à surface d’attaque réduite, le pipeline aurait trouvé 21 exploits LPE pour environ 32 936 $. OpenAI affirme également que les agents ont utilisé au moins 10 techniques inédites d’exploitation de Linux et que le nouveau modèle a trouvé plus de cinq fois plus de nouvelles vulnérabilités LPE qu’un essai avec GPT-5.6 Sol en juillet.

OpenAI affirme que plus de 100 des vulnérabilités LPE Linux ont été corrigées ou faisaient l’objet de correctifs préparés par d’autres contributeurs dans les 10 jours, et qu’environ 300 autres étaient en cours de discussion publique. L’entreprise conseille de considérer qu’un compte à faibles privilèges sur un système non corrigé équivaut à un accès root face à un attaquant bien doté en ressources, et recommande le recours à des environnements isolés tels que Firecracker et gVisor. Les chiffres et conclusions sont ceux d’OpenAI.