Компанія OpenAI повідомила про створення автономного пайплайну для пошуку, експлуатації та виправлення вразливостей. Під час тестування у жовтні система на базі майбутньої моделі кібербезпеки проаналізувала ядро Linux та згенерувала робочі експлойти для 948 вразливостей підвищення привілеїв локального рівня (LPE).
Прототип працював у контрольованому середовищі на базі повноцінної десктопної операційної системи без послаблень захисту. Загалом алгоритм опрацював понад 2,3 тисячі кандидатів, динамічно відтворив 1,7 тисячі недоліків та створив докази концепції для них. Окрім експлойтів, система підготувала кандидатні патчі для розгляду мейнтейнерами.
Загальна вартість запуску пайплайну становила трохи більше ніж 1,2 мільйона доларів у витратах на API, що в середньому дорівнює близько 1,279 долара за один успішний LPE-експлойт. В OpenAI підрахували, що якби ці знахідки оцінювалися за історичними розцінками програм виплат за вразливості на кшталт Pwn2Own, їхня сукупна вартість сягнула б від 18,9 до 66,3 мільйона доларів.
Окремі тести провели в адаптованому середовищі kernelCTF із меншою поверхнею атаки. Там система отримала 21 підтверджений експлойт, витративши близько 33 тисяч доларів на API, тоді як потенційні виплати за них могли б скласти близько 1,5 мільйона доларів. За словами розробників, агенти також виявили щонайменше 10 нових технік експлуатації Linux.
У компанії зазначають, що швидкість знаходження вразливостей передовими моделями вимагає паралельного розвитку автоматизованого створення патчів. Це необхідно для оперативного захисту програмного забезпечення та мінімізації вікна можливих атак.
Джерела: openai.com
