شرکت OpenAI یک خط لوله (Pipeline) خودکار توسعه داده است که قادر است نقص‌های موجود در هسته لینوکس (Linux kernel) را شناسایی، اعتبارسنجی، اکسپلویت و در نهایت وصله (Patch) کند. در یک اجرای آزمایشی در اواسط اکتبر ۲۰۲۶، این مدل پیشرفته امنیت سایبری توانست ۹۴۸ اکسپلویت فعال برای افزایش سطح دسترسی محلی (LPE) در یکی از توزیع‌های پرکاربرد لینوکس ایجاد کند.
جزئیات عملیاتی و هزینه‌ها
هزینه کل این فرآیند ۱,۲۱۳,۴۳۰ دلار برآورد شده است که به طور متوسط برای هر اکسپلویت حدود ۱,۲۷۹ دلار هزینه شده است. این پروتوتایپ که در گزارش «هزار مسیر کمتر تا ریشه» (A thousand fewer paths to root) تشریح شده، شامل یک فرآیند پنج مرحله‌ای است: کشف، اعتبارسنجی پویا، ارزیابی قابلیت اکسپلویت، تولید وصله و بازبینی انسانی.
- مرحله شناسایی: عامل‌های جستجوگر (Scout agents) ابتدا ۵,۰۳۴ هدف را برای حسابرسی انتخاب کردند که شامل ۲.۸ میلیون خط کد (حدود ۷٪ از هسته) بود.
- تحلیل: عامل‌های تحلیل‌گر در عرض ۱۲ ساعت، ۲,۳۰۸ یافته احتمالی را تولید کردند.
- اعتبارسنجی: یک عامل تریژ (Triage agent) هر مورد را در یک ماشین مجازی مجهز به Kernel Address Sanitizer (KASAN) تست کرد و ۱,۷۲۴ آسیب‌پذیری را بازتولید نمود.
عبور از مکانیزم‌های دفاعی و متدهای نوین
عامل‌های توسعه اکسپلویت برای رسیدن به هدف، باید از سدهای دفاعی استاندارد توزیع‌های لینوکس از جمله SMEP، SMAP، KASLR و HARDENED_USERCOPY عبور می‌کردند. در نهایت، ۲۹۱ اثبات مفهوم (PoC) برای نشت اطلاعات و ۱,۱۶۹ اکسپلویت LPE فعال تولید شد که پس از تحلیل تغییرات، ۹۴۸ آسیب‌پذیری منحصر‌به‌فرد به همراه وصله‌های مربوطه شناسایی شدند.
نکته قابل توجه این است که این مدل از حداقل ۱۰ تکنیک اکسپلویت استفاده کرد که حتی متخصصان انسانی هسته لینوکس نیز پیش از این با آن‌ها مواجه نشده بودند؛ از جمله متدهای جدید Page-grooming، تکنیک‌های افزایش سطح دسترسی فقط-داده (Data-only) و نوعی از Arbitrary Type Confusion.
توصیه‌های امنیتی برای مدیران SOC و CISOها
OpenAI در گزارش خود هشدار داده است که هر سیستمی که وصله نشده باشد و یک حساب کاربری با دسترسی پایین در آن وجود داشته باشد، باید برای مهاجمی که منابع کافی در اختیار دارد، معادل داشتن دسترسی Root در نظر گرفته شود.
برای مقابله با این تهدیدات، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی سریع: اعمال فوری Patchهای منتشر شده توسط توسعه‌دهندگان لینوکس.
- اسکن مجدد: بازبینی مداوم کدها همزمان با بهبود مدل‌های هوش مصنوعی.
- ایزوله‌سازی (Sandboxing): استفاده از ابزارهایی مانند Firecracker و gVisor برای محدود کردن سطح دسترسی و اثرات احتمالی نفوذ.
