OpenAI indique qu'un modèle de cybersécurité expérimental et non publié a identifié 948 failles distinctes dans le noyau Linux — le composant central du système d'exploitation Linux qui gère le matériel, la mémoire et les autres ressources système — et a développé des attaques fonctionnelles contre celles-ci dans le cadre de tests de sécurité contrôlés. Les résultats, publiés le 4 novembre après des tests menés tout au long du mois d'octobre, ont également été annoncés dans une publication sur X.

Ces failles pourraient permettre à une personne disposant d'un accès limité à un ordinateur d'obtenir un contrôle administrateur complet, une catégorie de faiblesse connue en recherche de sécurité sous le nom d'élévation de privilèges. Les chercheurs ont précisé que le modèle a produit des attaques fonctionnelles dans des conditions de sécurité de bureau normales, et ces résultats concernent un logiciel largement utilisé par les serveurs, les services cloud et les réseaux blockchain.

L'annonce intervient alors que les entreprises crypto renforcent leurs propres défenses après une série d'incidents de sécurité dans le secteur.

Comment la recherche s'est déroulée

L'examen a débuté avec 2 308 failles possibles. Des tests automatisés en ont reproduit 1 724, et des vérifications supplémentaires ont identifié 948 failles distinctes permettant aux utilisateurs d'obtenir des droits administrateur. OpenAI a utilisé des correctifs distincts pour compter les découvertes uniques.

Le système a examiné des parties sélectionnées du code Linux, testé les faiblesses potentielles sur des ordinateurs isolés et vérifié si des attaquants pouvaient réellement les exploiter avant de rédiger des réparations. Des chercheurs humains ont ensuite examiné les preuves et proposé des correctifs, qui ont été signalés aux mainteneurs de Linux — une approche conforme à la divulgation coordonnée, la pratique de sécurité courante consistant à partager les découvertes et les correctifs proposés avec les mainteneurs afin que les correctifs puissent être préparés avant la publication. Le modèle lui-même reste non publié, de sorte que les capacités rapportées reflètent les tests contrôlés d'OpenAI plutôt qu'un outil accessible au public.

OpenAI a indiqué que le processus a coûté 1 213 430 $ en crédits API, soit une moyenne de 1 279 $ pour chaque faille vérifiée associée à une attaque fonctionnelle. En comparant ces dépenses aux récompenses historiques des concours de sécurité, dans lesquels des chercheurs indépendants démontrent des exploits pour des prix, la société a estimé la valeur hypothétique des exploits entre 18,9 et 66,3 millions de dollars. L'entreprise a ajouté avoir soumis des centaines de rapports et de correctifs pour des problèmes graves, et que les développeurs Linux ont corrigé ou préparé des correctifs pour de nombreuses failles au cours de la recherche.

Contexte des infrastructures crypto

Linux prend en charge de nombreux nœuds blockchain, serveurs d'échange de cryptomonnaies et autres infrastructures numériques, plaçant la sécurité du noyau au cœur du périmètre opérationnel du secteur. L'annonce fait suite à une récente faille de sécurité chez Binance, où des attaquants auraient ciblé des employés et accédé aux systèmes qui approuvent les transferts de portefeuilles. OpenAI n'a pas relié sa recherche Linux à cet incident ni identifié d'opérateur crypto concerné.

Parallèlement à la recherche, le fournisseur de portefeuille Solana Solflare a restreint l'accès à son code et à son infrastructure après de récentes attaques dans le secteur. Le fournisseur de portefeuille a décrit ces mesures comme un « mode bunker », avec des contrôles exigeant plusieurs approbations pour les modifications logicielles.

Mudit Gupta, directeur technologique de Polygon Labs, a déclaré à CoinDesk que les réseaux blockchain décentralisés disposent de plusieurs opérateurs et systèmes de sauvegarde. Ces caractéristiques peuvent réduire la dépendance à une seule machine, même si des services et des utilisateurs individuels peuvent toujours faire face à des risques de sécurité.

Les équipes crypto ont également publié des correctifs sans lien avec cette affaire. Les clients Ethereum Teku et Besu ont publié des mises à jour de sécurité fin octobre en raison de préoccupations liées aux certificats affectant certaines connexions. Ces mises à jour répondent à des faiblesses distinctes et ne découlent pas des découvertes d'OpenAI sur Linux.

Article initialement publié par CoinCentral.