OpenAIは、実験的かつ未公開のサイバーセキュリティモデルが、Linuxカーネル(ハードウェア、メモリ、その他のシステムリソースを管理するLinuxオペレーティングシステムの中核コンポーネント)における948件の個別の脆弱性を特定し、管理されたセキュリティテスト中にそれらに対する実際に動作する攻撃を開発したと発表しました。10月を通じてテストされた後、11月4日に公開されたこの結果は、Xへの投稿でも発表されました。

これらの脆弱性により、コンピュータへの限定的なアクセス権を持つ者が完全な管理者権限を取得できる可能性があり、セキュリティ研究では権限昇格と呼ばれる弱点のカテゴリに該当します。研究者らは、このモデルが通常のデスクトップセキュリティ設定の下で実際に動作する攻撃を生成したと述べ、調査結果はサーバー、クラウドサービス、ブロックチェーンネットワークで広く使用されているソフトウェアに関係しています。

この発表は、業界の一連のセキュリティインシデントを受けて暗号資産企業が自社の防御を強化する中で行われました。

研究の進め方

調査は2,308件の候補となる脆弱性から始まりました。自動テストで1,724件が再現され、さらなる検証により、ユーザーが管理者権限を取得できる948件の個別の脆弱性が特定されました。OpenAIは個別のパッチを使用して固有の発見件数を数えました。

このシステムはLinuxコードの選択された部分を調査し、分離されたコンピュータ上で潜在的な弱点をテストし、攻撃者が実際に利用できるかを確認したうえで修復案を作成しました。その後、人間の研究者が証拠をレビューし、修正案を提案してLinuxメンテナーに報告しました。これは、公開前にパッチを準備できるよう調査結果と修正案をメンテナーと共有する、セキュリティ分野で一般的な実践である調整された開示に沿ったアプローチです。モデル自体は未公開のままのため、報告された能力は公開されているツールではなく、OpenAIの管理されたテストを反映しています。

OpenAIによると、このプロセスにはAPIクレジットで1,213,430ドルがかかり、実際に動作する攻撃が確認された脆弱性1件あたり平均1,279ドルでした。独立系の研究者が賞金のためにエクスプロイトを実証する過去のセキュリティコンテストの賞金額とこの支出を比較し、同社はエクスプロイトの仮想的な価値を189万ドルから6,630万ドルと見積りました。同社はさらに、重大な問題について数百件の報告とパッチを提出しており、研究期間中にLinux開発者も多数の脆弱性を修正または修正準備したと述べました。

暗号資産インフラへの関連性

Linuxは多数のブロックチェーンノード、暗号資産取引所のサーバー、その他のデジタルインフラを支えており、カーネルのセキュリティは業界の運用範囲内にあります。この発表は、攻撃者が従業員を標的にし、ウォレット送金を承認するシステムに到達したと報じられた最近のBinanceのセキュリティ侵害に続くものです。OpenAIはこのLinux研究をそのインシデントと結びつけておらず、影響を受けた特定の暗号資産事業者も特定していません。

研究とは別に、SolanaウォレットプロバイダーのSolflareは、最近の業界攻撃を受けてコードとインフラへのアクセスを制限しました。同ウォレットプロバイダーはこの対策を「バンカーモード」と説明し、ソフトウェアの変更には複数の承認を必要とする管理措置を導入しています。

Polygon Labsの最高技術責任者であるMudit Gupta氏はCoinDeskに対し、分散型ブロックチェーンネットワークには複数のオペレーターとバックアップシステムがあると述べました。これらの機能により単一のマシンへの依存を軽減できますが、個々のサービスやユーザーには依然としてセキュリティリスクが残る可能性があります。

暗号資産関連チームは、無関係な修正も発表しています。EthereumクライアントのTekuとBesuは10月下旬、特定の接続に影響する証明書の懸念を理由にセキュリティアップデートをリリースしました。これらのアップデートは別の弱点に対応するものであり、OpenAIのLinuxに関する調査結果には起因していません。

本記事はもともとCoinCentralにより報道されたものです。