OpenAI poinformowało, że eksperymentalny, nieopublikowany model cyberbezpieczeństwa zidentyfikował 948 odrębnych luk w jądrze Linuksa — kluczowym komponencie systemu operacyjnego Linux zarządzającym sprzętem, pamięcią i innymi zasobami systemu — i opracował działające ataki na te luki podczas kontrolowanych testów bezpieczeństwa. Wyniki, opublikowane 4 listopada po testach prowadzonych przez cały październik, ogłoszono również w poście na X.

Luki mogły pozwolić osobie z ograniczonym dostępem do komputera na uzyskanie pełnej kontroli administratora — kategorii słabości znanej w badaniach bezpieczeństwa jako eskalacja uprawnień. Badacze powiedzieli, że model tworzył działające ataki przy standardowych ustawieniach zabezpieczeń pulpitu, a odkrycia dotyczą oprogramowania powszechnie używanego przez serwery, usługi chmurowe i sieci blockchain.

Ogłoszenie pojawia się w momencie, gdy firmy związane z kryptowalutami zaostrzają własne zabezpieczenia po serii incydentów bezpieczeństwa w branży.

Jak przebiegały badania

Analiza rozpoczęła się od 2308 potencjalnych luk. Testy automatyczne potwierdziły 1724 z nich, a dalsze weryfikacje wykazały 948 odrębnych luk pozwalających użytkownikom uzyskać prawa administratora. OpenAI wykorzystywało oddzielne poprawki do zliczania unikalnych odkryć.

System analizował wybrane fragmenty kodu Linuksa, testował potencjalne słabości na odizolowanych komputerach i sprawdzał, czy atakujący mogliby je faktycznie wykorzystać, po czym tworzył projekty poprawek. Następnie ludzcy badacze weryfikowali dowody i proponowali rozwiązania, które zgłaszano opiekunom Linuksa — podejście zgodne ze skoordynowanym ujawnianiem, powszechną praktyką bezpieczeństwa polegającą na przekazywaniu opiekunom odkryć i proponowanych poprawek, aby przygotować łaty przed publikacją. Sam model pozostaje nieopublikowany, więc zgłaszane możliwości odzwierciedlają kontrolowane testy OpenAI, a nie publicznie dostępne narzędzie.

OpenAI podało, że proces kosztował 1 213 430 dolarów w postaci kredytów API — średnio 1279 dolarów na każdą potwierdzoną lukę wraz z działającym atakiem. Porównując te wydatki z historycznymi nagrodami w konkursach bezpieczeństwa, w których niezależni badacze prezentują exploity w zamian za nagrody, firma oszacowała hipotetyczną wartość exploitów na od 18,9 do 66,3 miliona dolarów. Firma dodała, że przekazała setki raportów i poprawek dotyczących poważnych problemów, a programiści Linuksa naprawili lub przygotowali poprawki dla licznych luk w trakcie badań.

Kontekst infrastruktury krypto

Linux obsługuje wiele węzłów blockchain, serwerów giełd kryptowalut i innej infrastruktury cyfrowej, co sytuuje bezpieczeństwo jądra w obszarze operacyjnym branży. Ogłoszenie nastąpiło po niedawnym naruszeniu bezpieczeństwa Binance, w którym — jak podają źródła — atakujący celowali w pracowników i dotarli do systemów zatwierdzających transfery portfeli. OpenAI nie powiązało swoich badań nad Linuksem z tym incydentem ani nie wskazało żadnego dotkniętego podmiotu branży krypto.

Niezależnie od badań dostawca portfeli Solana Solflare ograniczył dostęp do swojego kodu i infrastruktury po niedawnych atakach w branży. Dostawca portfela określił te środki mianem „trybu bunkra”, a stosowane kontrole wymagają wielu zatwierdzeń dla zmian w oprogramowaniu.

Szef technologii Polygon Labs Mudit Gupta powiedział w wywiadzie dla CoinDesk, że zdecentralizowane sieci blockchain mają wielu operatorów i systemy zapasowe. Te cechy mogą zmniejszyć zależność od pojedynczej maszyny, choć poszczególne usługi i użytkownicy mogą nadal ponosić ryzyko bezpieczeństwa.

Zespoły krypto wydały również niezwiązane poprawki. Klienci Ethereum Teku i Besu opublikowali pod koniec października aktualizacje bezpieczeństwa w związku z obawami dotyczącymi certyfikatów wpływającymi na niektóre połączenia. Te aktualizacje dotyczą odrębnych słabości i nie wynikają z odkryć OpenAI dotyczących Linuksa.

Pierwotnie opublikowane przez CoinCentral.