OpenAI 表示,一款實驗性且未發布的資安模型在 Linux 核心——即 Linux 作業系統中管理硬體、記憶體與其他系統資源的核心元件——中識別出 948 個不同的漏洞,並在受控安全測試中對其開發出可運作的攻擊。相關結果於 10 月整月測試後,於 11 月 4 日發布,並同時透過一篇X 貼文宣布。

這些漏洞可能讓對電腦僅具有限存取權的人取得完整管理員控制權,此類弱點在安全研究中稱為權限提升。研究人員表示,該模型在一般桌面安全設定下產生了可運作的攻擊,而相關發現涉及伺服器、雲端服務與區塊鏈網路廣泛使用的軟體。

此公告發布之際,加密貨幣公司正因產業接連發生安全事件而加強自身防禦。

研究如何進行

這項審查從 2,308 個可能的漏洞開始。自動化測試重現了其中 1,724 個,經進一步檢驗後確認了 948 個可讓使用者取得管理員權限的不同漏洞。OpenAI 使用獨立的修補程式來計算不重複的發現。

該系統檢視 Linux 程式碼的選定部分,在隔離的電腦上測試潛在弱點,並確認攻擊者是否真的能加以利用,然後才草擬修復方案。人類研究人員隨後審查證據並提出修補建議,再回報給 Linux 維護人員——這種做法符合協調揭露原則,即安全研究中的慣例,在公開發表前先向維護人員分享發現與建議的修補方案,使其能預先準備修補程式。該模型本身尚未發布,因此所報告的能力反映的是 OpenAI 的受控測試,而非公開可用的工具。

OpenAI 表示,整個過程耗費 1,213,430 美元的 API 額度,平均每個結合可運作攻擊的經驗證漏洞為 1,279 美元。若與歷史安全競賽獎金相比——此類競賽中獨立研究人員會示範漏洞利用以贏取獎金——該公司估計這些漏洞的假設價值介於 1,890 萬至 6,630 萬美元之間。OpenAI 補充說,公司已針對嚴重問題提交了數百份報告與修補程式,而 Linux 開發人員在研究期間也修復或準備修復了大量漏洞。

加密貨幣基礎設施背景

Linux 支援眾多區塊鏈節點、加密貨幣交易所伺服器與其他數位基礎設施,使核心安全落入產業的營運範疇之內。此公告發布前,近期才發生Binance 安全漏洞事件,據報導攻擊者鎖定員工,並接觸到核准錢包轉帳的系統。OpenAI 並未將其 Linux 研究與該事件連結,也未指認任何受影響的加密貨幣業者。

與此研究分開,Solana 錢包供應商Solflare在近期產業攻擊後,限制了对其程式碼與基礎設施的存取。該錢包供應商將這些措施描述為「 bunker mode(避難所模式)」,相關控管要求軟體變更須經多重核准。

Polygon Labs 技術長 Mudit Gupta 向 CoinDesk 表示,去中心化區塊鏈網路具有多重營運者與備援系統。這些特性可降低對任何單一機器的依賴,不過個別服務與使用者仍可能面臨安全風險。

加密貨幣團隊也發布了與此無關的修復。以太坊客戶端 Teku 與 Besu 於 10 月下旬因影響特定連線的憑證問題,發布了安全更新。這些更新針對的是另外的弱點,並非源自 OpenAI 的 Linux 研究發現。

原文由 CoinCentral 報導。