La pipeline di OpenAI individua 948 vulnerabilità di escalation dei privilegi nel kernel Linux

OpenAI ha riferito il 4 novembre 2026 che, durante una ricerca condotta a metà ottobre 2026, una pipeline prototipale basata su un modello per la cybersicurezza di prossima uscita ha individuato e sfruttato 948 vulnerabilità uniche di escalation locale dei privilegi in Linux, generando anche patch candidate da sottoporre alla revisione dei manutentori.

Le vulnerabilità avrebbero potuto consentire a un utente locale senza privilegi di ottenere l’accesso root. I test sono stati condotti in macchine virtuali isolate che eseguivano un sistema operativo desktop standard, con SMEP, SMAP, KASLR e HARDENED_USERCOPY attivati, anziché su un obiettivo deliberatamente indebolito. OpenAI ha scelto Linux perché il kernel contiene oltre 40 milioni di righe di codice ed è alla base dei dispositivi Android, delle infrastrutture cloud e dei supercomputer: un contesto che permette di testare la ricerca automatizzata su una base di codice di tale portata e importanza.

Dalle vulnerabilità candidate agli exploit funzionanti

La pipeline integra l’individuazione delle vulnerabilità, la convalida dinamica, la valutazione della sfruttabilità, la generazione delle patch e la revisione umana. Gli agenti Scout selezionano il codice in base alla sua raggiungibilità da parte di utenti con pochi privilegi e alla sua rilevanza per la sicurezza; in seguito, gli agenti Analyst esaminano gli obiettivi. Gli agenti Triage generano e perfezionano prove di concetto all’interno di macchine virtuali che eseguono kernel con Kernel Address Sanitizer, conservando le evidenze raccolte durante l’esecuzione invece di affidarsi esclusivamente all’analisi statica. Ogni pacchetto di ricerca completato comprende un’analisi della causa principale, una prova di concetto minima che provoca un arresto anomalo, una patch candidata e un exploit completo.

OpenAI ha dichiarato che gli agenti Scout hanno selezionato 5.034 obiettivi di audit, che coprivano circa 2,8 milioni di righe, pari a circa il 7% del kernel. Gli agenti Analyst hanno prodotto 2.308 risultati candidati deduplicati in 12 ore, mentre la convalida dinamica ha riprodotto 1.724 vulnerabilità in 30 ore. La maggior parte dei risultati rimanenti richiedeva privilegi elevati o non poteva essere riprodotta entro il tempo disponibile; solo il 3,1% era dovuto a un’analisi errata del modello.

Secondo OpenAI, la fase di sfruttamento ha prodotto 291 prove di concetto di divulgazione di informazioni e 1.169 exploit funzionanti di escalation locale dei privilegi. L’analisi delle varianti ha poi generato 948 patch distinte; OpenAI usa questa cifra come numero di LPE uniche, spiegando così perché il totale delle vulnerabilità differisca dal numero grezzo di exploit. Le correzioni generate restano candidate da sottoporre alla revisione dei manutentori: la cifra di 948 non indica il numero di patch integrate.

Revisione umana e stato delle patch

OpenAI ha inviato centinaia di segnalazioni e patch per vulnerabilità critiche e prevede di distribuire gradualmente le restanti con i partner di Patch the Planet. Il 22 giugno 2026, OpenAI ha avviato l’iniziativa Daybreak con Trail of Bits, affiancando la ricerca assistita dall’IA alla revisione di esperti e lasciando ai manutentori il controllo sulla distribuzione delle patch e sulla divulgazione. Nell’annuncio precedente erano stati riferiti 24 exploit LPE e otto prove di concetto di divulgazione di puntatori del kernel nell’ambito del lavoro di OpenAI su GPT-5.5 Cyber Linux.

Dopo aver rilevato che 61 LPE erano già state corrette nel ramo upstream, che 43 disponevano di patch in staging e che 299 erano oggetto di segnalazioni pubbliche o discussioni alla fine della scansione di dieci giorni e dell’analisi manuale, OpenAI ha raccomandato di convalidare nuovamente i risultati rispetto al codice attuale, includendo le integrazioni successive, per evitare segnalazioni duplicate o obsolete. L’obiettivo è consentire ai manutentori di concentrarsi sulle vulnerabilità irrisolte senza aggiungere un carico di revisione superfluo.

La revisione ha inoltre individuato un errore che una semplice shell root avrebbe nascosto. In una prima esecuzione, ha dichiarato OpenAI, 20 dei 200 exploit segnalati come riusciti avevano ottenuto l’accesso root sfruttando una vulnerabilità zero-day diversa da quella assegnata; in seguito, l’azienda ha reso più rigorosi i vincoli delle attività e aggiunto una verifica indipendente del percorso seguito da ciascun exploit. Le prime patch generate direttamente su richiesta potevano essere funzionalmente corrette, ma contenere codice superfluo, comportare possibili compromessi prestazionali, discostarsi dalle convenzioni di codifica o non coprire tutte le varianti. Ulteriori istruzioni e iterazioni hanno migliorato la qualità delle patch, ma i ricercatori umani continuano a esaminare l’exploit, la patch e la gravità proposta prima di effettuare segnalazioni ai manutentori.

Confronto tra i modelli e costi dei test

Nel confronto di OpenAI, la sessione di metà ottobre è costata 1,213 milioni di dollari in crediti API, ovvero 1.279 dollari per ogni LPE unica, a fronte delle 166 LPE uniche e dei 513.690 dollari della sessione di fine luglio 2026 con GPT-5.6 Sol. Entrambe le sessioni hanno esaminato il ramo master del kernel Linux più aggiornato disponibile all’epoca. L’aumento di oltre cinque volte delle nuove LPE è stato registrato nonostante i tre mesi di rafforzamento della sicurezza tra le due scansioni. I costi sono presentati come limiti superiori, perché la ricerca si è concentrata sulla metodologia e sulla misurazione delle capacità, non sull’ottimizzazione dei costi.

OpenAI ha dichiarato che, secondo il suo team e gli esperti esterni di sfruttamento del kernel, un campione di 166 exploit comprendeva dieci tecniche inedite, relative a oggetti elastici persistenti, alla preparazione delle pagine di memoria, all’escalation dei privilegi basata sui soli dati e alla confusione arbitraria dei tipi. Per motivi di sicurezza, non sono stati divulgati i dettagli tecnici completi.

Una sessione adattata di kernelCTF ha prodotto 25 prove di concetto di divulgazione di informazioni e 21 exploit LPE in 112 ore, con una spesa di circa 32.936 dollari in crediti API, ha riferito OpenAI. Il kernel testato era incompatibile con la mitigazione SLAB_VIRTUAL, che OpenAI ha quindi rimosso dalla configurazione. La ricompensa indicativa di circa 1,5 milioni di dollari è subordinata all’accettazione di tutte e 21 le vulnerabilità: non si tratta di un premio già annunciato. Le regole di kernelCTF di Google indicano una ricompensa di 71.337 dollari per ogni exploit idoneo, richiedono una stabilità di almeno il 70% su 20 esecuzioni e limitano i premi alle segnalazioni di vulnerabilità zero-day che soddisfano i requisiti.

I risultati spostano il collo di bottiglia dalla generazione di segnalazioni alla dimostrazione dei percorsi di exploit, all’aggiornamento costante dei risultati e alla produzione di correzioni accettabili. Di conseguenza, la verifica indipendente e la revisione da parte dei manutentori diventano essenziali affinché la ricerca automatizzata su questa scala si traduca in attività di difesa concrete, anziché in un ulteriore onere di segnalazione.