System agentowy OpenAI przeanalizował 2,8 miliona linii kodu jądra Linuksa i wskazał 948 unikalnych podatności umożliwiających lokalne podniesienie uprawnień – każda z działającym exploitem. To nie jest kolejny benchmark AI w programowaniu. To sygnał, że zautomatyzowane wyszukiwanie krytycznych luk bezpieczeństwa właśnie przestało być fantazją i stało się kwestią budżetu.
948 exploitów w jądrze, które napędza miliard urządzeń
Jądro Linuksa to fundament infrastruktury cyfrowej na skalę, której nie widać na co dzień. Działa pod Androidem, w chmurach obliczeniowych, superkomputerach i niezliczonych systemach wbudowanych. Liczy ponad 40 milionów linii kodu, a jego powierzchnia ataku obejmuje wywołania systemowe, stos sieciowy, systemy plików i sterowniki urządzeń.
System OpenAI nie przeczytał całego repozytorium – skupił się na 7 procentach bazy kodu, obejmujących 2,8 miliona linii. Wystarczyło to, by wyodrębnić 2308 potencjalnych problemów bezpieczeństwa, dynamicznie odtworzyć 1724 podatności, a ostatecznie opracować 948 unikalnych przypadków lokalnego podniesienia uprawnień (ang. local privilege escalation) wraz z działającymi exploitami. Oznacza to scenariusze, w których użytkownik z niskimi uprawnieniami może przejąć pełną kontrolę nad systemem.
Jak działał wieloetapowy system agentowy OpenAI?
Eksperyment opierał się na wieloetapowym, w dużej mierze autonomicznym systemie składającym się z wyspecjalizowanych agentów AI. Pierwszy poziom tworzyli agenci nazwani Scoutami, których zadaniem było wskazanie miejsc w jądrze wartych głębszej analizy pod kątem dostępności dla użytkownika o niskich uprawnieniach.
Scouci wytypowali 5034 cele – katalogi i pliki – obejmujące te 2,8 miliona linii. Koszt tego etapu wyniósł 3426 dolarów w kredytach API. Następnie do pracy weszły agenty analityczne, które w ciągu 12 godzin wygenerowały 2308 potencjalnych odkryć (już po usunięciu duplikatów). Ten etap kosztował 316 549 dolarów.
Podział pracy jest tu kluczowy: tanie, szybkie skanowanie wstępne zawęziło obszar zainteresowania, a dopiero potem uruchomiono droższą, głębszą analizę. Taka architektura pozwala kontrolować koszty i jednocześnie skalować zasięg badania.
Redakcja IWD Partner: Rachunek za analizę 7 procent jądra przekroczył 300 tysięcy dolarów – i przy obecnych możliwościach modeli brzmi to jak dużo. Ale ceny API konsekwentnie spadają, a zdolności modeli rosną. Warto postawić pytanie: ile będzie kosztował analogiczny audyt za dwa lata i kto będzie miał do niego dostęp – tylko wyspecjalizowane zespoły bezpieczeństwa, czy też grupy o znacznie mniej pokojowych zamiarach?
Ekonomia cyberbezpieczeństwa po tym eksperymencie
Tradycyjny audyt bezpieczeństwa tak rozległej bazy kodu jak jądro Linuksa to przedsięwzięcie angażujące wielu doświadczonych badaczy przez wiele miesięcy. Skala i koszt ograniczały możliwość regularnego przeprowadzania takich audytów nawet przez największe organizacje.
Eksperyment OpenAI pokazuje inny model: system, który w 12 godzin przeszukuje miliony linii kodu i dostarcza gotowe do weryfikacji przypadki exploitów. Przy założeniu, że zbadano zaledwie 7 procent jądra i już znaleziono 948 podatności z działającymi exploitami, skala potencjalnych odkryć w całym repozytorium wymaga poważnej refleksji nad tym, jak branża podchodzi do ciągłego monitorowania bezpieczeństwa oprogramowania.
Mechanizm podniesienia uprawnień jest szczególnie istotny w kontekście infrastruktury serwerowej i chmurowej – atakujący, który uzyska jakikolwiek przyczółek w systemie, może przy pomocy takich podatności eskalować kontrolę do poziomu administratora.
Co zmieni się w podejściu do audytów bezpieczeństwa oprogramowania?
Zautomatyzowane systemy agentowe mogą uzupełnić – a w niektórych obszarach zastąpić – ręczne przeglądy kodu pod kątem bezpieczeństwa. Kluczową zmianą jest możliwość ciągłego skanowania, nie tylko okazjonalnego. Zamiast audytu raz na kilka lat, duże projekty open source mogą teoretycznie weryfikować bezpieczeństwo przy każdej istotnej zmianie w kodzie.
Obecność działającego exploitu przy każdej z 948 znalezionych podatności podnosi poprzeczkę: system OpenAI nie poprzestał na wskazaniu podejrzanego miejsca w kodzie, lecz udowodnił exploatowalność. Dla zespołów odpowiedzialnych za bezpieczeństwo Linuksa oznacza to konieczność przetworzenia i zweryfikowania setek poważnych zgłoszeń.
Jednocześnie narzędzie tego rodzaju jest obosieczne. Ci sami agenci, którzy pomagają obrońcom, mogą działać na rzecz atakujących – i prawdopodobnie podobne systemy są już testowane poza oficjalnymi laboratoriami bezpieczeństwa.
Pytania czytelników
Czy te 948 luk zostało już załatane?
Źródło opisuje eksperyment jako badanie pokazujące możliwości systemu – materiał nie informuje o statusie zgłoszenia odkrytych podatności do twórców jądra Linuksa ani o tym, czy i kiedy opracowane zostaną łatki.
Dlaczego zbadano tylko 7 procent jądra?
Agenci wstępnego etapu (Scouci) wybierali miejsca najbardziej narażone i dostępne dla użytkownika o niskich uprawnieniach, nie analizując całości kodu. Taka selekcja celowa pozwoliła skoncentrować droższą analizę na fragmentach o największym potencjale eksploracji.
Czy Linux jest przez to niebezpieczny?
Sam fakt wykrycia podatności nie oznacza, że są one już aktywnie wykorzystywane. Lokalne podniesienie uprawnień wymaga, by atakujący miał wcześniej dostęp do systemu. Niemniej skala odkryć wskazuje, że regularne, zautomatyzowane audyty tej klasy powinny stać się standardem dla projektów tej wielkości.
Powiązane pojęcia technologiczne
- Lokalne podniesienie uprawnień – atak, w którym użytkownik z ograniczonymi uprawnieniami wykorzystuje podatność systemu, by uzyskać dostęp na poziomie administratora (roota).
- Exploit – gotowy kod lub technika pozwalająca praktycznie wykorzystać podatność w oprogramowaniu do wykonania nieautoryzowanych operacji.
- Jądro systemu operacyjnego – centralny komponent systemu zarządzający zasobami sprzętowymi i komunikacją między oprogramowaniem a sprzętem.
- System agentowy AI – architektura, w której wiele wyspecjalizowanych modeli AI współpracuje autonomicznie, wykonując złożone, wieloetapowe zadania.
- Audyt bezpieczeństwa kodu – systematyczny przegląd kodu źródłowego oprogramowania w celu wykrycia podatności i błędów mogących prowadzić do naruszeń bezpieczeństwa.
Opracowanie redakcji IWD Partner z wykorzystaniem narzędzi AI na podstawie materiału: Spider's Web (8.11.2026).
Zdjęcie: wesfly / Unsplash
