OpenAI 自主管线扫荡 Linux 内核：复现 1724 个漏洞，产出 948 个提权 exploit
OpenAI 11 月 4 日报告：自主管线复现 1724 个 Linux 内核漏洞，产出 948 个提权 exploit，10 天内 61 个上游修复。
OpenAI 11 月 4 日发布技术报告《A thousand fewer paths to root》，披露一条自主完成漏洞发现、利用与打补丁的管线：用尚未发布的 Cyber 模型扫描 Linux 内核，从 2,308 个候选发现里动态复现 1,724 个漏洞，写出 948 个可用的本地提权（LPE）exploit 和 291 个信息泄露 PoC，API 总开销 1,213,430 美元，摊到每个 exploit 约 1,279 美元；报告发出 10 天内，61 个漏洞已在上游修复。Hacker News 讨论帖（story 50372929）截至 11 月 5 日 UTC 中午 391 分、277 条评论，管线作者本人在评论区答疑。AI 漏洞挖掘这条线，第一次有了从发现到补丁的全流程公开账目。
要点
- 948 个 exploit 对应 948 个候选补丁。管线作者 ky1ebot1337 在 HN 确认：计数按补丁去重，原始 exploit 数更高——variant analysis 会把同源变体并进同一个补丁，范围仅限内核本身。
- 至少 10 种利用技术经第三方内核利用专家确认为此前未知：2 种持久弹性对象、2 种页梳理（page grooming）、5 种 data-only 提权、1 种任意类型混淆；细节因安全原因未公开，外部无法复核。
- 按悬赏行情折算，OpenAI 估这批 LPE 价值 1,890 万至 6,630 万美元，是 121 万美元 API 成本的 16 到 55 倍——参照系是 Pwn2Own 单个约 2 万美元、TyphoonPWN 约 7 万美元。
背景
这不是 OpenAI 第一次扫内核。报告给的基线：上一轮扫描用前代 Cyber 模型找到 166 个 LPE、花费 513,690 美元；本轮结果多出五倍以上，而两轮之间内核已经合入三个月的修复——Phoronix 把这个对比当作标题级事实来报。Anthropic 上月底发过同类报告：一个未发布的 Claude 模型自主挖出 Chrome 62 个 CVE、串成 5 条真实攻击链（见 Claude 自主挖出 Chrome 62 个 CVE）。IEEE Spectrum 的 PHP2Shell 复盘 提出的判断——AI 把休眠漏洞批量武器化、修复侧跟不上发现侧——在这份报告里有了第一个全管线规模的注脚。The Hacker News 转引的英国 NCSC 评估说得更直接：AI 工具「几乎肯定」已显著增加了 0-day 的发现量。
事实部分
管线分五段，各段的口径如下。Scout 代理挑「安全相关且低权限可达」的审计目标，本轮圈了 5,034 个、约 280 万行代码（约占内核 7%）；Analyst 代理做静态扫描，12 小时出 2,308 个候选；triage 代理在开 KASAN 的隔离虚拟机里逐个复现，30 小时确认 1,724 个（约 74.7%），另有 3.1% 候选被证明是错误分析；筛查代理评估可利用性；ExploitDev 代理在 SMEP、SMAP、KASLR、HARDENED_USERCOPY 全开的虚拟机里写 exploit，成功标准是拿到 root shell；最后生成候选补丁、做 variant analysis，人工审查后才上报内核社区。修复进度：10 天内 61 个在上游修复、43 个有暂存补丁，299 个已公开讨论。
| 项目 | 数值 |
|---|---|
| 候选发现（去重后） | 2,308 |
| 动态复现 | 1,724（约 74.7%） |
| LPE exploit / 信息泄露 PoC | 948 / 291 |
| API 总开销 | 1,213,430 美元 |
| 单个 LPE 摊薄成本 | 约 1,279 美元 |
| 成功 / 失败 exploit 平均成本 | 约 360 / 约 3,922 美元 |
| Exploitation 阶段开销 | 775,929 美元 |
| kernelCTF 对照 | 21 个 LPE、112 小时、约 32,936 美元 |
两个数字之外的交代。其一是自称的失误：一批 200 个声称完成的 exploit 里，20 个实际利用了别的漏洞（拿错 0-day），OpenAI 靠收紧约束、加独立复核修掉，并把教训写成「verify the path to a result in addition to verifying the result itself」（验证结果的路径，而不只是验证结果）。其二是官方的运营判断：一台没打最新补丁的系统上，低权限账号「对资源充足的攻击者应视为功能上等同 root」。成本一项，报告自认方法学优先、没做优化，数字「更偏上限」。
各方说法
管线作者 ky1ebot1337 在 HN 补充的口径最多：948 全部是内核漏洞，root 运行的用户态软件不在范围内；目标是「vuln-free Internet」，算力允许就每代新模型重扫 Linux。悲观的对照也不少。BoppreH 把结果比作「家里查出石棉——宁愿知道，但宁愿它不存在」；kccqzy 的观察是 LPE 多到「人们已经不再用低权限账号隔离恶意软件」；bombcar 说多用户安全「死于 90 年代」，常写内核分析的 tptacek 反驳：「不是放弃，是从没成功过」。曾处理内核安全报告的 amluto 索要公开清单，并说自己挖过的内核 bug 几乎都不是内存安全错误——这批发现的构成清单正是外部最想核对的东西。Phoronix 的 Michael Larabel 引报告原文：未来几年内，「只要一个项目里还有漏洞，前沿模型大概率能找到它们」。The Hacker News 补的行业数据：Google 威胁情报组（GTIG）统计月度漏洞披露从 1 月的 5,045 条涨到 8 月的 10,740 条，高危从 131 涨到 350。
编辑判断
对跑 Linux 的人，这份报告只有一条结论是硬的：补丁窗口变了。61 个修复 10 天进上游，不等于进了你手上的发行版包——低权限账号的威胁模型要按「约等于 root」重估，多租户和共享构建机尤其如此。OpenAI 给的防御清单（自动补丁生成、纵深防御、随模型升级重扫代码）里，眼下可操作的是收敛攻击面：gVisor、Firecracker 这类沙箱边界第一次有了价格参照——绕过它们的成本远低于 1,279 美元。要留余地的是三处：所有数字出自 OpenAI 自己的环境；10 种新技术不公开细节，「新」字无法外部复核；Linux 基金会侧逐提交审查的 Sashiko 与这批发现重叠多少，没人回答（Phoronix 同日报道刚给 Sashiko 记了 19.1 万次补丁审查）。这条线和 OpenAI 红队当年 发现 Brotli RCE 是同一条：能力先到，验证机制还没跟上。
接下来
作者承诺算力允许就每代模型重扫；Patch the Planet（Daybreak 旗下）要把这套「发现即补」流程推到更多关键项目。「到底还剩多少」没有答案——作者自己说，第一轮找到 166 个时没人想到还有 900 多个，现在同样的问题又来了一遍；OpenAI 提的出路是把「形式化证明安全的大程序注入合成漏洞」做成基准。两个可自己盯的信号：内核邮件列表里这批补丁的合入进度，以及下一代模型重扫时的数字变化。