OpenAI ने AI साइबर मॉडल के ज़रिए Linux में 948 कमज़ोरियाँ खोजीं

OpenAI ने 4 नवंबर को घोषणा की कि उसकी स्वायत्त सुरक्षा पाइपलाइन ने अक्टूबर के मध्य में एक ही परीक्षण अभियान के दौरान Linux कर्नेल में 948 स्थानीय विशेषाधिकार-वृद्धि (local privilege escalation) कमज़ोरियों की खोज की और उनके लिए पैच तैयार किए। इस सफलता में एक ऐसे प्रोटोटाइप का इस्तेमाल हुआ जो अभी जारी नहीं हुए साइबर मॉडल पर आधारित था; इसने 2,308 उम्मीदवारों में से 1,724 कमज़ोरियों को सत्यापित किया और हर खामी के लिए काम करने वाले रूट एक्सप्लॉइट बनाए-और यह सब API क्रेडिट में 12 लाख डॉलर की लागत पर हुआ। इस शोध ने कम से कम 10 ऐसी नई Linux शोषण तकनीकें भी उजागर कीं जो सुरक्षा समुदाय के लिए पहले अज्ञात थीं।

OpenAI की स्वायत्त कमज़ोरी-खोज पाइपलाइन ने Linux कर्नेल में 948 अलग-अलग स्थानीय विशेषाधिकार-वृद्धि (LPE) कमज़ोरियों की पहचान कर और उनके पैच तैयार कर एक बड़ी सुरक्षा सफलता हासिल की। यह पाइपलाइन, जो साइबर सुरक्षा पर केंद्रित एक आगामी AI मॉडल से संचालित है, ने Linux कर्नेल को स्कैन किया-जिसमें 4 करोड़ से अधिक पंक्तियों का कोड है और जो Android डिवाइस, क्लाउड अवसंरचना और सुपरकंप्यूटरों की नींव रखता है-और अपना ध्यान केवल उन सुरक्षा-प्रासंगिक क्षेत्रों पर केंद्रित किया जो अपेक्षाकृत विशेषाधिकार-रहित उपयोगकर्ताओं के लिए सुलभ हैं।

इस प्रक्रिया ने Linux कर्नेल से जुड़े 2,308 संभावित निष्कर्षों की पहचान की, लगभग 30 घंटों में 1,724 कमज़ोरियों को गतिशील रूप से पुनरुत्पादित किया, और अंततः 948 काम करने वाले स्थानीय विशेषाधिकार-वृद्धि एक्सप्लॉइट तैयार किए जो विशेषाधिकार-रहित स्थानीय उपयोगकर्ताओं को रूट एक्सेस पाने की अनुमति दे सकते हैं। हर कमज़ोररी के साथ मूल-कारण विश्लेषण और रखरखावकर्ताओं की समीक्षा के लिए एक संभावित पैच भी दिया गया। इस पूरे अभियान पर API क्रेडिट में 1,213,430 डॉलर खर्च हुए, यानी प्रत्येक अद्वितीय खामी पर लगभग 1,279 डॉलर-जो Linux एक्सप्लॉइट के लिए ऐतिहासिक रूप से दिए जाने वाले मानवीय बग-बाउंटी खर्चों की तुलना में एक नाटकीय कमी है।

यह शोध जुलाई 2026 में OpenAI के पिछले प्रयास की तुलना में एक बड़ा सुधार दर्शाता है, जब एक पुराने साइबर मॉडल ने कम कड़े सुरक्षा वाले कर्नेल पर 513,690 डॉलर में 166 अद्वितीय LPE खोजे थे। अक्टूबर के मध्य के अभियान के 10 दिनों के भीतर, OpenAI ने बताया कि खोजे गए 100 से अधिक LPE पहले ही पैच हो चुके थे या अन्य योगदानकर्ताओं की ओर से उनके स्टेजिंग पैच मौजूद थे, और लगभग 300 और पर सार्वजनिक रूप से चर्चा हो रही थी-जो इन निष्कर्षों की गंभीरता और प्रासंगिकता को दर्शाता है।

166 एक्सप्लॉइट के एक नमूने में ऐसी शोषण तकनीकें शामिल थीं जिन्हें OpenAI की टीम और तीसरे पक्ष के कर्नेल विशेषज्ञ दोनों ही नई मानते थे-जिनमें लगातार बने रहने वाले लचीले ऑब्जेक्ट (persistent elastic objects), पेज ग्रूमिंग, केवल-डेटा विशेषाधिकार-वृद्धि और मनमाना टाइप कन्फ्यूज़न शामिल हैं। 948 का आंकड़ा वैरिएंट विश्लेषण के बाद तैयार किए गए अलग-अलग पैचों की संख्या दर्शाता है, न कि विलय (merged) किए गए पैचों की गिनती। OpenAI अपनी "Patch the Planet" पहल के ज़रिए शेष कमज़ोरी रिपोर्ट और पैच चरणों में वितरित करने की योजना बना रहा है-यह एक सहयोगी कार्यक्रम है जिसे जून 2026 में Trail of Bits, HackerOne और अन्य साझेदारों के साथ शुरू किया गया था और जो स्वचालित AI खोज को मानव सुरक्षा इंजीनियरों की समीक्षा के साथ जोड़ता है।