AREX Feed Article
OpenAI 宣布：自主流水线一次运行验证 Linux 内核 948 个本地提权漏洞并生成补丁，API 成本约 121 万美元
OpenAI 于美国时间 11 月 4 日在宣布，其安全研究人员构建了一条自主的漏洞发现、利用与修补流水线：在 10 月中旬的一次运行中，流水线使用一款尚未发布、未公布名称的 cyber（网络安全能力）模型，动态复现 1,724 个漏洞，产出 291 个信息泄露概念验证（PoC）和覆盖 948 个独立本地提权（local privilege escalation，LPE）漏洞的可用利用，并为这些漏洞生成补丁，总 API 成本 1,213,430 美元，约合每个独立 LPE 漏洞 1,279 美元。据帖文，这些利用在标准防护全开的 Linux 桌面默认配置上有效；人类安全研究员复核之后，漏洞和修复方案才会报给内核维护者。
同一天，OpenAI 在官网发布技术报告，公开了更完整的分阶段数字：静态扫描得到 2,308 个候选发现，可利用性评估从复现结果中产出 1,169 个可用的本地提权利用，经变体分析对应 948 个相互独立的漏洞。按历史 Pwn2Own 与 TyphoonPWN 竞赛的赏金标准折算，OpenAI 称这批利用的假设价值为 1,890 万～6,630 万美元，约为本次运行成本的 16～55 倍。上述数字与结论均来自 OpenAI 单方口径，尚未经独立核实。
一次运行分五个阶段：从圈定审计目标到人工复核
技术报告把流水线拆成五个阶段：漏洞发现、动态验证、可利用性评估、补丁生成，最后由人类研究员复核。Linux 内核超过 4,000 万行代码，攻击面覆盖系统调用、网络、文件系统和设备驱动，支撑着 Android 设备、云基础设施和超算；OpenAI 写道，选择它正是为了检验前沿模型在这种规模和重要性的代码库上能走多远。
第一步，Scout（侦察）智能体逐个读取目录和文件，按「低权限用户可达」和「与安全相关」两个标准挑选审计目标，圈定 5,034 个目标、约 280 万行代码，只占整个内核代码库的约 7%，这一步花费 3,426 美元。第二步，Analyst（分析）智能体逐个分析这些目标（工作流程类似 OpenAI 的 Codex Security 插件），12 小时内去重后产出 2,308 个候选发现，花费 316,549 美元。OpenAI 称，发现本身不是难点，难的是判断哪些发现能复现、越过了哪条安全边界、哪些最需要维护者优先处理——数千个候选远超人工分诊能力。
候选发现不等于真实漏洞。第三步，triage（分诊）智能体为每个候选生成概念验证程序，放进带 Kernel Address Sanitizer（KASAN，内核内存错误检测工具）的隔离虚拟机里运行，观察程序输出和系统控制台，反复修改直到复现报告的行为或穷尽触发方式。30 小时后，系统复现 1,724 个漏洞，约占候选的 74.7%；未复现的大多需要更高权限，或因竞态条件、特定触发条件（如要求某一行恰好分配失败）、耗时的验证过程（如引用计数回绕）而未能在时间预算内完成，只有 3.1% 是模型分析错误，即报告的漏洞假设了一个不可能成立的条件。这一步花费 73,330 美元。
第四步，一个刻意宽松的初筛智能体静态审读每份报告、崩溃日志和相关源码，把范围缩小到 313 个信息泄露候选和 1,238 个本地提权候选，花费 44,194 美元。随后 ExploitDev（利用开发）智能体在启用了标准发行版默认防护的隔离虚拟机里逐个测试——包括 SMEP（阻止内核执行用户态内存页）、SMAP（阻止内核访问用户态内存页）、KASLR（内核地址空间布局随机化）和 HARDENED_USERCOPY（加固内核与用户态之间的拷贝边界）——产出 291 个信息泄露概念验证和 1,169 个能把无特权本地用户提到 root 的可用利用；经变体分析，这批利用对应 948 个相互独立的漏洞，生成 948 个候选补丁。利用阶段共花费 775,929 美元，成功开发一个利用平均 359 美元；失败的 69 个尝试平均每个耗资 3,922 美元，远高于成功案例的约 360 美元，主要卡在少数难利用的竞态漏洞上。
补丁生成环节，模型拿到相关源码，按静态检查、遵循邻近代码的编码惯例、做变体分析等最佳实践生成补丁。报告称，最初直接生成的补丁功能正确、能挡住概念验证，但有时代码偏多、引入性能权衡、偏离既有风格，或漏掉同一漏洞的其他变体；加入指令和迭代后质量改善，个别情况下原型还在人类专家写的补丁里发现问题，合并前修复。流水线最终为每份报告打包根因分析、最小崩溃概念验证、候选补丁和完整利用，交由人类研究员评估严重性后再上报维护者。
这批利用值多少钱：竞赛赏金与 kernelCTF 两种折算
目标虚拟机运行的是一款常用 Linux 发行版的默认桌面系统，未做削弱，威胁模型与 Pwn2Own、TyphoonPWN 等网络安全竞赛一致。这两项竞赛历史上给 Linux 内核 LPE 利用开出的赏金分别为 2 万美元和 7 万美元，报告中的假设估值即按这两档金额对 948 个利用逐一套算得出。OpenAI 同时说明，这项研究关注方法论和模型能力而非成本，公布的花费是上限，足够的工程优化可以明显压低每个阶段的成本。
OpenAI 还把流水线放到 Google 的 kernelCTF 漏洞奖励项目环境里跑了一遍。kernelCTF 使用攻击面被缩减的加固版内核；因最新内核与 kernelCTF 的 SLAB_VIRTUAL 缓解措施不兼容，OpenAI 在运行时从配置中去掉了该缓解。结果得到 25 个信息泄露概念验证和 21 个本地提权利用，全程 112 小时、花费约 32,936 美元，其中漏洞发现占 API 成本的 83.7%。作为对照，截至报告写作时，kernelCTF 2026 年全年接受的确认 0-day（披露时尚无补丁的漏洞）LPE 利用为 26 个。OpenAI 称，若这 21 个漏洞被项目接受，对应约 150 万美元赏金，约为扫描成本的 45 倍；按公开赏金额计算，这条流水线在研究当时是净盈利的。报告的结论是：防御者应主动分析自己的软件，把攻击成本抬到不可承受。
至少 10 种利用技术此前未见，智能体也踩过「用错 0-day」的坑
OpenAI 从这次运行产出的利用中抽样 166 个进行分析，其中用到 10 种新型 Linux 利用技术；OpenAI 把这些技术交给第三方内核利用专家，对方也称没有见过。按报告的归类，包括 2 种用于在目标内核缓存中喷洒对象的新型持久弹性对象、2 种提高利用可靠性的新页面整形（page grooming）技术、5 种直接或借助任意写达成提权的纯数据（data-only）技术，以及 1 种任意类型混淆。出于安全考虑，OpenAI 未公布技术细节。报告据此提出：前沿模型不只是在匹配已知的漏洞代码模式，还能发现并修补超出已知技术的新利用方法。
自主运行也有出错的时候。早期一次运行中，利用阶段报告了 200 个成功的本地提权利用；人工复核发现其中 20 个其实是通过另一个未被指派的 0-day 漏洞拿到 root 的。OpenAI 随后收紧任务约束，并增加独立检查，确认每个最终利用用的都是被指派的那个漏洞。在 kernelCTF 运行中还有一处意外：被指派分析系统调用入口代码的智能体遇到一次意料之外的内核崩溃，在没有 QEMU 源码的情况下把问题追溯到测试基础设施 QEMU 的 TCG 组件，随后开发出利用——该漏洞在 QEMU 上游已修复，但实验时所用的构建尚未包含修复。OpenAI 称其已主动测试自身基础设施，向 Kata、Moby/Docker、gVisor 等项目披露并修复了多个漏洞。
从 GPT-5.6 Sol 到新一代 cyber 模型：每换一代就重扫一遍
这条流水线是逐轮扩出来的。6 月，作为 Patch the Planet 计划的一部分，OpenAI 用 GPT-5.5 Cyber 找到 Linux 内核漏洞并开发 24 个本地提权利用，用于验证和上报。7 月下旬，GPT-5.6 Sol 在一次端到端运行中找到并利用 166 个独立 LPE 漏洞，花费 513,690 美元。10 月中旬这次，新一代 cyber 模型找到并利用了 948 个独立 LPE 漏洞，总成本 1,213,430 美元；两次扫描的都是当时的最新 master 分支，中间隔了三个月的内核加固，发现量仍是 7 月的 5 倍以上。OpenAI 的判断是：模型能力升级后要重扫已审计过的代码，同一套研究框架下更强的模型能找到上一代漏掉的东西；大型软件项目大概率需要多轮「扫描—修复」才能清完潜伏漏洞，这一循环对专有软件和开源软件同样适用。
模型迭代也改变了编排层的设计。GPT-5.5 Cyber 不能稳定判断何时、如何套用已有利用技术，OpenAI 把 103 种技术整理成模型友好的格式放进环境，在 63 个利用候选上把成功率从 76.2% 提到 88.9%；换成 GPT-5.6 Cyber 后，模型自己就能找到并选用合适技术，去掉重型编排反而表现更好，把技术层加回去只带来 1.5 个百分点的边际提升。OpenAI 的建议是：脚手架要随基础模型能力重新评估，对上一代有用的辅助层，对下一代可能只剩维护成本。
十天之内 61 个漏洞获上游修复，报告仍在送出
报告称，当自主扫描加人工分析在 10 天后收尾时，OpenAI 观察到 61 个 LPE 已被上游修复，43 个有暂存补丁（staging patch），另有 299 个正在公开报告和讨论中。报告向参与修复的维护者和安全社区致谢，并称这种披露与修复节奏说明用户和公司必须及时更新软件。
按 Linux 内核社区的建议，OpenAI 称已送出数百份关键漏洞的报告和补丁，其余漏洞正与 Patch the Planet 伙伴逐步送出补丁；Patch the Planet 隶属 OpenAI 的 Daybreak 开源支持计划，目标是把这套研究扩展到更多关键软件项目。报告同时给出对防御者的中短期判断：一台没打齐补丁的操作系统上的低权限账号，对资源充足的攻击者而言应被视为功能上等同于 root 权限，Firecracker、gVisor 这类沙箱与隔离方案是限制漏洞波及范围的重要手段。
这次运行背后的 cyber 模型叫什么、何时发布，OpenAI 尚未公布；948 个候选补丁能否通过维护者审核，也待后续验证。OpenAI 表示，报告与补丁工作正在与 Linux 维护者及 Patch the Planet 伙伴推进。