Bu hat 2.308 aday bulguyu inceledi, 1.724 güvenlik açığını yeniden üretti ve 948 yerel ayrıcalık yükseltme istismarı (exploit) geliştirdi.
Bu saldırılar, ayrıcalıksız bir yerel kullanıcının root erişimi elde etmesine imkân tanıyor.
Sonuçları insan araştırmacılar inceledi.
OpenAI, kritik sorunlara ilişkin yüzlerce rapor ve yamayı Linux topluluğuna şimdiden gönderdiğini, geri kalanını ise Patch the Planet ortaklarıyla kademeli olarak yayımlamak için çalıştığını belirtiyor.
Linux çekirdeği Android cihazların, bulut altyapısının ve süper bilgisayarların temelinde yer alıyor ve 40 milyondan fazla satırlık kodu geniş bir saldırı yüzeyi oluşturuyor.
Şirket maliyetleri ödül avcılığı (bug bounty) ödemeleriyle de karşılaştırdı.
Geçmiş Pwn2Own ve TyphoonPWN ödüllerini 948 istismara uygulamak 18,9 milyon ile 66,3 milyon dolar arasında varsayımsal bir değer veriyor; bu, hattın maliyetinin yaklaşık 16 ila 55 katı demek.
Google'ın sertleştirilmiş kernelCTF ortamına karşı yapılan bir denemede ise yaklaşık 32.936 dolarlık API kredisiyle 21 yerel ayrıcalık yükseltme istismarı üretildi.
OpenAI, başarılı istismarların geliştirilmesinin ortalama 359 dolara mal olduğunu söylüyor ve bildirdiği maliyetleri bir üst sınır olarak tanımlıyor.
Sistem beş aşamada çalışıyor: keşif, yalıtılmış sanal makinelerde dinamik doğrulama, istismar edilebilirlik değerlendirmesi, yama üretimi ve insan incelemesi. Keşif ajanları denetimi çekirdeğin yaklaşık yüzde 7'sine daralttı; adayların yaklaşık dörtte üçü yeniden üretildi, yüzde 3,1'i ise modelin hatalı analizinden kaynaklandı. Bakımcılar hızlı hareket etti: en güncel çekirdek üzerinde yapılan 10 günlük taramanın ardından 61 ayrıcalık yükseltme açığı ana depoda zaten yamalanmış, 43'ünün hazırlık aşamasında yaması bulunuyor, 299'u ise kamuya açık tartışmada. OpenAI ayrıca, erken dönemdeki 200 "başarılı" istismardan 20'sinin root erişimini başka, kayıtlı olmayan bir 0-day açığı üzerinden elde ettiğini bildiriyor; bu durum bağımsız kontroller eklemesine yol açtı. Ajanların, dış çekirdek uzmanları için yeni olan 10 istismar tekniği kullandığını, güvenlik gerekçesiyle teknik ayrıntıları paylaşmadığını belirtiyor. Şirket, çalışmayı Patch the Planet aracılığıyla daha fazla kritik açık kaynak projesine yaymayı planlıyor.
