In questo articolo Indice dei contenuti 2 sezioni
OpenAI ha scovato 948 vulnerabilità nel kernel di Linux sfruttando un nuovo modello AI con capacità cyber avanzate, di cui per ora non è stato rivelato il nome. Si sa soltanto che si tratta di una versione più evoluta di GPT 5.5 Cyber, lo strumento che a giugno aveva permesso di individuare 24 falle. Questa volta il risultato è arrivato grazie a una pipeline multistadio che ha coinvolto agenti AI e, solo nell’ultimo passaggio, revisori in carne e ossa.
Il lavoro si è svolto in un ambiente controllato, dove gli agenti hanno analizzato circa 2,8 milioni di linee di codice del kernel Linux. Sembra tanto, ma corrisponde più o meno al 7% del totale, visto che il codice complessivo supera i 40 milioni di righe. Il modello impiegato verrà annunciato a breve dall’azienda californiana.
Una pipeline in cinque fasi per trovare e correggere le falle
Il processo messo a punto da OpenAI si articola in cinque stadi distinti. Si parte dalla scoperta delle vulnerabilità e si passa poi alla validazione e alla valutazione degli exploit, per arrivare alla generazione delle patch e infine alla revisione umana. Le prime quattro fasi richiedono naturalmente l’accesso al modello tramite API.
Nella fase iniziale gli agenti AI hanno segnalato 2.308 possibili vulnerabilità in circa 12 ore. Il passaggio successivo, durato circa 30 ore, ne ha confermate 1.724, mentre il resto si è rivelato un insieme di falsi positivi. Scendendo nel dettaglio, 313 falle validate consentono la divulgazione di informazioni, i cosiddetti leak, e altre 1.238 permettono di ottenere i permessi root attraverso un’elevazione di privilegi.
A quel punto gli agenti hanno scritto il codice dei proof of concept, cioè gli exploit veri e propri. Ne sono stati prodotti 291 per la prima categoria e 1.169 per la seconda. L’ultimo tassello automatizzato è stato la stesura delle patch per 948 vulnerabilità di tipo LPE, sigla che sta per Local Privilege Escalation.
Quanto è costata l’operazione e quanto vale sul mercato
Sul fronte economico i numeri sono piuttosto interessanti. OpenAI ha speso complessivamente circa 1,05 milioni di euro, vale a dire intorno ai 1.100 euro per ciascuna vulnerabilità LPE individuata. Una cifra che va letta accanto ai premi distribuiti dalle competizioni più conosciute del settore, come Pwn2Own e TyphoonPWN, dove falle di questo genere vengono ricompensate con somme comprese tra circa 17.000 e 60.000 euro.
Facendo due conti, il valore complessivo delle 948 scoperte oscillerebbe tra circa 16 e 57 milioni di euro. Praticamente parliamo di una cifra che va da 16 a 55 volte il costo sostenuto per far girare l’intera pipeline basata sul nuovo modello AI.
Tutte le vulnerabilità sono state segnalate agli sviluppatori. Nei 10 giorni in cui si è svolta la ricerca ne sono già state corrette oltre 100, mentre altre 300 risultano ancora in discussione. Gli agenti hanno inoltre messo in campo 10 nuove tecniche per sfruttare le falle del kernel di Linux, che per ovvie ragioni l’azienda californiana ha scelto di non descrivere.
Fonte: TecnoAndroid