OpenAI: 948 ranljivosti Linux za pridobitev pravic root

Raziskava kaže, kako hitro lahko AI preverja varnost operacijskih sistemov

OpenAI je z avtomatiziranim sistemom potrdil 948 različnih ranljivosti jedra Linux za lokalno zvišanje privilegijev in pripravil predloge popravkov. Gre za rezultate nadzorovanih preizkusov, ne za potrjene vdore ali že nameščene popravke.

OpenAI je 4. novembra 2026 objavil rezultate raziskave, v kateri je poseben sistem agentov umetne inteligence analiziral izvorno kodo jedra Linux. V preizkusu sredi oktobra je sistem samodejno iskal napake, preverjal, ali jih je mogoče sprožiti, razvijal preizkuse njihovega izkoriščanja in pripravljal predloge popravkov. Končne ugotovitve so pregledovali človeški varnostni raziskovalci, ki so sodelovali tudi pri prijavi ranljivosti vzdrževalcem projekta.

To ni poročilo o množičnem vdoru v računalnike Linux. Raziskava predvsem kaže, kako se spreminjata hitrost odkrivanja resnih programskih napak in obseg dela, ki ga morajo opraviti razvijalci ter skrbniki sistemov. Podobno vprašanje, kako slediti čedalje hitrejšemu odkrivanju napak, je iVarnost že obravnaval v članku o upravljanju ranljivosti.

Kaj so raziskovalci dejansko potrdili?

Raziskovalni sistem je po začetnem izboru delov kode ustvaril 2.308 kandidatov za ranljivosti. V izoliranih navideznih računalnikih je uspel dinamično ponoviti 1.724 primerov, kar je približno tri četrtine začetnih ugotovitev. Ta del preverjanja je trajal okoli 30 ur, vendar to ni čas trajanja celotnega raziskovalnega postopka, kot bi lahko sklepali iz nekaterih naslovov.

Pri nadaljnjem preverjanju izkoristljivosti so agenti izdelali 291 dokazov koncepta za razkritje informacij in 1.169 delujočih preizkusov lokalnega zvišanja privilegijev. Ker se je več izkoristkov lahko nanašalo na isto osnovno napako, je OpenAI po analizi različic in pripravi 948 različnih predlogov popravkov poročal o 948 različnih ranljivostih za lokalno zvišanje privilegijev. Številki 1.169 in 948 torej ne opisujeta iste stvari.

Predhodni izbor je zajel 5.034 varnostno zanimivih delov kode oziroma približno 2,8 milijona vrstic, okoli sedem odstotkov celotnega jedra. Raziskava ni bila popoln pregled vse izvorne kode Linuxa. V preteklosti je iVarnost na konkretnem primeru ranljivosti Copy.Fail že pojasnil, kako lahko posamezna napaka v jedru omogoči pridobitev najvišjih pravic.

Kaj pomeni lokalno zvišanje privilegijev do pravic root?

Lokalno zvišanje privilegijev pomeni, da lahko oseba ali program z omejenimi pravicami na ranljivem sistemu pridobi višje, potencialno skrbniške pravice. V Linuxu uporabnik root praviloma omogoča najširši nadzor nad sistemom, vključno z dostopom do zaščitenih datotek in spreminjanjem ključnih nastavitev. Pri takšnem napadu je zato pomembna razlika med začetnim dostopom do sistema in poznejšim prevzemom njegovih najvišjih privilegijev.

Lokalni izkoristek sam po sebi še ne pomeni, da lahko kdorkoli brez predhodnega dostopa prevzame strežnik prek interneta. Napadalec običajno potrebuje možnost izvajanja kode z omejenimi pravicami, ki jo lahko pridobi po drugi poti. Posledice so lahko posebej resne na skupnih strežnikih, razvojnih okoljih in sistemih, kjer več uporabnikov ali storitev uporablja isto jedro. Zato je poleg popravkov pomembno tudi omejevanje privilegiranih dostopov.

Kako je potekalo avtomatizirano iskanje ranljivosti?

Postopek je združil pet faz: izbor varnostno pomembne kode, iskanje sumljivih napak, dinamično preverjanje, preizkušanje izkoristljivosti in pripravo popravkov s človeškim pregledom. Agenti so v laboratorijskih navideznih računalnikih uporabljali tudi orodja za zaznavanje napak pri delu s pomnilnikom. Pri poskusih pridobitve pravic root so bile vključene običajne zaščite jedra, med drugim KASLR, SMEP in SMAP, zato rezultati niso temeljili zgolj na umetno oslabljenem okolju.

Varnostni raziskovalci so morali preverjati tudi, katero napako je agent v resnici izkoristil. V zgodnejšem preizkusu je namreč 20 od 200 domnevno uspešnih izkoristkov pridobilo pravice root prek druge ranljivosti od dodeljene. OpenAI je zato dopolnil neodvisno preverjanje poti izkoriščanja. Primer jasno kaže, zakaj uspešen laboratorijski rezultat brez strokovne validacije še ni zadosten dokaz za pravilno razlago napake.

Podjetje je že prej predstavilo Codex Security, vendar je tokratni projekt usmerjen posebej v sistematično preverjanje izkoristljivosti napak v jedru Linux. Po navedbah OpenAI so raziskovalci pri pregledu vzorca 166 izkoristkov prepoznali najmanj deset po njihovem vedenju novih tehnik izkoriščanja. OpenAI je predstavil vrste teh tehnik, ni pa javno razkril podrobnosti njihove izvedbe.

Ali so bile vse odkrite ranljivosti že odpravljene?

Vsega odkritega še ni mogoče enačiti z že nameščenimi varnostnimi popravki. Avtomatizirani sistem je pripravil predloge, ki morajo prestati človeški pregled, preverjanje vpliva in običajen postopek sprejema v Linux. Po podatkih OpenAI je bilo ob zaključku oktobrskega pregleda 61 ranljivosti že odpravljenih v glavni razvojni veji, 43 jih je imelo pripravljene popravke v postopku vključevanja, o 299 pa je potekala javna razprava oziroma prijava.

OpenAI navaja, da je vzdrževalcem že posredoval več sto poročil in popravkov ter nadaljuje usklajevanje prek pobude Patch the Planet. Te številke opisujejo stanje med raziskavo, ne nujno trenutnega stanja vsake posamezne napake. Tudi dokumentacija projekta Linux zahteva natančno določitev prizadetih različic in preverjanje, ali je bila težava medtem že odpravljena. Zato za zdaj ni strokovne podlage za trditev, da je 948 ranljivosti že odpravljenih ali da je vseh 948 prisotnih v vsaki distribuciji.

Zakaj so rezultati pomembni tudi za slovenska podjetja?

Jedro Linux poganja velik del strežniške, oblačne in druge digitalne infrastrukture, vendar se konkretna izpostavljenost razlikuje glede na različico jedra, konfiguracijo in uporabljene funkcije. Iz samega raziskovalnega poročila zato ni mogoče sklepati, da so enako ogroženi vsi strežniki, telefoni Android ali omrežne naprave. Posebno pozornost zahtevajo okolja, v katerih lahko uporabniki ali storitve izvajajo lastno kodo z omejenimi pravicami.

Celoten oktobrski raziskovalni postopek je po navedbah OpenAI porabil za približno 1,21 milijona ameriških dolarjev kreditov API, kar ustreza približno 1.279 dolarjem na ugotovljeno različno ranljivost za lokalno zvišanje privilegijev. Gre za strošek računskih klicev v konkretnem eksperimentu, ne za celotno ceno odprave vseh napak. Rezultat kaže, da lahko avtomatizacija močno poveča število varnostnih ugotovitev, hkrati pa pritisk na njihovo razvrščanje in pravočasno odpravljanje. Širši razvoj je iVarnost obravnaval tudi v analizi o uporabi AI pri odpravljanju ranljivosti.

Kako naj skrbniki sistemov ukrepajo?

Za upravljavce sistemov Linux najpomembnejša naloga ostaja nadzor nad uporabljenimi različicami jedra in pravočasna namestitev preverjenih popravkov dobavitelja distribucije. Raziskava ne prinaša enega univerzalnega popravka ali seznama, iz katerega bi bilo mogoče brez dodatne analize določiti prizadetost vsakega sistema. Organizacije morajo zato obravnavati tako preprečevanje novega izkoriščanja kot možnost, da bi napadalec na že kompromitiranem sistemu z lokalno ranljivostjo pridobil višje pravice.

Popis in posodobitve: preveriti različice jedra ter spremljati varnostna obvestila za konkretno distribucijo in njene pakete.
Najmanjše potrebne pravice: omejiti lokalne račune, izvajanje nepotrebne kode in privilegije storitev ter uporabiti izolacijo delovnih obremenitev.
Preverjanje sprememb: nove popravke preskusiti v ustreznem okolju, nato preveriti njihovo namestitev in po potrebi izvesti ponovni zagon.
Odzivanje na incidente: ob znakih kompromitacije pregledati dnevnike, privilegirane aktivnosti in obstojnost napadalčevega dostopa; samo posodabljanje jedra ne odpravi morebitnega že vzpostavljenega vdora.

Umetna inteligenca spreminja tudi tempo varnostne obrambe

Raziskava OpenAI kaže, da umetna inteligenca lahko poveže odkrivanje napak, njihovo laboratorijsko dokazovanje in pripravo popravkov v enoten proces, vendar ne odpravi potrebe po človeškem preverjanju. Bolj kot posamezna številka 948 je pomemben premik: vzdrževalci in uporabniki programske opreme se bodo morali odzivati na bistveno več strokovno preverjenih ugotovitev v krajšem času. Tudi britanski NCSC v letnem pregledu za leto 2026 izpostavlja razvoj neprekinjene, z umetno inteligenco podprte kibernetske obrambe.

Za podjetja je sporočilo predvsem operativno. Varnostni pregledi, upravljanje ranljivosti, nadzor privilegijev in odzivanje na incidente morajo tvoriti povezan proces, ne posameznih nepovezanih aktivnosti. Rezultati so pomemben raziskovalni dosežek, niso pa dokaz, da je prišlo do 948 kibernetskih napadov ali da je katerakoli konkretna organizacija zaradi tega že utrpela vdor.