OpenAI: 948 Linux-Kernel-Exploits für 1,2 Mio. Dollar Kosten

Eine von OpenAI entwickelte automatisierte Pipeline, basierend auf einem neuen Cybersecurity-Modell, identifizierte und reproduzierte 1.724 Schwachstellen im Linux-Kernel und generierte dabei 948 funktionierende Exploits zur Erlangung von Root-Rechten. Der Vorgang kostete 1,21 Millionen US-Dollar an API-Guthaben und produzierte zudem potenzielle Patches, die derzeit der Überprüfung durch Forscher unterzogen werden.

OpenAI hat eine autonome Pipeline entwickelt, die speziell dafür konzipiert ist, Schwachstellen im Linux-Kernel zu identifizieren, zu verifizieren und deren Behebung vorzubereiten. In einer einzigen Ausführung, durchgeführt Mitte Oktober mit einem noch nicht öffentlich veröffentlichten Cybersecurity-Modell, war das System in der Lage, 948 funktionierende Exploits zu erzeugen, die es einem lokalen Benutzer ohne Berechtigungen ermöglichen, Root-Zugriff zu erhalten.

Linux Kernel Exploit: Warum das wichtig ist

Die Gesamtkosten des Vorgangs belaufen sich auf 1.213.430 US-Dollar, berechnet anhand der für den Betrieb des automatisierten Systems verwendeten API-Guthaben. Die detaillierten Ergebnisse wurden in einem Blogbeitrag von OpenAI vorgestellt, der die eingesetzte Methodik, die entstandenen Kosten und die vom System demonstrierten Fähigkeiten beschreibt.

Laut OpenAI liegt das Bedeutendste nicht nur an der hohen Anzahl der identifizierten Schwachstellen, sondern an der konkreten Möglichkeit, einen beträchtlichen Teil des gesamten Prozesses zu automatisieren. Dies umfasst die Erstanalyse des Quellcodes, die Reproduktion der erkannten Probleme, die Bewertung ihrer Ausnutzbarkeit und schließlich die Generierung von Korrektur-Patches.

Der Linux-Kernel ist aufgrund seiner Größe und Komplexität ein besonders interessantes Ziel für diese Art der Forschung. Mit über 40 Millionen Zeilen Code bildet er den Kern der Betriebssysteme und Infrastrukturen, die in einer Vielzahl von Anwendungen verwendet werden – von Android-Smartphones bis hin zu Cloud-Servern und Supercomputern.

Seine Architektur weist eine große Angriffsfläche auf, die Systemaufrufe, Netzwerkfunktionen, Dateisystemverwaltung und Hardware-Treiber umfasst, was eine vollständige und umfassende Analyse erschwert. Die identifizierten Schwachstellen gehören überwiegend zur Kategorie der Local Privilege Escalation (LPE).

LPEs sind Fehler, die es einem Benutzer mit eingeschränkten Rechten ermöglichen können, höhere Berechtigungen bis hin zum Root-Level zu erlangen. Es ist wichtig hervorzuheben, dass die Ausnutzung einer LPE-Schwachstelle das Vorhandensein eines Benutzerkontos oder die Fähigkeit erfordert, Code auf dem Zielsystem auszuführen.

Der Ablauf der Pipeline gliedert sich in fünf verschiedene Phasen, wobei jede Phase spezifischen KI-Agentengruppen mit klar definierten Aufgaben übertragen wird. Die erste Phase ist der Code-Reconnaissance gewidmet: Die Scout-Agenten identifizierten 5.034 Bereiche des Kernels, die einer genaueren Prüfung bedurften, und analysierten insgesamt etwa 2,8 Millionen Zeilen Code, was rund 7 % des gesamten Projekts entspricht.

Diese Anfangsphase verursachte Kosten von 3.426 US-Dollar an API-Guthaben. Anschließend untersuchten die Analyst-Agenten die ausgewählten Bereiche und identifizierten in nur 12 Stunden 2.308 potenzielle Schwachstellen. Die Kosten für diese Aktivität waren deutlich höher und erreichten 316.549 US-Dollar.

Allerdings impliziert die bloße Meldung einer potenziellen Schwachstelle nicht zwingend ihre tatsächliche Ausnutzbarkeit. Daher führte OpenAI eine Phase der dynamischen Validierung ein. Die Triage-Agenten generierten Proof-of-Concepts (PoCs), also minimale Programme, die entwickelt wurden, um das anomale Verhalten zu reproduzieren, und führten sie in isolierten virtuellen Maschinen aus.

Diese virtuellen Maschinen nutzten einen mit KASAN (Kernel Address Sanitizer) instrumentierten Kernel, einem Werkzeug, das es ermöglicht, illegale Speicherzugriffe zu erkennen. In 30 Stunden waren die Triage-Agenten in der Lage, 1.724 Schwachstellen zu reproduzieren, was 74,7 % der ursprünglichen Meldungen entspricht.

OpenAI betont, dass nur 3,1 % der nicht validierten Kandidaten auf eine fehlerhafte Analyse des KI-Modells zurückzuführen waren, das unmögliche Bedingungen angenommen hatte. Die anderen Fälle wurden hauptsächlich aufgrund des Bedarfs an hohen Berechtigungen, der Schwierigkeit, bestimmte Race Conditions zu reproduzieren, oder der langen erforderlichen Prüfverfahren nicht bestätigt.

Die Validierungsphase verursachte Kosten von 73.330 US-Dollar. Die vierte Phase konzentrierte sich auf die Bewertung des potenziellen Einflusses der Schwachstellen und kostete 44.194 US-Dollar. Ein Auswahlagent reduzierte die Anzahl der Kandidaten auf 313 potenzielle Schwachstellen im Zusammenhang mit Informationslecks und 1.238 mögliche LPEs.

Danach versuchten die ExploitDev-Agenten, diese Schwachstellen in virtuellen Maschinen auszunutzen, die mit den Standard-Schutzmaßnahmen konfiguriert waren, die in Linux-Distributionen vorhanden sind, einschließlich SMEP, SMAP, KASLR und HARDENED_USERCOPY. Diese Sicherheitsmaßnahmen erschweren die Kompromittierung des Kernels und die Manipulation des Speichers.

Das System gelang es, 291 funktionierende Proof-of-Concepts für Informationslecks und 1.169 LPE-Exploits zu generieren. Die endgültige Zahl von 948 ergibt sich aus einer Analyse, die darauf abzielte, Exploits zusammenzufassen, die auf dieselbe zugrunde liegende Schwachstelle Bezug nahmen. Nach der Entfernung von Duplikaten identifizierte OpenAI 948 verschiedene LPEs und bereitete entsprechende Kandidaten-Patches vor.

Die teuerste Phase des gesamten Prozesses war die Entwicklung der Exploits, die etwa 64 % des Gesamtbudgets (775.929 US-Dollar) aufnahmen. Im Durchschnitt kostete die Erstellung eines erfolgreichen LPE-Exploits etwa 360 US-Dollar an API-Guthaben. Fehlgeschlagene Versuche waren deutlich teurer, wobei 69 Fälle insgesamt jeweils etwa 3.922 US-Dollar erforderten.

OpenAI präzisierte, dass das Hauptziel der Forschung darin bestand, die Fähigkeiten des KI-Modells zu messen und nicht die Kosten zu optimieren. Die angegebenen Ausgaben stellen daher eine Obergrenze dar, die durch Eingriffe in die Organisation der Agenten und die Validierungsverfahren reduziert werden könnte.

Die 948 identifizierten Schwachstellen wurden mit Korrekturvorschlägen verknüpft, was jedoch nicht bedeutet, dass alle Patches bereits von den Verantwortlichen für die Entwicklung des Linux-Kernels akzeptiert wurden. OpenAI folgte den Anweisungen der Linux-Community und begann mit den als am kritischsten eingestuften Schwachstellen.

Hunderte von Meldungen und zugehörigen Patches wurden bereits an die Maintainer gesendet, während das Unternehmen für die anderen mit den Partnern der Initiative Patch the Planet zusammenarbeitet, einem Teil des Programms Daybreak zur Sicherheit von Open-Source-Software. Inzwischen hat die Linux-Community ihre Arbeit unabhängig fortgesetzt.

Laut den von OpenAI gesammelten Daten waren in den zehn Tagen, die für die Vervollständigung der Scan- und manuellen Analyse benötigt wurden, 61 LPE-Schwachstellen bereits im Hauptzweig des Kernels behoben, weitere 43 verfügten über vorbereitete Patches und 299 waren Gegenstand öffentlicher Meldungen und Diskussionen. Dies verdeutlicht ein operatives Problem: Automatisch generierte Meldungen müssen mit dem neuesten Code abgeglichen werden, um zu vermeiden, dass bereits behobene Schwachstellen oder Duplikate von Problemen, die von anderen Forschern identifiziert wurden, an die Maintainer gesendet werden.

Was sich ändert und welche Auswirkungen es hat

Die menschliche Überprüfung bleibt daher ein wesentlicher Bestandteil des Prozesses. OpenAI entdeckte auch ein Problem in seinem eigenen Verifizierungsprozess: Während einer ersten Ausführung hatte das System 200 LPE-Exploits als erfolgreich deklariert, aber 20 davon hatten die Root-Berechtigungen durch Ausnutzung einer anderen Zero-Day-Schwachstelle erlangt als derjenigen, die den Agenten zugewiesen war.

Das Unternehmen führte anschließend unabhängige Kontrollen ein, um sicherzustellen, dass jeder Exploit tatsächlich den im Bericht angegebenen Fehler nutzt. Die Forschung bietet auch einen Vergleich mit den Fähigkeiten früherer Modelle. Ende Juli hatte GPT-5.6 Sol 166 eindeutige LPE-Schwachstellen identifiziert und ausgenutzt, mit Gesamtkosten von 513.690 US-Dollar.

Die neue Kampagne Mitte Oktober erreichte die Marke von 948 und übertraf das vorherige Ergebnis um mehr als das Fünffache, obwohl der Kernel in der Zwischenzeit zahlreiche Korrekturen erhalten hatte. Die Durchschnittskosten pro Schwachstelle sanken von etwa 3.100 US-Dollar auf 1.279 US-Dollar.

Ein weiterer relevanter Aspekt betrifft die Notwendigkeit, dem Modell spezifische Anweisungen und Werkzeuge für die Entwicklung der Exploits bereitzustellen. In den Tests mit GPT-5.5 Cyber hatte OpenAI 103 Ausnutzungstechniken in einem Format gesammelt, das von den Agenten leicht verwendet werden konnte. Bei 63 Kandidaten führte diese Integration dazu, dass die Erfolgsquote von 76,2 % auf 88,9 % stieg. Mit GPT-5.6 Cyber hingegen erwies sich das Modell als autonomer bei der Identifizierung und Anwendung der erforderlichen Techniken.

Ohne die zusätzliche Orchestrierungsschicht erreichte es eine Erfolgsquote von 92,1 %, die auf 93,6 % stieg, als die vordefinierten Techniken wieder eingefügt wurden. Die Verbesserung um nur 1,5 Prozentpunkte rechtfertigte laut OpenAI nicht die größere Komplexität des Systems. Die Agenten zeigten zudem, dass sie in der Lage sind, zuvor undokumentierte Ansätze zu entwickeln.

Bei der Analyse einer Stichprobe von 166 Exploits identifizierten die Forscher mindestens zehn neue Ausnutzungstechniken, die selbst den externen Experten, die vom Unternehmen konsultiert wurden, nicht bekannt waren. Zwei betreffen neue persistente Objekte, die verwendet werden, um die Kernel-Caches zu füllen, zwei neue Techniken zur Verwaltung von Speicherseiten, fünf Methoden basierend auf Datenmanipulation und einen Ansatz, der die Typverwirrung ausnutzt. OpenAI hat die technischen Details nicht veröffentlicht, um mögliche offensive Aktivitäten nicht zu erleichtern.

Um das Potenzial der Technologie zu bewerten, verglich OpenAI die Kosten seiner Pipeline mit den historisch von einigen Sicherheitswettbewerben angebotenen Prämien. Pwn2Own und TyphoonPWN hatten in der Vergangenheit jeweils 20.000 und 70.000 US-Dollar für LPE-Exploits des Linux-Kernels anerkannt. Wendet man diese Beträge auf die vom System entwickelten 948 Exploits an, ergibt sich eine theoretische Bewertung zwischen 18,9 und 66,3 Millionen US-Dollar.

Dies ist ein Wert, der das Kosten der Kampagne um das 16- bis 55-fache übersteigt, auch wenn er keinen tatsächlichen Ertrag darstellt und nicht impliziert, dass alle Schwachstellen von den Bug-Bounty-Programmen akzeptiert worden wären. Ein zweiter Test betraf kernelCTF von Google, ein Programm, das eine Version des Kernels mit reduzierter Angriffsfläche verwendet.

In dieser Umgebung produzierte die Pipeline 25 Proof-of-Concepts für Informationslecks und 21 LPE-Exploits, wobei insgesamt 112 Stunden und 32.936 US-Dollar an API-Guthaben aufgewendet wurden. Im Jahr 2026, zum Zeitpunkt der Veröffentlichung des Berichts, hatte kernelCTF 26 Zero-Day-LPE-Exploits akzeptiert. Wenn alle 21 von OpenAI identifizierten Schwachstellen dem Programm beigetreten wären, hätten sie Prämien in Höhe von etwa 1,5 Millionen US-Dollar generieren können, was etwa das 45-fache der Forschungskosten entspricht.

Während dieser zweiten Kampagne identifizierten die Agenten auch eine Schwachstelle im für die Tests verwendeten QEMU-TCG-Emulator. Das Problem wurde rekonstruiert, ohne dass die Agenten auf den Quellcode von QEMU zugriffen, und wurde anschließend ausgenutzt, um eine lokale Privilegieneskalation zu erreichen. Die manuelle Analyse ermöglichte es festzustellen, dass der Fehler bereits im Hauptzweig des Projekts behoben war, aber nicht in der Version, die im Experiment verwendet wurde.

Die Schlussfolgerungen von OpenAI betreffen direkt das Management von Linux-Systemen. Laut dem Unternehmen sollte ein Konto mit eingeschränkten Rechten auf einem nicht aktualisierten System kurz- und mittelfristig unter bestimmten Bedingungen als weitgehend äquivalent zu einem Root-Zugriff für einen Angreifer mit angemessenen Ressourcen betrachtet werden. Das Risiko ist besonders relevant in Umgebungen, in denen mehrere Benutzer oder Anwendungen dieselbe Infrastruktur teilen, wie Hosting, Server, Runner für die kontinuierliche Integration und Hosts, die Container ausführen.

In diesen Kontexten kann eine LPE-Schwachstelle es einem Angreifer ermöglichen, der bereits einen eingeschränkten Zugriff erhalten hat, den gesamten Computer zu kompromittieren. Um die Folgen eines möglichen Exploits zu reduzieren, weist OpenAI auf die Bedeutung hin, den Kernel rechtzeitig zu aktualisieren, die Codeausführung auf sensiblen Maschinen einzuschränken und Isolationssysteme wie Firecracker und gVisor zu verwenden.

Die Installation eines Patches muss außerdem, wenn erforderlich, von einem Neustart des Systems gefolgt sein, damit der korrekte Kernel tatsächlich geladen wird. Die Forschung hebt auch die Notwendigkeit hervor, Scans regelmäßig durchzuführen. Fortgeschrittenere Modelle können Fehler identifizieren, die früheren Generationen entgangen sind, und in komplexen Projekten könnten mehrere Iterationen von Analyse und Korrektur erforderlich sein, um die Anzahl der noch vorhandenen Schwachstellen schrittweise zu reduzieren.

Quelle und weiterführende Informationen zu Linux Kernel Exploit: Originalartikel.

Weitere Meldungen zu Linux Kernel Exploit finden Sie in den aktuellen Technik-News von HWReady.

* Inhalt erstellt mit Unterstützung von Systemen der künstlichen Intelligenz.