OpenAI 用 cyber 模型自动化挖掘并修补 948 个 Linux 内核本地提权漏洞

少了上千条通往 root 的路径

我们开发了一套自主的漏洞发现、利用与修补流水线。在一次使用我们网络模型的运行中，它为 Linux 中 948 个本地权限提升漏洞完成了验证并生成了补丁，API 成本为 120 万美元。

为什么选择 Linux 内核

过去，每发现一个漏洞都需要单独开展持续的研究；如今，这类安全研究正越来越多地以系统化流程来运行。本文介绍我们在这一方向上的一次尝试。

漏洞发现正变得越来越容易规模化，但优先级排序和验证仍是运营瓶颈。我们构建了一个原型，在受控研究环境中寻找 Linux 内核的安全缺陷。该原型识别并分析了 2,308 个 Linux 内核候选发现，动态复现了 1,724 个漏洞，并生成了 948 个本地权限提升（LPE）利用程序，可让无特权的本地用户获得 root 访问权限。

我们依据这些证据对漏洞进行优先级排序以便上报，并开发了候选补丁供维护者审核。按照 Linux 内核社区的指导，我们从严重漏洞入手，并正与 Patch the Planet 合作伙伴一起推进后续的报告和补丁工作。

今年 6 月，作为我们 Patch the Planet 计划的一部分，我们分享了 GPT‑5.5 Cyber 已识别出 Linux 内核漏洞，并开发了 24 个本地权限提升利用程序来验证和上报这些漏洞。我们将这项工作扩展成一条流水线，由一款即将推出的网络模型驱动，覆盖漏洞发现、动态验证、可利用性评估和补丁生成。流水线完成后，人类研究员审核了输出结果，并连同补丁一起上报了发现的漏洞。

摘要

方法

从整体上看，我们的流水线是这样运作的：首先识别出 Linux 内核中与安全相关的部分，对这些审计目标做静态扫描，找出候选问题；然后在隔离环境中动态复现这些问题；接着构造概念验证（PoC）利用程序，证明漏洞可被利用；再生成补丁；最后由人类安全研究员审核结果。
流水线的产出包括根因分析、最小化的崩溃概念验证、候选补丁，以及完整的利用程序，帮助人类研究员评估漏洞的严重程度并向上游提交修复。

发现

在 2026 年 10 月中旬的一次运行中，我们的流水线使用一个即将发布的网络安全模型，在一种常用 Linux 发行版上动态复现了 1,724 个漏洞，并为 291 个信息泄露漏洞生成了 PoC，为 948 个可用的本地提权（LPE）漏洞生成了利用程序。整次运行花费了 1,213,430 美元的 API 额度，相当于每个 LPE 利用程序 1,279 美元。
目标虚拟机运行的是原版桌面操作系统，而非被削弱的靶机，威胁模型与网络安全竞赛（如 Pwn2Own⁠(opens in a new window)、TyphoonPWN⁠(opens in a new window)）所用的一致。历史上，Pwn2Own 和 TyphoonPWN 曾为 Linux 内核 LPE 利用程序分别开出 20,000 美元和 70,000 美元的漏洞赏金。按这些历史赏金金额计算，这 948 个利用程序的理论估值可达 1,890 万至 6,630 万美元，约为我们流水线成本的 16 到 55 倍。
在改造过的 kernelCTF⁠(opens in a new window) 环境中（该环境是攻击面有所缩减的 Linux 内核版本），我们的流水线获得了 25 个信息泄露 PoC 和 21 个 LPE 利用程序。作为对比，截至本文撰写时，kernelCTF 在 2026 年共接受了 26 个已确认的 0-day LPE 利用程序。
- 这次行动在 API 额度上花费约 32,936 美元。如果这 21 个漏洞被该计划接受，将带来约 150 万美元的赏金，约为扫描成本的 45 倍。
据我们所知，这条流水线中的智能体发现并使用了至少 10 种新的 Linux 利用技术。

反思

Linux 维护者和安全社区正在努力快速发现并修复漏洞。在扫描运行的 10 天里，我们观察到有 100 多个 Linux LPE 已被修补，或已有其他贡献者提交的待合并补丁，另有约 300 个正在公开讨论中。
考虑到前沿模型发现漏洞的速度，我们认为自动生成补丁对于以所需速度保障软件安全、缩短漏洞被利用的窗口至关重要。在人类专家引导下反复迭代，我们相信 AI 生成的补丁可以在功能上正确、符合现有编码风格，并能抵御攻击变体。这是一个值得进一步研究的重要方向。
能力更强的模型能够在现有代码中发现新的漏洞，其中往往包括存在时间更长、更难以识别的问题。我们在 10 月中旬使用较新的网络安全模型所做的分析流水线，发现的新 LPE 数量是 7 月 GPT‑5.6 Sol 一次运行的 5 倍以上，尽管两次扫描之间代码已经过了三个月的加固。
大型、复杂的软件项目很可能需要多轮扫描和修复漏洞，才能把潜藏的缺陷“挖干净”。理想情况下，每推出一代新的前沿模型，都要把这个过程重做一遍。专有软件和开源软件都是如此。
在近期到中期内，只要攻击者资源充足，能在某个操作系统上拿到一个低权限账户，而该系统又没有打上最新的可用补丁，那就应当认为这实际上等同于拿到了 root 权限。纵深防御很重要，用 Firecracker、gVisor 这类沙箱和隔离方案，可以限制漏洞被利用后波及的范围。
我们相信，未来几年内，只要某个软件项目存在漏洞，前沿模型很可能就能把它们找出来；而能力稍弱的模型，也可能在漏洞披露后开发出利用手段。在一个不存在未知漏洞的世界里，构建并维护高保障软件将至关重要，尤其是操作系统、浏览器、图像解析库、TCP/IP 协议栈等核心软件。除了发现和修复现有漏洞，以下方向也值得未来研究，以有效扩展软件安全的规模：训练模型默认写出安全代码、通过移除不必要的功能来缩小攻击面，以及形式化验证。

为什么选 Linux 内核

Linux 内核支撑着 Android 设备、云基础设施、超级计算机，以及数十亿人使用的其他系统。内核代码超过 4000 万行，通过系统调用、网络、文件系统和设备驱动暴露出很大的攻击面。我们选择 Linux，是想研究前沿模型在这样规模和重要性的代码库中，能多有效地发现漏洞并证明其安全影响。

最初的漏洞发现阶段产生了数千条候选结果，数量太多，安全研究人员无法逐一人工审查和分类。我们这条漏洞发现流水线在运营上的难点不在于发现，而在于判断哪些结果可以复现、越过了哪条安全边界，以及哪些值得维护者最先关注。

成本分析

OpenAI 网络安全团队的使命是帮助保护世界所依赖的软件。我们公布每个阶段的 API 成本，帮助研究人员评估复现和扩展这项工作所需的资源。这些成本反映的是本次评估所用的模型、目标配置和工作流程。我们更宏观的目标是帮助防御方发现并修复漏洞，减少攻击者可乘之机，提高他们利用软件的成本。

最后要说明的是，这项研究关注的是方法论和衡量模型能力，而不是成本。我们预计，只要测试框架工程做得足够好，每个阶段的成本都能显著降低；因此我们报告的成本更像是一个上限。

漏洞研究流水线

我们的漏洞研究原型是一条包含五个阶段的流水线，核心是一个即将推出的网络安全模型：

漏洞发现：智能体识别代码库中与安全相关的部分，并扫描这些部分，找出候选结果。
动态验证：智能体尝试在隔离环境中复现每个候选结果，并保留运行时证据。这一步输出已复现并验证的漏洞。
可利用性评估：智能体会测试已验证的漏洞是否可能导致信息泄露或本地权限提升。
补丁生成：智能体生成针对每个已识别漏洞的补丁。
人工审查：安全研究人员在向维护者报告之前，会审查漏洞利用、补丁和建议的严重程度。

在流程的最后，系统会打包一份根因分析、一个最小化的崩溃概念验证、一个候选补丁以及一个完整的漏洞利用，以帮助人类研究人员评估漏洞的严重程度并向上游提交修复。

漏洞发现

Linux 内核中并非每一行代码都与安全相关。我们的流程使用一组 Scout 智能体来识别高价值的审计目标，然后将这些目标交给 Analyst 智能体进行漏洞扫描。

Scout 智能体

Scout 智能体会通读每个文件夹和文件，并根据目标的可达性（低权限用户可达）和安全相关性来确定要审计的目标。

这一阶段识别出 5,034 个审计目标，约 280 万行代码，大约占整个 Linux 内核代码库的 7%，与全代码库分析相比，显著降低了安全审计的成本。这一步花费了 3,426 美元的 API 额度。

动画展示了 Scout 智能体在探索 Linux 内核代码区域和审计目标。

00:00

Analyst 智能体

接下来，Analyst 智能体分析每个审计目标，并使用类似于 Codex Security 插件⁠（在新窗口中打开）的工作流程生成候选发现。概括来说，Analyst 智能体会阅读所分配审计目标的代码，以理解其工作原理、识别其威胁模型，并在其中寻找漏洞。

在 12 小时内，Analyst 智能体在去重后生成了 2,308 个候选发现。这一阶段花费了 316,549 美元的 API 额度。

漏洞验证

候选发现并不等同于已验证的漏洞。在这种规模下，手动调查每一份报告对我们的研究团队来说并不现实。

因此，我们专注于验证满足以下条件的发现：a) 低权限用户可达，b) 不需要特殊能力，c) 产生可测量的内存损坏证据。

对于每个候选发现，一个分诊智能体会生成一个概念验证，并在运行带有内核地址消毒器（KASAN）的 Linux 内核的隔离虚拟机中运行它。智能体会观察程序输出和系统控制台，然后迭代改进概念验证，直到它复现了所报告的行为，或者穷尽了触发它的潜在方式。

在 30 小时内，我们的系统复现了 1724 个漏洞，约占 2,308 个候选发现的 74.7%。仅靠静态代码审查容易产生误报，因此 Analyst 智能体的准确性以及分诊智能体在自主为近四分之三的候选发现创建可工作的概念验证方面的有效性给我们留下了深刻印象。

大多数剩余的发现要么需要提升权限，要么由于困难的竞态条件、特定的触发条件（例如，在特定行所需的分配失败）或耗时的验证（例如，引用计数回绕）而未能在时间预算内复现。只有 3.1% 反映了模型的错误分析，即所报告的漏洞假设了一个不可能的条件。

验证阶段总共花费了 73,330 美元的 API 额度。我们观察到，在验证流程中需要生成概念验证来确认候选漏洞是否真实存在，这一过程比仅基于静态分析给出建议更昂贵，而且尝试验证真阳性和假阳性的成本相近。因此，在流程中更早地剔除假阳性，能让整个过程在成本上显著更划算。

可利用性评估

验证只能确认漏洞真实存在，但无法说明它该以多高的优先级处理。例如，一个可能实现本地权限提升的漏洞，优先级就应高于一个只能造成本地拒绝服务的漏洞。面对 1,724 个已验证漏洞，接下来的任务是找出潜在安全影响最大的那些发现。

一个初步筛查智能体以静态方式审查了每份报告、崩溃日志和相关源代码。它刻意放宽了标准，以免漏掉可能严重的发现，同时过滤掉没有合理利用路径的情况。这样把结果缩小到 313 个信息泄露候选和 1,238 个本地权限提升候选。

随后，漏洞利用开发（ExploitDev）智能体在隔离的虚拟机中测试这些候选漏洞，虚拟机配置了标准 Linux 发行版默认启用的各项防护，包括 Supervisor Mode Execution Prevention（SMEP）、Supervisor Mode Access Prevention（SMAP）、Kernel Address Space Layout Randomization（KASLR）和 HARDENED_USERCOPY。这有助于避免得出依赖关闭防护的不切实际评估。

这些智能体为信息泄露漏洞生成了 291 个概念验证，并开发出 1,169 个可用的本地权限提升利用程序，能让无特权的本地用户获得 root 权限。

我们进行了变体分析，并针对这些利用程序背后的漏洞开发出 948 个不同的补丁。我们用这个数字来确定唯一 LPE 的总数。成功利用程序的平均开发成本为 359 美元额度。对防御方来说，测试已发现漏洞的可利用性因此相对便宜。

初步漏洞筛查智能体花费了 44,194 美元的 API 额度。利用阶段总共花费 775,929 美元 API 额度，其中处理信息泄露候选花费 84,929 美元，处理本地权限提升候选花费 691,000 美元。

平均而言，处理一个本地权限提升候选（558 美元）的成本大约是处理一个信息泄露候选（271 美元）的两倍。这是因为信息泄露的概念验证是从验证阶段延续下来的，改造成可用利用程序所需的修改较少。另一方面，从 LPE 候选开发利用程序需要许多额外步骤，例如制定利用策略、识别可利用的脆弱对象、绕过缓解措施等。我们还注意到，不成功的利用尝试（69 个案例花费 3,922 美元）比成功的尝试（1,169 个案例花费 360 美元）成本高得多。这源于少数难以利用的漏洞（例如竞态条件）。设定合理的放弃条件，例如在一小时内没有进展就停止尝试，本可以显著降低 ExploitDev 的成本。

补丁生成

对于每一个通过验证的漏洞，系统还会生成补丁。我们向模型提供相关源代码，并用补丁编写的最佳实践来提示它，例如对补丁执行静态检查、遵循附近代码所用的软件开发实践，以及进行变体分析以确保补丁完整。

按照 Linux 内核社区的建议，我们已经发出了数百份针对严重漏洞的报告和补丁，并正与 Patch the Planet 的合作伙伴一起，逐步发出其余漏洞的补丁。这项工作是我们支持开源项目的更广泛 Daybreak 承诺的一部分。

发现

在本节中，我们分享本次研究中的经验、思考与补充分析。

维护者正在迅速修补漏洞

在本次研究期间，我们观察到 Linux 维护者正在迅速修复漏洞、保护用户。扫描于 2026 年 10 月中旬在最新的 Linux 内核上进行。当自动扫描和人工分析在 10 天后结束时，已有 61 个 LPE 在上游完成修补，43 个已有待合入的补丁，另有 299 个正在被公开报告和讨论。

我们非常感谢一直紧急修补已发现问题 Linux 维护者，也感谢更广泛的安全社区贡献他们的发现。这种集体响应正是保障全球软件安全所需要的。漏洞披露和修补的快速节奏也凸显了用户和企业保持软件更新的重要性。

要点：自动分诊应把快速的修补周期考虑在内。对照最新代码（包括原始扫描之后合入的新代码）重新验证发现，有助于避免重复或过时的报告。这样可以把注意力集中在尚未解决的漏洞上，并让维护者获得可据以行动的证据，而不必增加不必要的审查负担。

更强的模型能发现更多漏洞

在开发这条流水线期间，2026 年 7 月下旬，GPT‑5.6 Sol 发现并利用了 166 个独特的 LPE 漏洞，端到端 API 额度成本为 513,690 美元。

在 2026 年 10 月中旬的第二次扫描中，更新的网络模型发现并利用了 948 个独特的 LPE 漏洞，端到端 API 额度成本为 1,213,430 美元。两次行动中，我们都扫描了当时最新的 Linux 内核 master 分支。

要点：随着模型能力提升，应重新扫描此前审计过的代码。即使使用同一套研究框架，能力更强的模型也可能发现早期模型遗漏的漏洞。

新颖的利用技术

我们抽样分析了智能体开发的 166 个利用程序，并分析了其中使用的利用技术。据我们所知，智能体在抽样利用程序中使用了 10 种新的利用技术。我们与第三方内核利用专家分享了这些利用技术，对他们来说这些技术同样是新的。

在这 10 种技术中，有两种是新的持久弹性对象，模型用它们在目标内核缓存中喷射对象；两种是新的页 grooming 技术，用于提高利用可靠性；五种是新的纯数据技术，可直接或通过任意写获得权限提升；另一种技术涉及任意类型混淆。出于安全考虑，本文不分享这些新利用技术的完整技术细节。

要点：前沿模型并不只是匹配已知的漏洞代码模式，也不只是套用已知的利用手法；它们展现出了创造力和新颖的思路。

防御方可以从利用成本中学到什么

我们团队的一项重要使命，是衡量发现和利用漏洞的成本，并用这些证据来指导防御投入。我们的目标是帮助防御方在攻击者利用漏洞之前就完成修复，并让攻击者利用软件的成本高到无法承受。衡量利用成本，有助于我们评估随着模型能力提升，这一挑战会如何变化。本节中，我们将流水线运行的成本与漏洞赏金计划针对所发现漏洞给出的奖励进行对比。

实验中的目标虚拟机运行的是标准桌面操作系统，并非被削弱的靶机，所采用的威胁模型与网络安全竞赛（例如 Pwn2Own⁠(opens in a new window)、TyphoonPWN⁠(opens in a new window)）一致。历史上，Pwn2Own 和 TyphoonPWN 针对 Linux 内核本地提权漏洞分别提供 2 万美元和 7 万美元的赏金。按这些历史赏金金额计算，948 个利用可对应 1890 万至 6630 万美元的假设估值，约为我们流水线成本的 16 到 55 倍。

我们还用流水线测试了 Google 的 kernelCTF⁠(opens in a new window) 漏洞奖励计划，该计划的目标是经过加固、攻击面缩减的 Linux 内核。我们在 kernelCTF 环境中，针对最新版本的 Linux 内核运行了流水线（该版本与 kernelCTF 的 SLAB_VIRTUAL 缓解措施不兼容，因此我们从配置中去掉了它），获得了 25 个信息泄露概念验证和 21 个本地提权利用。作为对比，截至本文撰写时，kernelCTF 在 2026 年已接收 26 个经确认的 0-day 本地提权利用。整个行动共持续 112 小时，API 费用约为 32,936 美元，其中漏洞发现占 API 成本的 83.7%。如果这 21 个漏洞被该计划接收，将带来约 150 万美元的赏金，约为成本的 45 倍。

要点：根据公开的赏金金额，在当前的网络能力模型下，我们的漏洞研究流水线在本研究进行时是净盈利的。防御方应主动分析自己的软件，让攻击者的利用成本高到无法承受。

用错了 0-day

在可利用性评估阶段，ExploitDev 智能体会拿到一份漏洞报告，任务是编写一个功能完整的利用程序。只要成功获得 root shell，流水线就会将该漏洞标记为已被利用。在一次早期运行中，利用阶段报告了 200 个成功的本地提权利用。但经人工复核，我们发现其中 20 个是通过另一个 0-day 漏洞获得 root 权限的，而非分配给它的那个漏洞。这说明，即便是智能体成功完成的利用，也需要经过恰当验证。

随后我们收紧了任务约束，并增加了一项独立检查，确认每个最终利用程序使用的都是分配给它的漏洞。

要点：对于自主安全研究，除了验证结果本身，还要验证达成结果的路径；隔离、监控和独立检查都是必要的控制措施。

能力更强的模型，所需的编排反而可以更轻

在这项研究的早期，我们探讨了一个设计决策：是否要在智能体周围搭建重型编排，以提升其网络攻防能力。结果发现，模型越强，所需的编排和手把手引导就越少；而且这点边际提升也抵不上维护成本。因此，我们决定去掉重型编排。

实验对比了 GPT‑5.5 Cyber 和 GPT‑5.6 Cyber。观察中我们发现，GPT‑5.5 Cyber 无法稳定判断何时、以何种方式运用现有的 Linux 内核漏洞利用技术。于是我们把 103 项技术整理成模型友好的格式，放进智能体的环境中，并提示它去使用。在 63 个漏洞利用候选上，成功率从 76.2% 提升到 88.9%。

用 GPT‑5.6 Cyber 重复这一实验时，模型能更好地自行找到、选择并应用相关技术。我们移除了技术/技能编排，这套轻编排的 GPT‑5.6 Cyber 流程反而胜过了脚手架更重的 GPT‑5.5 Cyber 流程。给 GPT‑5.6 Cyber 加回那层额外技术后，只带来 1.5 个百分点的边际提升。

要点：基础模型能力变化时，要重新评估你的编排和测试框架。对某一代模型有明显帮助的脚手架，对更强的模型可能价值不大，应权衡其维护成本。

迭代能提升补丁生成质量

起初，直接提示模型生成候选补丁时，模型会写出功能正确的补丁，能缓解概念验证，但偶尔会引入其他问题：代码比必要的更多、带来潜在的性能折损、偏离编码规范，或者没有检查相关代码中同一漏洞的其他变体，导致补丁不完整。

在补丁生成流程中加入额外指令和迭代后，补丁质量有所提升。这说明只要处理得当，AI 生成的安全补丁有可能做到正确、精简，并符合现有代码规范。这是一个活跃的研究方向，我们相信未来的模型会让这件事更容易、更有效。在少数情况下，我们的研究原型还能发现人类专家所写补丁中的问题，并在合并前修复。

要点：模型可以加速打补丁的过程，但打补丁的技能和测试框架可能需要迭代，才能确保补丁可靠地满足功能与非功能要求。此外，我们建议用模型对人工和 AI 生成的补丁做对抗性审查，这能发现补丁可被绕过、遗漏其他攻击路径或变体等问题。

测试基础设施中的漏洞

在本次 kernelCTF 测试中，除了 21 个 Linux 内核 0-day 漏洞利用之外，我们的研究原型还发现并利用了一个 QEMU TCG 漏洞。分析智能体被指派分析系统调用入口代码，在编写程序试验特权转换时，它遇到了意外的内核崩溃。它对该崩溃进行了分类排查，并在无法访问 QEMU 源代码的情况下将问题追溯到 QEMU TCG，随后把该漏洞写入了报告。之后，漏洞利用开发智能体成功为此漏洞开发了一个本地提权利用程序。我们是在人工分析这些漏洞利用时发现这个 QEMU 漏洞的，并确认该漏洞已在上游 QEMU 中修复，但在实验所用的发布版本中尚未修复。

要点：具备前沿网络能力的模型能够发现测试基础设施中的漏洞。我们建议在开展攻击性漏洞研究之前，先对基础设施的每个部分进行测试。我们已经主动测试了自身基础设施，披露并修复了 Kata、Moby/Docker、gVisor 及其他项目中的许多漏洞。

结论

我们的目标是让不断增强的模型能力，成为保护互联网的人们的一项持久优势。这项研究表明，前沿模型日益增长的网络能力可用于有效寻找复杂软件（如 Linux 内核）中的漏洞。加固 Linux 等关键软件项目及其他开源项目，可以保护众多下游系统和用户。

通过 Patch the Planet——一项 Daybreak 计划——我们希望将这项研究扩展到更多关键软件项目，并与维护者和安全合作伙伴共同开发可靠的自动化修补方案。我们希望稳步减少攻击者可利用的机会，提高发现和利用漏洞的成本，直到预期收益不再足以支撑攻击。

每一代模型都应帮助我们构建出下一代模型更难攻破的软件。我们将继续努力，打造一个人人都能乐于在其上构建的安全互联网。

2026

作者

OpenAI