OpenAI съобщава за 948 локални грешки на root в Linux

Какво обхваща този видеоклип

• Локалното ескалиране на привилегии започва с вече присъстващ непривилегирован локален потребител, достигащ root. Докладът не дава специфично за машината решение за отдалечен достъп.
• Процесът е произвел 2308 кандидата след първоначална дедупликация и е възпроизвел 1724 уязвимости. Окончателните 948 уникални локални открития използват броя на различни кандидат-кръпки след вариационен анализ на 1169 успешни оценки.
• Отчетените 1,2 милиона долара са API кредити за оценените модели, цели и работен процес. Историческите оценки на награди за откриване на грешки са хипотетични и изискват отделно приемане и плащане по програма.
• Базисният момент е средата на октомври 2026 г. Цифрите 61-нагоре по веригата/43-в процес на разработка описват завършването на изследването след десет дни, така че текущите съвети за дистрибуция остават необходими.
• 20 от 200 успешни резултата от ранна серия са използвали различна слабост от присвоената. OpenAI съобщава, че е добавил независима проверка на присвоения път; този ранен дефект не установява, че окончателните 948 са фалшиви. Решението е било НЕОБХОДИМ ПРЕГЛЕД с човешки преглед на кръпките и проверки на пътя.

Преведен препис

Преведено от оригиналния английски разказ. Наличните аудио и субтитри се контролират от YouTube.

Какво всъщност означава броят на грешките в Linux на OpenAI?

0:00 Намирането на недостатък в Linux звучи като неговото отстраняване. OpenAI съобщава за деветстотин четиридесет и осем локални открития на root и кандидат- кръпки, на стойност около един милион и двеста хиляди долара в API кредити. В това видео, какво е важно? Какво откри човешкият преглед? Има ранен тест, при който машините наистина са получили root достъп, а таблото за резултати все още е приписвало грешното нещо. Ще видим какво са открили човешките рецензенти.

0:20 Четвъртък е, пети ноември, и това е The Daily Diff.

Чий достъп може да стане root?

0:24 Ядрото на Linux е сърцевината, която управлява ресурсите и разрешенията на машината. Ескалиране на локални привилегии означава, че вече присъстващ, непривилегирован потребител достига root, най-високата привилегия. OpenAI проучи тази граница в изолирани изследователски машини. Получаването на достъп до машина е отделен проблем. OpenAI публикува изследването на четвърти ноември, описвайки предстоящ кибер модел в автоматизиран процес. Полезният резултат е набор от открития с доказателства и предложени корекции за

0:49 хората да прегледат. Докладът не обявява общ достъп до този предстоящ модел. Това оставя много човешка работа в автономната история. Изследователите прегледаха резултатите и започнаха да съобщават за критични уязвимости с кръпки, следвайки указанията на общността на ядрото. Агентите могат да напълнят пощенската кутия. Все още някой трябва да реши какво заслужава да бъде в нея. Процесът започна с части от ядрото, свързани със сигурността,

Как един кандидат става доказателство?

1:10 след което произведе около две хиляди и триста кандидат-открития след премахване на дубликати. Кандидатът е подозрение, което си струва да се разследва. В този момент, убедителен параграф и действителна възпроизводима слабост все още изглеждат досадно сходни в електронна таблица. Затова отделен етап се опита да възпроизведе suspected problems в изолирани машини, запазвайки доказателства за случилото се. OpenAI съобщава за приблизително хиляда и седемстотин възпроизведени уязвимости. Това установява поведение, което изследователите могат да инспектират.

1:36 Следващият въпрос е кой от тези проблеми пресича сериозна граница на разрешения. Собственото ръководство за докладване на сигурността на Linux помага да се обясни документацията. Поддържащите питат за засегната версия, доказателства и условията, свързани с проблема. То също така предупреждава, че нискокачествени доклади от AI изчерпват капацитета за преглед. Това е общо ръководство на общността, независимо от доклада на OpenAI. То не сертифицира тази партида от открития.

Защо крайният брой става 948?

1:58 Ето подробностите за преброяването. OpenAI съобщава за хиляда сто шестдесет и девет успешни ескалации на локални привилегии по време на оценката. След това изследователите анализираха свързани варианти и разработиха деветстотин четиридесет и осем различни кръпки. Те използват този брой кръпки, за да дефинират уникалните открития за локално ескалиране. Множество успешни резултати могат да принадлежат към един и същ основен проблем. Около един милион и двеста хиляди долара покриват отчетените API кредити за оценените модели, цели и работен процес.

2:23 OpenAI казва, че измерването на възможностите е движело дизайна и по-доброто инженерство може да намали разходите. Общите разходи за изследователи остават неизмерени тук. OpenAI сравнява откритията с исторически награди за откриване на грешки, произвеждайки хипотетична оценка. Приемането и плащането принадлежат на програмата за награди. Умножаването на награда по брой изследвания се чувства страхотно, докато не опитате да депозирате умножението в банковата си сметка.

Какво все още прави предложената кръпка непълна?

2:45 Предложената кръпка също се нуждае от собствен преглед. Авторите казват, че ранните кръпки биха могли да спрат демонстрирания проблем, като същевременно добавят ненужен код, влошават производителността или пропускат свързани варианти. Те подобриха инструкциите и итерираха. Корекция трябва да пасне на по-широката кодова база и да оцелее повече от първия тест, който позеленява. OpenAI описва човешки преглед на сериозността и корекциите преди докладване нагоре по веригата. Ръководството на Linux казва, че тествана предложена корекция може да спести време за преглед, дори ако поддържащите изберат различна корекция.

3:12 Приемането нагоре по веригата остава отделно инженерно решение.

Кога е измерен моментният преглед на кръпките?

3:15 Базисният момент беше най-новото ядро в средата на октомври. След десет дни проучване и ръчен анализ, шестдесет и един проблема с локално ескалиране бяха кръпвани нагоре по веригата, като четиридесет и три имаха кръпки в етап на разработка. OpenAI приписва на поддържащите бързото действие. Това е моментен преглед на завършеност на изследване, а проектът продължаваше да се развива. Вашата дистрибуция има собствено доставено ядро и актуализации.

Коя дата и статус на кръпка са важни за потребителите?

3:34 За потребителите, практическата стъпка е да следват съветите за софтуера, който действително изпълняват. Резултатът от изследване нагоре по веригата все още трябва да достигне до версията на вашата машина чрез този процес на актуализация. Всеки, който е гледал как пакет от тестове преминава, докато продуктът прави грешното нещо, знае какъв израз на лицето е необходим тук. Сега да се върнем към това ранно табло за резултати. Човешките рецензенти откриха проблем в сигнал за успех. Ранният процес приписваше приписана уязвимост, след като агентът е получил

3:58 root. Това проверява резултата. Присвоеното откритие все още трябва да бъде свързано с този резултат, защото системата може да съдържа повече от един дефект. Ако доказателствата сочат различна причина, оригиналният доклад се нуждае от още

Какво откриха рецензентите в ранния цикъл?

4:09 един преглед. Според OpenAI, ранен цикъл е отчел двеста успешни локални ескалации. Човешкият преглед е установил, че двадесет са достигнали root чрез различен дефект от присвоения. Успехът е бил реален, а приписването е било грешно. Това би могло да остави доказателствата за оригиналното откритие неразрешени, дори докато таблото за резултати празнува. Тестът е отговорил на грешен въпрос. Авторите казват, че са затегнали ограниченията и са добавили независима проверка, че всеки краен резултат е използвал присвоената си уязвимост.

4:34 Това е техният отговор на ранния дефект. Ранните двадесет не установяват, че окончателните деветстотин четиридесет и осем открития са фалшиви. Проверете как е станал даден резултат толкова внимателно, колкото и дали е станал. Обещаващата част е предоставянето на рецензентите на доказателства, върху които могат да действат, с правилното откритие. Ако предпочитате да прочетете това, вместо да ме чуете да го казвам, диференциалът пристига във входящата ви кутия всяка сутрин, безплатно на the daily diff dot dev, линк по-долу.

Каква е присъдата за процеса на OpenAI?

4:55 Така че днешната присъда е НЕОБХОДИМ ПРЕГЛЕД. Бих запазил този процес в отбранителния работен поток с човешки преглед на кръпките и независими проверки на пътя. Докладваните открития стават полезни, когато поддържащите получат доказателства, на които могат да вярват и поправки, които могат да оценят. И това е диференциалът за днес. Аз съм Нико от Axrisi.

5:10 Сливайте отговорно.

Източници

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr