OpenAI izvještava o 948 lokalnih propusta u Linuxu

Šta ovaj video pokriva

• Lokalna eskalacija privilegija počinje tako što već prisutan neprivilegirani lokalni korisnik dosegne root. Izvještaj ne daje presudu o daljinskom pristupu specifičnom za stroj.
• Proces je proizveo 2.308 kandidata nakon početne deduplikacije i reproducirao 1.724 ranjivosti. Njegovih konačnih 948 jedinstvenih lokalnih nalaza koristi različit broj kandidatskih zakrpa nakon varijantne analize 1.169 uspješnih procjena.
• Prijavljenih 1,2 milijuna dolara su API krediti za evaluirane modele, ciljeve i radni tijek. Povijesne procjene nagrada za bugove su hipotetske i zahtijevaju zasebno prihvaćanje programa i plaćanje.
• Osnovica je bila sredina listopada 2026. Brojke od 61 uzvodno/43 u fazi opisuju završetak istraživanja nakon deset dana, tako da su trenutni savjeti o distribuciji i dalje potrebni.
• 20 od 200 uspjeha u ranom izvođenju koristilo je drugačiji propust od dodijeljenog. OpenAI izvještava o dodavanju neovisne provjere dodijeljene putanje; ovaj rani nedostatak ne dokazuje da je konačnih 948 lažno. Presuda je bila POTREBAN PREGLED s pregledom ljudskih zakrpa i provjerama putanje.

Prevedeni transkript

Prevedeno iz originalne engleske naracije. Dostupan zvuk i titlovi kontroliše YouTube.

Što zapravo znači broj Linux bugova OpenAI-ja?

0:00 Pronalaženje Linux propusta zvuči kao popravljanje. OpenAI izvještava o devetsto četrdeset osam lokalnih root nalaza i kandidatskih zakrpa, uz oko milijun i dvjesto tisuća dolara u API kreditima. U ovom videu, što se broji? Što je ljudski pregled uhvatio? Postoji rani test gdje su strojevi stvarno dobili root, a semafor je i dalje pogrešno pripisivao zasluge. Vidjet ćemo što su ljudski recenzenti uhvatili.

0:20 Četvrtak je, peti studeni, i ovo je The Daily Diff.

Čiji pristup može postati root?

0:24 Linux kernel je jezgra koja upravlja resursima i dozvolama stroja. Lokalna eskalacija privilegija znači da već prisutan, neprivilegirani korisnik doseže root, najvišu privilegiju. OpenAI je proučavao tu granicu u izoliranim istraživačkim strojevima. Ulazak na stroj je zaseban problem. OpenAI je objavio istraživanje četvrtog studenog, opisujući nadolazeći cyber model unutar automatiziranog procesa. Korisni rezultat je skup nalaza s dokazima i predloženim ispravcima za

0:49 ljude za pregled. Rad ne najavljuje opći pristup tom nadolazećem modelu. To ostavlja vrlo ljudski posao unutar autonomne priče. Istraživači su pregledali rezultate i počeli prijavljivati kritične ranjivosti sa zakrpama, slijedeći smjernice kernel zajednice. Agenti mogu popuniti pristiglu poštu. Netko i dalje mora odlučiti što zaslužuje biti u njoj. Proces je započeo sa sigurnosno relevantnim dijelovima kernela,

Kako kandidat postaje dokaz?

1:10 zatim je proizveo oko dvije tisuće i tristo kandidatskih nalaza nakon uklanjanja duplikata. Kandidat je sumnja vrijedna istraživanja. U tom trenutku, uvjerljiv paragraf i stvarni ponovljivi propust i dalje izgledaju neugodno slično u proračunskoj tablici. Tako je zasebna faza pokušala reproducirati sumnjive probleme unutar izoliranih strojeva, čuvajući dokaze o tome što se dogodilo. OpenAI izvještava o otprilike sedamnaest stotina reproduciranih ranjivosti. To uspostavlja ponašanje koje istraživači mogu pregledati.

1:36 Sljedeće pitanje je koji od tih problema prelazi ozbiljnu granicu dozvola. Linuxov vlastiti vodič za sigurnosno izvještavanje pomaže objasniti papirologiju. Održavatelji traže zahvaćenu verziju, dokaze i uključene uvjete. Također upozorava da AI izvještaji loše kvalitete troše kapacitet pregleda. To su opće smjernice zajednice, neovisne o OpenAI-jevom radu. Ne potvrđuje ovu seriju nalaza.

Zašto konačni broj postaje 948?

1:58 Evo detalja brojanja. OpenAI izvještava o tisuću sto šezdeset i devet uspješnih lokalnih eskalacija privilegija tijekom procjene. Istraživači su zatim analizirali povezane varijante i razvili devetsto četrdeset i osam različitih zakrpa. Koriste taj broj zakrpa za definiranje jedinstvenih lokalnih nalaza eskalacije. Višestruki uspjesi mogu pripadati istom osnovnom problemu. Oko milijun i dvjesto tisuća dolara pokriva prijavljene API kredite za evaluirane modele, ciljeve i radni tijek.

2:23 OpenAI kaže da je mjerenje sposobnosti pokretalo dizajn, a bolje inženjerstvo bi moglo smanjiti troškove. Ukupni troškovi istraživača ovdje ostaju neizmjereni. OpenAI uspoređuje nalaze s povijesnim nagradama za pronalaženje bugova, proizvodeći hipotetsku procjenu. Prihvaćanje i plaćanje pripadaju programu nagrada. Množenje nagrade brojem istraživanja osjeća se sjajno dok ne pokušate uplatiti umnožak na svoj bankovni račun.

Što predloženu zakrpu i dalje čini nepotpunom?

2:45 Predložena zakrpa također treba vlastiti pregled. Autori kažu da rane zakrpe mogu zaustaviti demonstrirani problem dok dodaju nepotreban kod, smanjujući performanse ili propuštajući povezane varijante. Poboljšali su upute i ponavljali. Popravak se mora uklopiti u širu bazu koda i preživjeti više od prvog testa koji pozeleni. OpenAI opisuje ljudski pregled ozbiljnosti i ispravaka prije prijavljivanja uzvodno. Linuxov vodič kaže da testirani predloženi popravak može uštedjeti vrijeme pregleda čak i ako održavatelji odaberu drugačiji popravak.

3:12 Prihvaćanje uzvodno ostaje zasebna inženjerska odluka.

Kada je snimka zakrpe izmjerena?

3:15 Osnovica je bila najnoviji kernel sredinom listopada. Nakon deset dana istraživanja i ručne analize, šezdeset i jedan lokalni problem eskalacije riješen je uzvodno, s četrdeset i tri koje imaju zakrpe u fazi razvoja. OpenAI pripisuje zasluge održavateljima koji su se brzo kretali. To je snimka završetka istraživanja, a projekt se nastavio kretati. Vaša distribucija ima svoj isporučeni kernel i ažuriranja.

Koji datum i status zakrpe su važni korisnicima?

3:34 Za korisnike, praktičan korak je slijeđenje savjeta za softver koji zapravo pokreću. Rezultat uzvodnog istraživanja i dalje mora doći do verzije na vašem stroju kroz taj proces ažuriranja. Svatko tko je gledao kako testni paket prolazi dok proizvod radi pogrešno zna izraz lica koji je ovdje potreban. Sada se vratimo na taj rani semafor. Ljudski recenzenti otkrili su problem unutar signala uspjeha. Rani proces pripisao je dodijeljenu ranjivost kada je agent dobio

3:58 root. To provjerava ishod. Dodijeljeni nalaz i dalje mora biti povezan s tim ishodom, jer sustav može sadržavati više od jednog propusta. Ako dokaz ukazuje na drugačiji uzrok, izvorni izvještaj treba ponovno

Što su recenzenti pronašli u ranom izvođenju?

4:09 razmotriti. Prema OpenAI-ju, rano izvođenje prijavilo je dvjesto uspješnih lokalnih eskalacija. Ljudski pregled otkrio je da je dvadeset njih doseglo root kroz drugačiji propust od dodijeljenog. Uspjeh je bio stvaran, a atribucija je bila pogrešna. To bi moglo ostaviti dokaze izvornog nalaza neriješenima čak i dok je semafor slavio. Test je odgovorio na pogrešno pitanje. Autori kažu da su pooštrili ograničenja i dodali neovisnu provjeru da svaki konačni rezultat koristi svoju dodijeljenu ranjivost.

4:34 To je njihov odgovor na rani nedostatak. Rani dvadeset ne dokazuju da je konačnih devetsto četrdeset i osam nalaza lažno. Provjerite kako se rezultat dogodio jednako pažljivo kao i je li se dogodio. Obećavajući dio je davanje dokaza recenzentima na koje mogu djelovati, s ispravnim nalazom priloženim. Ako biste ovo radije pročitali nego čuli od mene, diff stiže u vašu pristiglu poštu svako jutro, besplatno na the daily diff dot dev, link ispod.

Što dobiva presudu o OpenAI-jevom procesu?

4:55 Dakle, današnja presuda, POTREBAN PREGLED. Održao bih ovaj proces u obrambenom radnom toku s pregledom ljudskih zakrpa i neovisnim provjerama putanje. Prijavljeni nalazi postaju korisni kada održavatelji dobiju dokaze kojima mogu vjerovati i popravke koje mogu procijeniti. I to je diff za danas. Ja sam Niko iz Axrisija.

5:10 Spajajte odgovorno.

Izvori

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr