OpenAI raportoi Linuxista 948 paikallista pääkäyttäjähaavoittuvuutta

Mitä tämä video käsittelee

• Paikallinen oikeuksien laajentaminen alkaa jo olemassa olevasta etuoikeudettomasta paikallisesta käyttäjästä, joka saavuttaa root-oikeudet. Raportti ei anna konekohtaista etäkäyttöpäätöstä.
• Putki tuotti 2 308 ehdokasta alkuperäisen duplikaattien poiston jälkeen ja toisti 1 724 haavoittuvuutta. Sen lopulliset 948 ainutlaatuista paikallista havaintoa käyttävät erillistä ehdokaspaikkamäärää 1 169 onnistuneen arvioinnin varianttianalyysin jälkeen.
• Raportoitu 1,2 miljoonaa dollaria on API-krediittejä arvioiduille malleille, kohteille ja työnkululle. Historialliset palkkioarviot ovat hypoteettisia ja edellyttävät erillistä ohjelman hyväksyntää ja maksua.
• Vertailukohtana oli lokakuun puolivälin 2026 tilanne. 61-ylävirtaan/43-esituotantoon luvut kuvaavat tutkimuksen valmistumista kymmenen päivän jälkeen, joten nykyiset jakelusuositukset ovat edelleen tarpeen.
• Varhaisen ajon 20/200 onnistumisessa käytettiin eri haavoittuvuutta kuin alun perin määritettiin. OpenAI raportoi lisänneensä itsenäisen määritetyn polun tarkistuksen; tämä varhainen virhe ei osoita, että lopulliset 948 olisivat vääriä. Tuomio oli NEEDS REVIEW ihmisen tekemän paikkakatsauksen ja polkutarkistusten kanssa.

Käännetty transkriptio

Käännetty alkuperäisestä englanninkielisestä selostuksesta. Käytettävissä olevan äänen ja tekstitysten hallinta tapahtuu YouTuben kautta.

Mitä OpenAI:n Linux-bugimäärä todella tarkoittaa?

0:00 Linux-vian löytäminen kuulostaa sen korjaamiselta. OpenAI raportoi 948 paikallista root-löydöstä ja ehdokasta paikkaa, noin 1,2 miljoonan dollarin API-krediiteillä. Tässä videossa, mikä lasketaan mukaan? Mitä ihmisten tekemä arviointi havaitsi? On varhainen testi, jossa koneet todella saivat root-oikeudet, ja tulostaulu silti antoi virheellisen merkinnän. Näemme, mitä ihmistarkastajat havaitsivat.

0:20 On torstai, marraskuun viides päivä, ja tämä on The Daily Diff.

Kenen pääsystä voi tulla root?

0:24 Linux-ydin on ydin, joka hallinnoi koneen resursseja ja käyttöoikeuksia. Paikallinen oikeuksien laajentaminen tarkoittaa, että jo olemassa oleva, ei-etuoikeutettu käyttäjä saavuttaa root-oikeudet, korkeimman etuoikeuden. OpenAI tutki tätä rajaa eristetyissä tutkimuskoneissa. Koneelle pääseminen on erillinen ongelma. OpenAI julkaisi tutkimuksen marraskuun neljäntenä päivänä, kuvaten tulevaa kybermallia automatisoidussa putkessa. Hyödyllinen tulos on joukko havaintoja todisteineen ja ehdotettuine korjauksineen

0:49 ihmisten tarkasteltavaksi. Paperi ei ilmoita yleisestä pääsystä tähän tulevaan malliin. Se jättää hyvin inhimillisen työn autonomisen tarinan sisälle. Tutkijat tarkastelivat tuloksia ja alkoivat raportoida kriittisiä haavoittuvuuksia korjausten kanssa, seuraten ydin-yhteisön ohjeita. Agentit voivat täyttää postilaatikon. Joku on silti päätettävä, mikä ansaitsee olla siinä. Putki alkoi ytimen turvallisuuden kannalta olennaisista osista,

Miten ehdokkaasta tulee todiste?

1:10 sitten tuotti noin 2300 ehdokaslöydöstä duplikaattien poistamisen jälkeen. Ehdokas on epäilys, joka on tutkimisen arvoinen. Siinä vaiheessa vakuuttava kappale ja todellinen toistettavissa oleva virhe näyttävät ärsyttävän samanlaisilta taulukkolaskentaohjelmassa. Niinpä erillinen vaihe yritti toistaa epäillyt ongelmat eristetyissä koneissa, säilyttäen todisteet tapahtuneesta. OpenAI raportoi noin 1700 toistettua haavoittuvuutta. Tämä luo toiminnan, jota tutkijat voivat tarkastaa.

1:36 Seuraava kysymys on, mitkä näistä ongelmista ylittävät vakavan käyttöoikeusrajan. Linuxin oma tietoturvaraportointiopas auttaa selittämään paperityön. Ylläpitäjät pyytävät affected version, todisteet ja olosuhteet. Se myös varoittaa, että heikkolaatuiset tekoälyraportit kuluttavat tarkistuskapasiteettia. Tämä on yleinen yhteisön ohjeistus, riippumaton OpenAI:n julkaisusta. Se ei sertifioi tätä erää havaintoja.

Miksi lopullinen lukumäärä on 948?

1:58 Tässä on laskennan yksityiskohdat. OpenAI raportoi 1169 onnistunutta paikallista oikeuksien laajentamista arvioinnin aikana. Tutkijat analysoivat sitten liittyviä variantteja ja kehittivät 948 erillistä korjausta. He käyttävät tätä korjauslukumäärää ainutlaatuisten paikallisten oikeuksien laajentamisen havaintojen määrittämiseen. Useampi onnistuminen voi kuulua samaan pohjimmiltaan samaan ongelmaan. Noin 1,2 miljoonaa dollaria kattaa raportoidut API-krediitit arvioiduille malleille, kohteille ja työnkululle.

2:23 OpenAI sanoo, että kykyjen mittaaminen ohjasi suunnittelua ja parempi suunnittelu voisi vähentää kustannuksia. Tutkijoiden kokonaiskustannuksia ei ole tässä mitattu. OpenAI vertaa löydöksiä historiallisiin bugibounty-palkkioihin, tuottaen hypoteettisen arvon. Hyväksyminen ja maksu kuuluvat bounty-ohjelmaan. Palkkion kertominen tutkimusmäärällä tuntuu hyvältä, kunnes yrität tallettaa kertolaskun pankkitilillesi.

Mikä tekee ehdotetusta korjauksesta edelleen puutteellisen?

2:45 Ehdotettu korjaus tarvitsee myös oman tarkastelunsa. Kirjoittajat sanovat, että varhaiset korjaukset voisivat pysäyttää esitetyn ongelman, mutta samalla lisätä tarpeetonta koodia, heikentää suorituskykyä tai jättää huomioimatta liittyviä variantteja. He paransivat ohjeita ja iteroivat. Korjauksen on sovitettava laajempaan koodikantaan ja selviydyttävä useammasta kuin ensimmäisestä testistä, joka muuttuu vihreäksi. OpenAI kuvaa vakavuuden ja korjausten inhimillistä tarkastelua ennen ylävirtaan raportointia. Linuxin opas sanoo, että testattu ehdotettu korjaus voi säästää tarkistusaikaa, vaikka ylläpitäjät valitsisivatkin toisen korjauksen.

3:12 Ylävirran hyväksyntä on edelleen erillinen suunnittelupäätös.

Milloin korjauskuva mitattiin?

3:15 Peruslinja oli uusin ydin lokakuun puolivälissä. Kymmenen päivän tutkimuksen ja manuaalisen analyysin jälkeen, 61 paikallista oikeuksien laajentamisen ongelmaa oli korjattu ylävirtaan, ja 43:lla oli esivaiheen korjauksia. OpenAI kiittää ylläpitäjiä nopeasta toiminnasta. Tämä on tutkimuksen valmistumisen tilannekuva, ja projekti jatkoi etenemistä. Jakelullasi on oma toimitettu ytimensä ja päivityksensä.

Mikä päivämäärä ja korjaustila ovat tärkeitä käyttäjille?

3:34 Käyttäjille käytännöllinen askel on seurata ohjeita käyttämästään ohjelmistosta. Ylävirran tutkimustuloksen on edelleen tavoitettava koneellasi oleva versio päivitysprosessin kautta. Jokainen, joka on nähnyt testipaketin läpäisevän, kun tuote tekee väärin, tuntee tähän vaadittavan kasvojen ilmeen. Nyt palataan siihen varhaiseen tulostauluun. Ihmistarkastajat havaitsivat ongelman onnistumissignaalissa. Varhainen putki hyvitti osoitetun haavoittuvuuden, kun agentti sai

3:58 root-oikeudet. Tämä tarkistaa tuloksen. Määritetty havainto on edelleen yhdistettävä tähän lopputulokseen, koska järjestelmä voi sisältää useamman kuin yhden vian. Jos todisteet viittaavat eri syyhyn, alkuperäinen raportti vaatii uuden

Mitä tarkastelijat löysivät varhaisessa ajossa?

4:09 tarkastelun. OpenAI:n mukaan varhainen ajo raportoi 200 onnistunutta paikallista oikeuksien laajentamista. Ihmistarkastelu havaitsi, että 20 niistä oli saavuttanut root-oikeudet eri virheen kautta kuin mitä oli osoitettu. Onnistuminen oli todellista, ja syyksi ilmoitettu virhe oli väärä. Tämä saattoi jättää alkuperäisen havainnon todisteet ratkaisematta, vaikka tulostaulu juhli. Testi oli vastannut väärään kysymykseen. Kirjoittajat sanovat kiristäneensä rajoituksia ja lisänneensä itsenäisen tarkistuksen, joka varmistaa, että jokainen lopullinen tulos käytti sille osoitettua haavoittuvuutta.

4:34 Tämä on heidän vastauksensa varhaiseen virheeseen. Varhaiset kaksikymmentä eivät osoita, että lopulliset 948 löydöstä ovat vääriä. Varmista tuloksen syntyminen yhtä huolellisesti kuin se, tapahtuiko se. Lupaava osa on antaa tarkastelijoille todisteita, joihin he voivat tukeutua, oikean havainnon kanssa. Jos haluat mieluummin lukea tämän kuin kuulla minun sanovan sen, "the diff" laskeutuu postilaatikkoosi joka aamu, ilmaiseksi osoitteessa thedailydiff.dev, linkki alla.

Mikä saa tuomion OpenAI:n putkessa?

4:55 Joten tämän päivän tuomio, NEEDS REVIEW. Pitaisin tämän putken puolustuksellisessa työnkulussa ihmisen tekemän korjauskatsauksen ja itsenäisten polkutarkistusten kanssa. Raportoiduista havainnoista tulee hyödyllisiä, kun ylläpitäjät saavat luotettavia todisteita ja korjauksia, joita he voivat arvioida. Ja siinäpä tämän päivän ero. Olen Niko Axrisista.

5:10 Yhdistä vastuullisesti.

Lähteet

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr