OpenAI izvještava o 948 lokalnih propusta u Linuxu

Što ovaj video pokriva

• Lokalno podizanje privilegija počinje kada već prisutan, nepovlašteni lokalni korisnik dosegne 'root' privilegije. Izvještaj ne daje procjenu udaljenog pristupa specifičnog za stroj.
• Cjevovod je proizveo 2.308 kandidata nakon početne deduplikacije i reproducirao 1.724 ranjivosti. Njegovih konačnih 948 jedinstvenih lokalnih nalaza koristi broj različitih kandidatskih zakrpa nakon analize varijanti 1.169 uspješnih procjena.
• Prijavljenih 1,2 milijuna dolara su API krediti za procijenjene modele, ciljeve i radni tijek. Povijesne procjene nagrada za pronalazak bugova su hipotetske i zahtijevaju zasebno prihvaćanje programa i plaćanje.
• Referentna vrijednost bila je sredina listopada 2026. Brojke od 61 'upstream'/43 'staging' opisuju završetak istraživanja nakon deset dana, tako da su trenutne preporuke za distribuciju i dalje potrebne.
• 20 od 200 uspjeha u ranom pokretanju koristilo je drugačiji propust od dodijeljenog. OpenAI izvještava o dodavanju neovisne provjere dodijeljene putanje; ovaj rani nedostatak ne utvrđuje da je konačnih 948 lažno. Presuda je bila NEEDS REVIEW s ljudskim pregledom zakrpa i provjerama putanje.

Prevedeni transkript

Prevedeno iz izvornog engleskog pripovijedanja. Dostupni zvuk i titlovi kontroliraju se putem YouTubea.

Što zapravo znači broj grešaka u Linuxu koje je pronašao OpenAI?

0:00 Pronalaženje Linux greške zvuči kao njezino popravljanje. OpenAI izvještava o devetsto četrdeset osam lokalnih root nalaza i kandidatskih zakrpa, uz približno 1,2 milijuna dolara API kredita. U ovom videu, što se broji? Što je ljudska recenzija uhvatila? Postoji rani test gdje su strojevi stvarno dobili root, a tablica rezultata je i dalje pripisivala pogrešnu stvar. Vidjet ćemo što su ljudski recenzenti uhvatili.

0:20 Četvrtak je, petog studenog, i ovo je The Daily Diff.

Čiji pristup može postati root?

0:24 Linux kernel je jezgra koja upravlja resursima i dozvolama stroja. Lokalno podizanje privilegija znači da već prisutan, neprivilegirani korisnik doseže root, najvišu privilegiju. OpenAI je proučavao tu granicu u izoliranim istraživačkim strojevima. Ulazak na stroj je zaseban problem. OpenAI je objavio istraživanje četvrtog studenog, opisujući nadolazeći cyber model unutar automatiziranog cjevovoda. Korisni rezultat je skup nalaza s dokazima i predloženim popravcima za

0:49 ljude za pregled. Rad ne najavljuje opći pristup tom nadolazećem modelu. To ostavlja vrlo ljudski posao unutar autonomne priče. Istraživači su pregledali izlaze i počeli prijavljivati kritične ranjivosti sa zakrpama, slijedeći smjernice kernel zajednice. Agenti mogu napuniti pretinac. Netko još uvijek mora odlučiti što zaslužuje biti u njemu. Cjevovod je započeo sa sigurnosno relevantnim dijelovima kernela,

Kako kandidat postaje dokaz?

1:10 zatim je proizveo oko dvije tisuće i tristo kandidatskih nalaza nakon uklanjanja duplikata. Kandidat je sumnja vrijedna istrage. U tom trenutku, uvjerljiv paragraf i stvarna reproducibilna greška još uvijek izgledaju neugodno slično u proračunskoj tablici. Tako je zasebna faza pokušala reproducirati sumnjive probleme unutar izoliranih strojeva, čuvajući dokaze o tome što se dogodilo. OpenAI izvještava o otprilike tisuću sedamsto reproduciranih ranjivosti. To uspostavlja ponašanje koje istraživači mogu pregledati.

1:36 Sljedeće pitanje je koji od tih problema prelazi ozbiljnu granicu dozvola. Linuxov vlastiti vodič za sigurnosno izvještavanje pomaže objasniti papirologiju. Održavatelji traže zahvaćenu verziju, dokaze i uvjete. Također upozorava da AI izvješća loše kvalitete troše kapacitet pregleda. To su opće smjernice zajednice, neovisne o OpenAI-jevom radu. Ne potvrđuje ovu seriju nalaza.

Zašto konačni broj iznosi 948?

1:58 Evo detalja brojanja. OpenAI izvještava o tisuću sto šezdeset i devet uspješnih lokalnih podizanja privilegija tijekom procjene. Istraživači su zatim analizirali povezane varijante i razvili devetsto četrdeset i osam različitih zakrpa. Koriste taj broj zakrpa za definiranje jedinstvenih nalaza lokalnog podizanja. Višestruki uspjesi mogu pripadati istom osnovnom problemu. Oko 1,2 milijuna dolara pokriva prijavljene API kredite za procijenjene modele, ciljeve i radni tijek.

2:23 OpenAI kaže da je mjerenje sposobnosti pokretalo dizajn i da bi bolje inženjerstvo moglo smanjiti troškove. Ukupni troškovi istraživača ovdje ostaju neizmjereni. OpenAI uspoređuje nalaze s povijesnim nagradama za pronalazak bugova, proizvodeći hipotetsku procjenu. Prihvaćanje i plaćanje pripadaju programu nagrada. Množenje nagrade s brojem istraživanja osjeća se sjajno dok ne pokušate deponirati umnožak na svoj bankovni račun.

Što predloženu zakrpu još uvijek čini nepotpunom?

2:45 Predložena zakrpa također treba vlastiti pregled. Autori kažu da rane zakrpe mogu zaustaviti demonstrirani problem, dok dodaju nepotreban kod, smanjuju performanse ili propuštaju povezane varijante. Poboljšali su upute i iterirali. Popravak mora odgovarati široj bazi kodova i preživjeti više od prvog testa koji postane zelen. OpenAI opisuje ljudski pregled ozbiljnosti i popravaka prije prijavljivanja u 'upstream'. Linuxov vodič kaže da testirani predloženi popravak može uštedjeti vrijeme pregleda čak i ako održavatelji odaberu drugačiji popravak.

3:12 Prihvaćanje u 'upstreamu' ostaje zasebna inženjerska odluka.

Kada je izmjeren snimak zakrpe?

3:15 Referentna vrijednost bio je najnoviji kernel sredinom listopada. Nakon deset dana istraživanja i ručne analize, šezdeset i jedno pitanje lokalne eskalacije zakrpano je u 'upstreamu', s četrdeset i tri zakrpe u 'stagingu'. OpenAI priznaje održavateljima brzo djelovanje. To je snimak završetka istraživanja, a projekt se nastavio kretati. Vaša distribucija ima vlastiti isporučeni kernel i ažuriranja.

Koji datum i status zakrpe su važni korisnicima?

3:34 Za korisnike, praktičan korak je praćenje savjeta za softver koji zapravo koriste. Rezultat istraživanja u 'upstreamu' još uvijek treba doći do verzije na vašem stroju kroz taj proces ažuriranja. Svatko tko je gledao kako testni paket prolazi dok proizvod radi pogrešno zna kakav izraz lica je ovdje potreban. Sada se vratimo na tu ranu tablicu rezultata. Ljudski recenzenti otkrili su problem unutar signala uspjeha. Rani cjevovod pripisivao je dodijeljenu ranjivost nakon što je agent dobio

3:58 root. To provjerava ishod. Dodijeljeni nalaz još uvijek treba biti povezan s tim ishodom, jer sustav može sadržavati više od jednog propusta. Ako dokaz ukazuje na drugačiji uzrok, originalni izvještaj treba još jednom

Što su recenzenti pronašli u ranom pokretanju?

4:09 pogledati. Prema OpenAI-ju, rano pokretanje izvijestilo je o dvjesto uspješnih lokalnih eskalacija. Ljudski pregled otkrio je da je dvadeset njih doseglo root kroz drugačiji propust od dodijeljenog. Uspjeh je bio stvaran, a atribucija pogrešna. To bi moglo ostaviti dokaze originalnog nalaza neriješenima čak i dok je tablica rezultata slavila. Test je odgovorio na pogrešno pitanje. Autori kažu da su pooštrili ograničenja i dodali neovisnu provjeru da svaki konačni rezultat koristi svoju dodijeljenu ranjivost.

4:34 To je njihov odgovor na rani nedostatak. Ranih dvadeset ne utvrđuje da su konačnih devetsto četrdeset i osam nalaza lažni. Provjerite kako se rezultat dogodio jednako pažljivo kao i je li se dogodio. Obećavajući dio je davanje recenzentima dokaza na temelju kojih mogu djelovati, s pravim nalazom priloženim. Ako biste ovo radije pročitali nego čuli, 'diff' vam stiže u pristiglu poštu svako jutro, besplatno na the daily diff dot dev, link ispod.

Što dobiva presudu o OpenAI cjevovodu?

4:55 Dakle, današnja presuda, NEEDS REVIEW. Ovaj cjevovod bih zadržao u obrambenom radnom tijeku s ljudskim pregledom zakrpa i neovisnim provjerama putanje. Prijavljeni nalazi postaju korisni kada održavatelji dobiju dokaze kojima mogu vjerovati i popravke koje mogu procijeniti. I to je 'diff' za danas. Ja sam Niko iz Axrisija.

5:10 Spojite odgovorno.

Izvori

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr