Az OpenAI 948 helyi root hibáról számol be Linuxban

Amit ez a videó tartalmaz

• A helyi jogosultságnövelés azzal kezdődik, hogy egy már meglévő, nem privilegizált helyi felhasználó eléri a root jogosultságot. A jelentés nem ad gép-specifikus távoli hozzáférési ítéletet.
• Az adatfolyam kezdeti deduplikáció után 2308 jelöltet produkált, és 1724 sebezhetőséget reprodukált. Végleges 948 egyedi helyi találata a variánselemzés után kapott különböző jelölt javítások számát használja 1169 sikeres értékelés alapján.
• A jelentett 1,2 millió dollár az értékelt modellek, célok és munkafolyamatok API-kreditjeire vonatkozik. A történelmi hibavadászati jutalmak hipotetikusak, és külön programelfogadást és fizetést igényelnek.
• Az alapvonal 2026. október közepe volt. A 61 felfelé/43 staging adat a tíz napos kutatás befejezését írja le, így a jelenlegi disztribúciós tanácsok továbbra is szükségesek.
• Egy korai futás 200-ból 20 sikere más hibát használt, mint a hozzárendelt. Az OpenAI független, hozzárendelt útvonal-ellenőrzést jelent, ez a korai hiba nem támasztja alá, hogy a végső 948 téves. Az ítélet NEEDS REVIEW volt, emberi javítási felülvizsgálattal és útvonalellenőrzéssel.

Lefordított átirat

Az eredeti angol narrációból fordítva. A rendelkezésre álló hangot és feliratokat a YouTube vezérli.

Mit is jelent pontosan az OpenAI Linux hibaszáma?

0:00 Linux hiba megtalálása olyan, mintha megjavítanánk. Az OpenAI kilencszáznegyvennyolc helyi root találatról és jelöltről számol be javításokról, körülbelül 1,2 millió dollár API-kredit értékben. Ebben a videóban mi számít? Mit fogott az emberi áttekintés? Van egy korai teszt, ahol a gépek valóban root jogosultságot kaptak, és az eredménytábla mégis rossz dolgot írt jóvá. Meglátjuk, mit fogtak az emberi áttekintők.

0:20 Csütörtök van, november ötödike, és ez a The Daily Diff.

Kinek a hozzáférése válhat root jogosultsággá?

0:24 A Linux kernel a mag, amely kezeli a gép erőforrásait és engedélyeit. A helyi jogosultságnövelés azt jelenti, hogy egy már meglévő, nem privilegizált felhasználó eléri a root jogosultságot, a legmagasabb jogosultságot. Az OpenAI ezt a határt tanulmányozta izolált kutatógépeken. A gépre való bejutás külön probléma. Az OpenAI november negyedikén publikálta a kutatást, egy készülő kiber-modellt írva le egy automatizált adatfolyamon belül. A hasznos eredmény egy sor olyan találat, amely bizonyítékokkal és javasolt javításokkal

0:49 rendelkezik az emberek számára, hogy áttekintsék. A cikk nem jelenti be a készülő modellhez való általános hozzáférést. Ez egy nagyon emberi feladatot hagy az autonóm történetben. A kutatók áttekintették az eredményeket, és elkezdték jelenteni a kritikus sebezhetőségeket javításokkal, követve a kernel közösség útmutatását. Az ügynökök telepakolhatják a beérkező leveleket. Valakinek még mindig el kell döntenie, mi érdemel helyet benne. Az adatfolyam a kernel biztonsági szempontból releváns részeivel kezdődött,

Hogyan válik egy jelölt bizonyítékká?

1:10 majd a duplikátumok eltávolítása után körülbelül huszonháromszáz jelölt találatot produkált. Egy jelölt egy gyanú, amelyet érdemes kivizsgálni. Ezen a ponton egy meggyőző bekezdés és egy ténylegesen reprodukálható hiba még mindig bosszantóan hasonlóan néz ki egy táblázatban. Ezért egy külön szakasz megpróbálta reprodukálni a gyanús problémákat izolált gépeken, megőrizve a történtek bizonyítékait. Az OpenAI nagyjából tizenhétszáz reprodukált sebezhetőségről számol be. Ez olyan viselkedést hoz létre, amelyet a kutatók megvizsgálhatnak.

1:36 A következő kérdés az, hogy ezen problémák közül melyik lépi át a súlyos jogosultsági határt. A Linux saját biztonsági jelentési útmutatója segít elmagyarázni a papírmunkát. A karbantartók kérnek egy érintett verziót, bizonyítékot és az érintett feltételeket. Azt is figyelmezteti, hogy a rossz minőségű AI jelentések felülvizsgálati kapacitást emésztenek fel. Ez általános közösségi útmutatás, függetlenül az OpenAI cikkétől. Nem tanúsítja ezt a találatcsoportot.

Miért lesz a végső szám 948?

1:58 Itt van a számlálási részlet. Az OpenAI ezerkétszáznegyvenkét sikeres helyi jogosultságnövelésről számol be az értékelés során. A kutatók ezután elemezték a kapcsolódó variánsokat és kidolgoztak kilencszáznegyvennyolc különböző javítást. Ezt a javításszámot használják az egyedi helyi jogosultságnövelési találatok meghatározására. Több siker is tartozhat ugyanahhoz az alapvető problémához. Körülbelül 1,2 millió dollár fedezi az értékelt modellekre, célokra és munkafolyamatokra vonatkozó jelentett API-krediteket.

2:23 Az OpenAI szerint a képességmérés vezérelte a tervezést, és a jobb mérnöki munka csökkenthetné a költségeket. Az összes kutatói költség itt nem mérhető. Az OpenAI összehasonlítja a találatokat a történelmi hibavadászati jutalmakkal, hipotetikus értékelést produkálva. Az elfogadás és a kifizetés a hibavadászati programhoz tartozik. Egy jutalom megszorzása egy kutatási számmal nagyszerű érzés, amíg meg nem próbálja betenni a szorzást a bankszámlájára.

Mi teszi még mindig hiányossá egy javasolt javítást?

2:45 Egy javasolt javításnak is szüksége van saját áttekintésre. A szerzők szerint a korai javítások megállíthatják a bemutatott problémát, miközben felesleges kódot adnak hozzá, teljesítményt áldoznak fel, vagy elhibázzák a kapcsolódó variánsokat. Fejlesztették az utasításokat és iteráltak. Egy javításnak illeszkednie kell a szélesebb kódbázishoz, és túlélnie kell az első tesztet is, amely zöldre vált. Az OpenAI leírja a súlyosság és a javítások emberi áttekintését, mielőtt felfelé jelentene. A Linux útmutatója szerint egy tesztelt, javasolt javítás spórolhat felülvizsgálati időt, még akkor is, ha a karbantartók más javítást választanak.

3:12 A felfelé irányuló elfogadás továbbra is külön mérnöki döntés.

Mikor mérték a javítási pillanatfelvételt?

3:15 Az alapvonal a legújabb kernel volt október közepén. Tíz nap kutatás és manuális elemzés után, hatvanegy helyi jogosultságnövelési problémát javítottak felfelé, negyvenhárom pedig staging javításokkal rendelkezett. Az OpenAI a karbantartóknak köszönhetően gyorsan haladt. Ez egy kutatási befejezési pillanatfelvétel, és a projekt tovább haladt. Az Ön disztribúciójának saját szállított kernelje és frissítései vannak.

Melyik dátum és javítási állapot számít a felhasználóknak?

3:34 A felhasználók számára a gyakorlati lépés az, hogy kövessék az általuk ténylegesen futatott szoftverekre vonatkozó tanácsokat. Egy felfelé irányuló kutatási eredménynek még el kell jutnia a gépén lévő verzióhoz a frissítési folyamat révén. Bárki, aki látta már, hogy egy tesztsor sikeresen lefut, miközben a termék rosszul működik, ismeri az itt szükséges arckifejezést. Most térjünk vissza ahhoz a korai eredménytáblához. Az emberi áttekintők problémát fedeztek fel egy sikerjelzésen belül. A korai adatfolyam jóváírt egy hozzárendelt sebezhetőséget, amint az ügynök root jogosultságot szerzett. Ez ellenőrzi az eredményt.

3:58 Ez ellenőrzi az eredményt. A hozzárendelt találatnak még mindig kapcsolódnia kell ehhez az eredményhez, mert a rendszer több hibát is tartalmazhat. Ha a bizonyítékok más okra utalnak, az eredeti jelentést újra meg kell vizsgálni.

Mit találtak az áttekintők a korai futás során?

4:09 Az OpenAI szerint egy korai futás kétszáz sikeres helyi jogosultságnövelésről számolt be. Az emberi áttekintés szerint húsz esetben más hiba révén jutottak root jogosultsághoz, mint a hozzárendelt. A siker valós volt, az attribúció pedig hibás. Ez az eredeti találat bizonyítékát megoldatlanul hagyhatta, még akkor is, ha az eredménytábla ünnepelt. A teszt rossz kérdésre válaszolt. A szerzők szerint szigorították a korlátokat, és hozzáadtak egy független ellenőrzést, amely biztosította, hogy minden végső eredmény a hozzárendelt sebezhetőséget használta.

4:34 Ez a válaszuk a korai hibára. A korai húsz nem támasztja alá, hogy a végső kilencszáznegyvennyolc találat téves. Ellenőrizze, hogyan történt az eredmény, ugyanolyan gondosan, mint azt, hogy megtörtént-e. A ígéretes rész az, hogy a felülvizsgálóknak olyan bizonyítékot adunk, amire támaszkodhatnak, a megfelelő találattal együtt. Ha inkább elolvasná ezt, minthogy hallja tőlem, a diff minden reggel ingyenesen landol az e-mail fiókjában a thedailydiff.dev címen, link lent.

Mi adja az ítéletet az OpenAI adatfolyamára?

4:55 Szóval a mai ítélet, NEEDS REVIEW. Én megtartanám ezt az adatfolyamot a védekező munkafolyamatban emberi javítás felülvizsgálatával és független útvonalellenőrzésekkel. A jelentett találatok akkor válnak hasznossá, ha a karbantartók olyan bizonyítékot kapnak, amiben megbízhatnak, és olyan javításokat, amelyeket értékelhetnek. És ez volt a mai diff. Niko vagyok az Axrisitől.

5:10 Fejlődjenek felelősségteljesen.

Források

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr