OpenAI-ը հայտնում է Linux-ի 948 տեղական root խոցելիության մասին

Ինչ է ընդգրկում այս տեսանյութը

• Տեղական արտոնությունների բարձրացումը սկսվում է արդեն առկա, անարտոնյալ տեղական օգտատիրոջ կողմից root-ի հասնելով: Հաշվետվությունը մեքենաների համար հատուկ հեռակա մուտքի վերաբերյալ որոշում չի տալիս:
• Խողովակաշարը սկզբնական կրկնօրինակումից հետո արտադրել է 2,308 թեկնածու և վերարտադրել 1,724 խոցելիություն: Նրա վերջնական 948 եզակի տեղական բացահայտումներն օգտագործում են տարբերվող թեկնածուների կարկատանների քանակ՝ 1,169 հաջող գնահատումների տարբերակային վերլուծությունից հետո:
• Հաղորդված 1.2 միլիոն դոլարը API կրեդիտներ են գնահատված մոդելների, թիրախների և աշխատանքային հոսքի համար: Պատմական պարգևատրումների գնահատումները հիպոթետիկ են և պահանջում են ծրագրի առանձին ընդունում և վճարում:
• Հիմքը 2026 թվականի հոկտեմբերի կեսերն էր: 61-վերին հոսքի/43-փուլային թվերը նկարագրում են հետազոտության ավարտը տասը օրից հետո, ուստի ներկայիս բաշխման խորհրդատվությունները մնում են անհրաժեշտ:
• Վաղ շրջանի 20-ից 200 հաջողությունները օգտագործում էին այլ թերություն, քան վերագրվածը: OpenAI-ը հայտնում է անկախ վերագրված ուղու ստուգում ավելացնելու մասին. այս վաղ թերությունը չի հաստատում, որ վերջնական 948-ը կեղծ են: Որոշումը NEEDS REVIEW էր՝ մարդու կողմից կարկատանների վերանայմամբ և ուղու ստուգումներով:

Թարգմանված արձանագրություն

Թարգմանվել է բնօրինակ անգլերեն պատմությունից։ Հասանելի աուդիո և ենթագրերը վերահսկվում են YouTube-ի կողմից։

Ի՞նչ է իրականում նշանակում OpenAI-ի Linux-ի սխալների քանակը:

0:00 Linux-ի թերություն գտնելը կարծես այն շտկելն է: OpenAI-ը հայտնում է ինը հարյուր քառասունութ տեղական root բացահայտումների և թեկնածուների մասին կարկատաններ՝ մոտ մեկ ամբողջ երկու միլիոն դոլարի API կրեդիտներով։ Այս տեսանյութում ի՞նչն է հաշվի առնվում։ Ի՞նչ է բռնել մարդկային վերանայումը։ Կա վաղ փորձարկում, որտեղ մեքենաներն իսկապես ստացել են root իրավունքներ, և արդյունքների ցուցատախտակը դեռ սխալ բան էր վերագրում: Մենք կտեսնենք, թե ինչ են հայտնաբերել մարդկային վերանայողները:

0:20 Հինգշաբթի է, նոյեմբերի հինգը, և սա The Daily Diff-ն է:

Ու՞մ մուտքը կարող է դառնալ root:

0:24 Linux kernel-ը հիմքն է, որը կառավարում է մեքենայի ռեսուրսներն ու թույլտվությունները: Տեղական արտոնությունների բարձրացումը նշանակում է, որ արդեն առկա, անարտոնյալ օգտատերը հասնում է root-ի՝ ամենաբարձր արտոնության: OpenAI-ը ուսումնասիրել է այդ սահմանը մեկուսացված հետազոտական մեքենաներում: Մեքենա մուտք գործելը առանձին խնդիր է: OpenAI-ը հրապարակեց հետազոտությունը նոյեմբերի չորսին, նկարագրելով գալիք կիբեր մոդելը ավտոմատացված խողովակաշարի ներսում: Օգտակար արդյունքը բացահայտումների հավաքածու է՝ ապացույցներով և առաջարկվող շտկումներով՝

0:49 մարդկանց կողմից վերանայելու համար: Թերթը չի հայտարարում այդ գալիք մոդելի ընդհանուր մուտքի մասին: Դա շատ մարդկային աշխատանք է թողնում ինքնավար պատմության ներսում: Հետազոտողները վերանայեցին արդյունքները և սկսեցին հաղորդել կրիտիկական խոցելիությունների մասին՝ կարկատաններով, հետևելով kernel համայնքի ուղեցույցներին: Գործակալները կարող են լցնել մուտքի արկղը։ Մեկը դեռ պետք է որոշի, թե ինչն է արժանի լինել դրանում։ Խողովակաշարը սկսվել է kernel-ի անվտանգության հետ կապված մասերից,

Ինչպե՞ս է թեկնածուն դառնում ապացույց:

1:10 այնուհետև արտադրել է մոտ երկու հազար երեք հարյուր թեկնածու բացահայտումներ՝ հեռացնելուց հետո կրկնօրինակները։ Թեկնածուն կասկած է, որն արժե ուսումնասիրել: Այդ պահին համոզիչ պարբերությունը և իրական վերարտադրվող թերությունը դեռ նման են զայրացուցիչ ձևով աղյուսակում: Այսպիսով, առանձին փուլը փորձեց վերարտադրել կասկածվող խնդիրները մեկուսացված մեքենաների ներսում՝ պահպանելով այն ամենի ապացույցը, ինչ տեղի էր ունեցել: OpenAI-ը հայտնում է մոտ տասնյոթ հարյուր վերարտադրված խոցելիությունների մասին: Դա հաստատում է վարքագիծ, որը հետազոտողները կարող են ուսումնասիրել:

1:36 Հաջորդ հարցն այն է, թե այդ խնդիրներից որն է անցնում լուրջ թույլտվությունների սահմանը: Linux-ի անվտանգության հաշվետվությունների ուղեցույցն օգնում է բացատրել փաստաթղթերը: Պահպանողները խնդրում են տուժած տարբերակ, ապացույցներ և ներգրավված պայմաններ: Այն նաև զգուշացնում է, որ ցածր որակի AI հաշվետվությունները սպառում են վերանայման կարողությունները: Դա համայնքի ընդհանուր ուղեցույց է, անկախ OpenAI-ի թղթից: Այն չի հավաստագրում այս բացահայտումների խմբաքանակը:

Ինչու՞ է վերջնական թիվը դառնում 948:

1:58 Ահա հաշվարկի մանրամասները: OpenAI-ը հայտնում է հազար հարյուր վաթսունինը հաջող տեղական արտոնությունների բարձրացման դեպքեր գնահատման ընթացքում։ Հետազոտողները այնուհետև վերլուծեցին կապված տարբերակները և մշակեցին ինը հարյուր քառասունութ տարբեր կարկատան: Նրանք օգտագործում են այդ կարկատանների քանակը՝ եզակի տեղական էսկալացիոն բացահայտումները սահմանելու համար։ Բազմաթիվ հաջողություններ կարող են պատկանել նույն հիմքում ընկած խնդրին: Մոտ մեկ ամբողջ երկու միլիոն դոլարը ծածկում է գնահատված մոդելների, թիրախների և աշխատանքային հոսքի համար հաղորդված API կրեդիտները: գնահատված մոդելների, թիրախների և աշխատանքային հոսքի համար։

2:23 OpenAI-ը նշում է, որ հնարավորությունների չափումը խթանել է դիզայնը, և ավելի լավ ճարտարագիտությունը կարող էր նվազեցնել ծախսերը։ Ընդհանուր հետազոտողի ծախսերը այստեղ չեն չափվել: OpenAI-ը համեմատում է բացահայտումները պատմական սխալների որսի պարգևների հետ՝ ստեղծելով հիպոթետիկ գնահատական: Ընդունումը և վճարումը պատկանում են պարգևատրումների ծրագրին։ Պարգևատրումը հետազոտության քանակով բազմապատկելը հիանալի է թվում, մինչև չփորձես ավանդադրել բազմապատկումը ձեր բանկային հաշվին:

Ի՞նչն է դեռ անավարտ դարձնում առաջարկվող կարկատանը:

2:45 Առաջարկվող կարկատանը նույնպես պետք է իր սեփական վերանայումն ունենա: Հեղինակները ասում են, որ վաղ կարկատանները կարող էին դադարեցնել ցուցադրված խնդիրը՝ ավելացնելով ավելորդ կոդ, զոհաբերելով կատարողականը, կամ բաց թողնելով հարակից տարբերակներ: Նրանք բարելավեցին հրահանգները և կրկնեցին: Շտկումը պետք է համապատասխանի ավելի լայն կոդբազային և գոյատևի ոչ միայն առաջին թեստից, որը կանաչում է։ OpenAI-ը նկարագրում է ծանրության և շտկումների մարդկային վերանայումը՝ նախքան վերին հոսքին հաղորդելը։ Linux-ի ուղեցույցը ասում է, որ փորձարկված առաջարկվող շտկումը կարող է խնայել վերանայման ժամանակը, նույնիսկ եթե պահպանողները ընտրեն այլ շտկում:

3:12 Վերին հոսքի ընդունումը մնում է առանձին ճարտարագիտական որոշում:

Ե՞րբ է չափվել կարկատանների լուսանկարը:

3:15 Հիմքը հոկտեմբերի կեսերին վերջին kernel-ն էր։ Տասը օրվա հետազոտությունից և ձեռքով վերլուծությունից հետո, վաթսունմեկ տեղական էսկալացիոն խնդիրներ շտկվել են վերին հոսքում, որից քառասունը երեքը ունեին փուլային կարկատաններ: OpenAI-ը շնորհակալություն է հայտնում սպասարկողներին արագ գործելու համար։ Դա հետազոտության ավարտի լուսանկար է, և նախագիծը շարունակել է զարգանալ: Ձեր բաշխումն ունի իր սեփական առաքված kernel-ը և թարմացումները:

Ո՞ր ամսաթիվն ու կարկատանների կարգավիճակն են կարևոր օգտատերերի համար:

3:34 Օգտատերերի համար գործնական քայլը նրանց կողմից իրականում գործող ծրագրային ապահովման համար խորհրդատվություններին հետևելն է։ Վերին հոսքի հետազոտության արդյունքը դեռ պետք է հասնի ձեր մեքենայի տարբերակին՝ այդ թարմացման գործընթացի միջոցով: Յուրաքանչյուր ոք, ով տեսել է, թե ինչպես է թեստային հավաքածուն անցնում, մինչդեռ արտադրանքը սխալ բան է անում, գիտի այստեղ պահանջվող դիմային արտահայտությունը: Հիմա վերադառնանք այդ վաղ ցուցատախտակին: Մարդկային վերանայողները խնդիր հայտնաբերեցին հաջողության ազդանշանի ներսում: Վաղ խողովակաշարը վերագրում էր նշանակված խոցելիությունը, երբ գործակալը ստանում էր

3:58 root իրավունքներ։ Դա ստուգում է արդյունքը: Նշանակված հայտնաբերումը դեռ պետք է կապված լինի այդ արդյունքի հետ, քանի որ համակարգը կարող է պարունակել մեկից ավելի թերություններ: Եթե ապացույցները մատնանշում են այլ պատճառ, ապա սկզբնական հաշվետվությունը պետք է ևս մեկ անգամ

Ի՞նչ են գտել վերանայողները վաղ շրջանում:

4:09 ուսումնասիրել։ Ըստ OpenAI-ի, վաղ շրջանը հայտնել է երկու հարյուր հաջող տեղական էսկալացիաներ։ Մարդկային վերանայումը հայտնաբերել է, որ քսանը հասել են root իրավունքների այլ թերության միջոցով, քան վերագրվածը: Հաջողությունն իրական էր, և վերագրումը սխալ էր: Դա կարող էր թողնել սկզբնական հայտնաբերման ապացույցները չլուծված, նույնիսկ երբ արդյունքների ցուցատախտակը տոնում էր։ Թեստը սխալ հարցի պատասխան էր տվել: Հեղինակները ասում են, որ նրանք խստացրել են սահմանափակումները և ավելացրել անկախ ստուգում, որ յուրաքանչյուր վերջնական արդյունք օգտագործել է իրեն վերագրված խոցելիությունը:

4:34 Դա նրանց պատասխանն է վաղ թերությանը: Վաղ քսանը չեն հաստատում, որ վերջնական ինը հարյուր քառասունութ բացահայտումները կեղծ են: Ստուգեք, թե ինչպես է արդյունքը տեղի ունեցել, նույնքան մանրակրկիտ, որքան թե արդյոք այն տեղի է ունեցել: Հեռանկարային մասը վերանայողներին ապացույցներ տրամադրելն է, որոնցով նրանք կարող են գործել՝ ճիշտ բացահայտման հետ միասին։ Եթե նախընտրում եք սա կարդալ, քան լսել իմ ասածը, ապա diff-ը հասնում է ձեր մուտքի արկղ ամեն առավոտ, անվճար the daily diff dot dev կայքում, հղումը ստորև:

Ի՞նչ է ստանում OpenAI-ի խողովակաշարի վերաբերյալ որոշումը:

4:55 Այսպիսով, այսօրվա որոշումը՝ NEEDS REVIEW։ Ես կպահեի այս խողովակաշարը պաշտպանական աշխատանքային հոսքի մեջ՝ մարդկային կարկատանների վերանայմամբ և անկախ ուղու ստուգումներով։ Հաղորդված բացահայտումներն օգտակար են դառնում, երբ սպասարկողները ստանում են ապացույցներ, որոնց կարող են վստահել, և շտկումներ, որոնք կարող են գնահատել: Եվ այսքանն է այսօրվա տարբերությունը։ Ես Նիկոն եմ Axrisi-ից։

5:10 Միավորեք պատասխանատվությամբ:

Աղբյուրներ

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr