OpenAI melaporkan 948 celah root lokal di Linux

Isi video ini

• Peningkatan hak istimewa lokal dimulai dengan pengguna lokal tidak istimewa yang sudah ada mencapai root. Laporan tersebut tidak memberikan keputusan akses jarak jauh khusus mesin.
• Jalur tersebut menghasilkan 2.308 kandidat setelah deduplikasi awal dan mereproduksi 1.724 kerentanan. 948 temuan lokal unik terakhirnya menggunakan hitungan kandidat patch yang berbeda setelah analisis varian dari 1.169 penilaian yang berhasil.
• $1,2 juta yang dilaporkan adalah kredit API untuk model, target, dan alur kerja yang dievaluasi. Penilaian hadiah historis adalah hipotesis dan memerlukan penerimaan program dan pembayaran terpisah.
• Dasar adalah pertengahan Oktober 2026. Angka 61-upstream/43-staging menggambarkan penyelesaian penelitian setelah sepuluh hari, sehingga nasihat distribusi saat ini tetap diperlukan.
• 20 dari 200 keberhasilan dari jalankan awal menggunakan celah yang berbeda dari yang ditugaskan. OpenAI melaporkan penambahan pemeriksaan jalur yang ditugaskan secara independen; cacat awal ini tidak membuktikan bahwa 948 terakhir adalah salah. Keputusan tersebut adalah NEEDS REVIEW dengan tinjauan patch oleh manusia dan pemeriksaan jalur.

Transkrip terjemahan

Diterjemahkan dari narasi asli bahasa Inggris. Audio dan teks tersedia yang dikontrol oleh YouTube.

Apa arti sebenarnya dari jumlah bug Linux OpenAI?

0:00 Menemukan celah Linux terdengar seperti memperbaikinya. OpenAI melaporkan sembilan ratus empat puluh delapan temuan root lokal dan kandidat patch, dengan biaya sekitar satu koma dua juta dolar dalam kredit API. Dalam video ini, apa yang dihitung? Apa yang ditangkap oleh tinjauan manusia? Ada tes awal di mana mesin benar-benar mendapatkan root, dan papan skor masih mengkreditkan hal yang salah. Kita akan melihat apa yang ditangkap oleh pengulas manusia.

0:20 Ini hari Kamis, lima November, dan ini adalah The Daily Diff.

Akses siapa yang bisa menjadi root?

0:24 Kernel Linux adalah inti yang mengelola sumber daya dan izin mesin. Peningkatan hak istimewa lokal berarti pengguna yang sudah ada, tidak istimewa mencapai root, hak istimewa tertinggi. OpenAI mempelajari batasan tersebut di mesin penelitian yang terisolasi. Masuk ke mesin adalah masalah terpisah. OpenAI menerbitkan penelitian pada empat November, menjelaskan model siber yang akan datang di dalam jalur otomatis. Hasil yang berguna adalah seperangkat temuan dengan bukti dan usulan perbaikan untuk

0:49 ditinjau orang. Makalah ini tidak mengumumkan akses umum ke model yang akan datang tersebut. Itu menyisakan pekerjaan yang sangat manusiawi di dalam cerita otonom. Para peneliti meninjau hasilnya dan mulai melaporkan kerentanan kritis dengan patch, mengikuti panduan dari komunitas kernel. Agen dapat mengisi kotak masuk. Seseorang masih harus memutuskan apa yang pantas ada di dalamnya. Jalur dimulai dengan bagian kernel yang relevan dengan keamanan,

Bagaimana seorang kandidat menjadi bukti?

1:10 kemudian menghasilkan sekitar dua puluh tiga ratus temuan kandidat setelah menghapus duplikat. Kandidat adalah kecurigaan yang layak diselidiki. Pada titik itu, paragraf yang meyakinkan dan celah yang benar-benar dapat direproduksi masih terlihat sangat mirip dalam spreadsheet. Jadi tahap terpisah mencoba mereproduksi masalah yang dicurigai di dalam mesin yang terisolasi, melestarikan bukti apa yang terjadi. OpenAI melaporkan sekitar tujuh belas ratus kerentanan yang direproduksi. Itu menetapkan perilaku yang dapat diperiksa oleh para peneliti.

1:36 Pertanyaan berikutnya adalah masalah mana dari masalah tersebut yang melintasi batasan izin yang serius. Panduan pelaporan keamanan Linux sendiri membantu menjelaskan dokumen. Pemelihara meminta versi yang terpengaruh, bukti, dan kondisi yang terlibat. Ini juga memperingatkan bahwa laporan AI berkualitas buruk menghabiskan kapasitas tinjauan. Itu adalah panduan komunitas umum, terlepas dari makalah OpenAI. Ini tidak mensertifikasi batch temuan ini.

Mengapa jumlah akhir menjadi 948?

1:58 Berikut detail penghitungan. OpenAI melaporkan sebelas ratus enam puluh sembilan peningkatan hak istimewa lokal yang berhasil selama penilaian. Para peneliti kemudian menganalisis varian terkait dan mengembangkan sembilan ratus empat puluh delapan patch yang berbeda. Mereka menggunakan hitungan patch tersebut untuk mendefinisikan temuan peningkatan lokal yang unik. Beberapa keberhasilan dapat berasal dari masalah yang mendasari yang sama. Sekitar satu koma dua juta dolar mencakup kredit API yang dilaporkan untuk model, target, dan alur kerja yang dievaluasi.

2:23 OpenAI mengatakan pengukuran kemampuan mendorong desain dan rekayasa yang lebih baik dapat mengurangi biaya. Total biaya peneliti tetap tidak terukur di sini. OpenAI membandingkan temuan dengan hadiah bug bounty historis, menghasilkan penilaian hipotetis. Penerimaan dan pembayaran adalah milik program bounty. Mengalikan hadiah dengan hitungan penelitian terasa menyenangkan sampai Anda mencoba menyimpan perkalian tersebut ke rekening bank Anda.

Apa yang masih membuat patch yang diusulkan tidak lengkap?

2:45 Patch yang diusulkan juga membutuhkan tinjauannya sendiri. Penulis mengatakan patch awal dapat menghentikan masalah yang ditunjukkan sambil menambahkan kode yang tidak perlu, mengorbankan kinerja, atau melewatkan varian terkait. Mereka meningkatkan instruksi dan mengulanginya. Perbaikan harus sesuai dengan basis kode yang lebih luas dan bertahan lebih dari tes pertama yang berhasil. OpenAI menjelaskan tinjauan manusia tentang tingkat keparahan dan perbaikan sebelum melaporkan ke upstream. Panduan Linux mengatakan perbaikan yang diusulkan yang telah diuji dapat menghemat waktu tinjauan meskipun pemelihara memilih perbaikan yang berbeda.

3:12 Penerimaan upstream tetap menjadi keputusan rekayasa yang terpisah.

Kapan snapshot patch diukur?

3:15 Dasar adalah kernel terbaru pada pertengahan Oktober. Setelah sepuluh hari penelitian dan analisis manual, enam puluh satu masalah peningkatan lokal ditambal di upstream, dengan empat puluh tiga memiliki patch staging. OpenAI memuji pemelihara yang bergerak cepat. Itu adalah snapshot penyelesaian penelitian, dan proyek terus bergerak. Distribusi Anda memiliki kernel dan pembaruan yang dikirimnya sendiri.

Tanggal dan status patch mana yang penting bagi pengguna?

3:34 Bagi pengguna, langkah praktis adalah mengikuti nasihat untuk perangkat lunak yang sebenarnya mereka jalankan. Hasil penelitian upstream masih perlu mencapai versi di mesin Anda melalui proses pembaruan tersebut. Siapa pun yang pernah melihat suite pengujian lulus sementara produk melakukan hal yang salah tahu ekspresi wajah yang dibutuhkan di sini. Sekarang kembali ke papan skor awal itu. Pengulas manusia menemukan masalah di dalam sinyal keberhasilan. Jalur awal mengkreditkan kerentanan yang ditugaskan setelah agen mendapatkan

3:58 root. Itu memeriksa hasilnya. Temuan yang ditugaskan masih perlu dihubungkan dengan hasil itu, karena sistem dapat berisi lebih dari satu celah. Jika bukti menunjukkan penyebab yang berbeda, laporan asli perlu dilihat lagi.

Apa yang ditemukan pengulas dalam jalankan awal?

4:09 Menurut OpenAI, jalankan awal melaporkan dua ratus peningkatan lokal yang berhasil. Tinjauan manusia menemukan dua puluh telah mencapai root melalui celah yang berbeda dari yang ditugaskan. Keberhasilan itu nyata, dan atribusi itu salah. Itu bisa meninggalkan bukti temuan asli yang belum terselesaikan bahkan saat papan skor merayakan. Tes itu telah menjawab pertanyaan yang salah. Para penulis mengatakan mereka memperketat batasan dan menambahkan pemeriksaan independen bahwa setiap hasil akhir menggunakan kerentanan yang ditugaskan.

4:34 Itu adalah tanggapan mereka terhadap cacat awal. Dua puluh awal tidak membuktikan bahwa sembilan ratus empat puluh delapan temuan terakhir adalah salah. Verifikasi bagaimana suatu hasil terjadi dengan cermat seperti apakah itu terjadi. Bagian yang menjanjikan adalah memberikan pengulas bukti yang dapat mereka tindak lanjuti, dengan temuan yang benar terlampir. Jika Anda lebih suka membaca ini daripada mendengar saya mengatakannya, diff tiba di kotak masuk Anda setiap pagi, gratis di daily diff dot dev, tautan di bawah.

Apa yang mendapat keputusan tentang jalur OpenAI?

4:55 Jadi putusan hari ini, NEEDS REVIEW. Saya akan mempertahankan jalur ini dalam alur kerja defensif dengan tinjauan patch oleh manusia dan pemeriksaan jalur independen. Temuan yang dilaporkan menjadi berguna ketika pemelihara menerima bukti yang dapat mereka percayai dan perbaikan yang dapat mereka nilai. Dan itulah diff untuk hari ini. Saya Niko dari Axrisi.

5:10 Gabungkan dengan bertanggung jawab.

Sumber

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr