OpenAI Linux'та 948 жергиликтүү root кемчиликтерин билдирди

Бул видео эмнелерди камтыйт

• Жергиликтүү артыкчылыкты жогорулатуу буга чейин болгон артыкчылыксыз жергиликтүү колдонуучунун root укугуна жетиши менен башталат. Отчетто машинага мүнөздүү алыстан кирүү чечими берилген эмес.
• Түтүкчө баштапкы кайталоону алып салгандан кийин 2308 талапкерди чыгарды жана 1724 аялуу жерлерди кайра жаратты. Анын акыркы 948 уникалдуу жергиликтүү табылгалары 1169 ийгиликтүү баалоонун варианттык талдоосунан кийин айырмаланган талапкер патч санын колдонот.
• Билдирилген 1,2 миллион доллар бааланган моделдер, максаттар жана иш процесси үчүн API кредиттери болуп саналат. Тарыхый сыйлыктарды баалоо гипотетикалык жана өзүнчө программаны кабыл алууну жана төлөөнү талап кылат.
• Базалык көрсөткүч 2026-жылдын октябрь айынын орто чени болгон. 61 жогору агым/43 этаптагы көрсөткүчтөр он күндөн кийин изилдөөнүн аякташын сүрөттөйт, андыктан учурдагы бөлүштүрүү кеңештери дагы эле зарыл.
• Эрте иштетилген 200 ийгиликтүү учурдун 20сы дайындалгандан башка кемчиликти колдонгон. OpenAI көз карандысыз дайындалган жолду текшерүүнү кошкондугун билдирди; бул эрте кемчилик акыркы 948 жалган экенин далилдебейт. Өкүм NEEDS REVIEW болгон, адам патчын карап чыгуу жана жолду текшерүү менен.

Котормо стенограмма

Англис тилиндеги баштапкы баяндамадан которулган. Жеткиликтүү аудио жана коштомо жазуулар YouTube тарабынан көзөмөлдөнөт.

OpenAI'дын Linux мүчүлүштүктөрүнүн саны эмнени билдирет?

0:00 Linux кемчилигин табуу аны оңдоо сыяктуу угулат. OpenAI тогуз жүз кырк сегиз жергиликтүү root табылгаларын жана талапкер патчтарын билдирди, болжол менен бир миллион эки жүз миң долларлык API кредиттери менен. Бул видеодо эмне эсептелет? Адамдык карап чыгуу эмнени кармады? Машиналар чындап эле root укугуна ээ болгон алгачкы тест бар, жана табло дагы деле туура эмес нерсени эсептеген. Биз адам карап чыгуучулар эмнени кармаганын көрөбүз.

0:20 Бейшемби, ноябрь бешинчи, жана бул The Daily Diff.

Кимдин кирүү мүмкүнчүлүгү root болушу мүмкүн?

0:24 Linux ядросу машинанын ресурстарын жана уруксаттарын башкарган негизги бөлүгү. Жергиликтүү артыкчылыкты жогорулатуу буга чейин болгон, артыкчылыксыз колдонуучунун root, эң жогорку артыкчылыкка жетиши дегенди билдирет. OpenAI изоляцияланган изилдөө машиналарында бул чекти изилдеди. Машинага кирүү - өзүнчө маселе. OpenAI изилдөөнү төртүнчү ноябрда жарыялады, автоматташтырылган түтүкчөдө келе жаткан кибер моделди сүрөттөп. Пайдалуу натыйжа - адамдар карап чыгуусу үчүн далилдер жана сунушталган оңдоолор менен табылгалардын жыйындысы.

0:49 адамдар карап чыгуусу үчүн. Документ келе жаткан моделге жалпы кирүү мүмкүнчүлүгүн жарыялабайт. Бул автономдуу окуянын ичинде абдан адамдык жумушту калтырат. Изилдөөчүлөр натыйжаларды карап чыгып, ядро коомчулугунун көрсөтмөлөрүнө ылайык, патчтар менен олуттуу аялуу жерлерди билдире башташты. патчтар менен, ядро коомчулугунун көрсөтмөлөрүнө ылайык. Агенттер келген каттарды толтура алышат. Кимдир бирөө дагы эле анын ичинде эмне болушу керек экенин чечиши керек. Түтүкчө ядронун коопсуздукка тиешелүү бөлүктөрүнөн башталып,

Талапкер кантип далил болот?

1:10 андан кийин кайталоолорду алып салгандан кийин жыйырма үч жүздөй талапкер табылгаларды чыгарды. кайталоолорду алып салгандан кийин. Талапкер - бул иликтөөгө арзырлык шектенүү. Ошол учурда, ынандырарлык абзац жана иш жүзүндө кайталанма кемчилик дагы деле тажатышып, электрондук таблицада окшош көрүнөт. Ошентип, өзүнчө этап изоляцияланган машиналардын ичинде шектүү маселелерди кайра жаратууга аракет кылды, болгон окуялардын далилдерин сактап. OpenAI болжол менен он жети жүздөй кайра жаралган аялуу жерлерди билдирди. Бул изилдөөчүлөр текшере ала турган жүрүм-турумду аныктайт.

1:36 Кийинки суроо - бул көйгөйлөрдүн кайсынысы олуттуу уруксат чегин кесип өтөт. Linux'тун өзүнүн коопсуздукту билдирүү көрсөтмөсү документтерди түшүндүрүүгө жардам берет. Тейлөөчүлөр жабыркаган версияны, далилдерди жана тиешелүү шарттарды сурашат. Ошондой эле ал начар сапаттагы AI отчеттору карап чыгуу кубаттуулугун сарптайт деп эскертет. Бул жалпы коомчулуктун көрсөтмөсү, OpenAI'дын документинен көз карандысыз. Бул табылгалардын бул топтомун тастыктабайт.

Эмне үчүн акыркы сан 948 болот?

1:58 Мына санауунун деталдары. OpenAI баалоо учурунда он бир жүз алтымыш тогуз ийгиликтүү жергиликтүү артыкчылыкты жогорулатууну билдирди. ийгиликтүү жергиликтүү артыкчылыкты жогорулатууну билдирди. Андан кийин изилдөөчүлөр тиешелүү варианттарды талдап, тогуз жүз кырк сегиз айырмаланган патчты иштеп чыгышты. тогуз жүз кырк сегиз айырмаланган патчты иштеп чыгышты. Алар уникалдуу жергиликтүү жогорулатуу табылгаларын аныктоо үчүн патч санын колдонушат. Бир нече ийгиликтер бир эле негизги маселеге таандык болушу мүмкүн. Болжол менен бир миллион эки жүз миң доллар бааланган моделдер, максаттар жана иш процесси үчүн билдирилген API кредиттерин камтыйт. бааланган моделдер, максаттар жана иш процесси үчүн билдирилген API кредиттерин камтыйт.

2:23 OpenAI мүмкүнчүлүктөрдү өлчөө дизайнды башкарганын жана жакшыраак инженерия чыгымдарды азайтышы мүмкүн экенин айтат. чыгымдарды азайтышы мүмкүн экенин айтат. Изилдөөчүлөрдүн жалпы чыгымдары бул жерде өлчөнгөн эмес. OpenAI табылгаларды тарыхый мүчүлүштүктөр үчүн сыйлыктар менен салыштырат, гипотетикалык баалоону түзүп. Кабыл алуу жана төлөө сыйлык программасына таандык. Сыйлыкты изилдөө санына көбөйтүү, көбөйтүүнү банк эсебиңизге салууга аракет кылмайынча, сонун сезилет. көбөйтүүнү банк эсебиңизге салууга аракет кылмайынча, сонун сезилет.

Сунушталган патчты эмне дагы деле толук эмес кылат?

2:45 Сунушталган патч дагы өзүнчө карап чыгууну талап кылат. Авторлордун айтымында, алгачкы патчтар керексиз кодду кошуп, аткарууну азайтып же тиешелүү варианттарды өткөрүп жиберип, керексиз кодду кошуп, аткарууну азайтып же тиешелүү варианттарды өткөрүп жиберип, көрсөтүлгөн көйгөйдү токтото алат. Алар көрсөтмөлөрдү жакшыртып, кайталашты. Оңдоо кеңири код базасына туура келиши керек жана биринчи тесттен көп нерсени аткарышы керек, жашыл болгон биринчи тесттен көптү. OpenAI жогору агымга билдирүүдөн мурун олуттуулугун жана оңдоолорун адамдык карап чыгууну сүрөттөйт. жогору агымга билдирүүдөн мурун. Linux'тун көрсөтмөсү сыналган сунушталган оңдоо тейлөөчүлөр башка оңдоону тандаса да, сыналган сунушталган оңдоо тейлөөчүлөр башка оңдоону тандаса да, карап чыгуу убактысын үнөмдөй алат дейт.

3:12 Жогору агымга кабыл алуу өзүнчө инженерия чечими бойдон калууда.

Патчтын сүрөтү качан өлчөндү?

3:15 Базалык көрсөткүч октябрь айынын орто чениндеги акыркы ядро болгон. Он күндүк изилдөө жана кол менен талдоодон кийин, алтымыш бир жергиликтүү эскалация маселеси жогору агымда патчталды, кырк үч этаптагы патчтарга ээ болгон. OpenAI тейлөөчүлөрдүн тез аракеттенишине рахмат айтат. Бул изилдөө аяктаган сүрөт, жана долбоор улана берген. Сиздин бөлүштүрүүңүздүн өзүнүн жеткирилген ядросу жана жаңыртуулары бар.

Колдонуучулар үчүн кайсы дата жана патч статусу маанилүү?

3:34 Колдонуучулар үчүн практикалык кадам - алар иштеткен программалык камсыздоо үчүн кеңештерди аткаруу. чындыгында иштеткен программалык камсыздоо үчүн кеңештерди аткаруу. Жогору агымдагы изилдөө натыйжасы дагы деле ошол жаңыртуу процесси аркылуу машинаңыздагы версияга жетиши керек. ошол жаңыртуу процесси аркылуу машинаңыздагы версияга жетиши керек. Продукт туура эмес нерсени жасап жатканда тест топтомунун өтүп жатканын көргөндөр бул жерде талап кылынган мимиканы билишет. Эми ошол алгачкы таблога кайтып келели. Адам карап чыгуучулар ийгилик сигналынын ичинен көйгөй табышты. Эрте түтүкчө агент root укугуна ээ болгондон кийин дайындалган аялуу жерди эсептеген.

3:58 root укугуна ээ болгондон кийин дайындалган аялуу жерди эсептеген. Бул натыйжаны текшерет. Дайындалган табылга дагы деле ошол натыйжага байланыштуу болушу керек, анткени системада бир нече кемчилик болушу мүмкүн. Эгер далилдер башка себепти көрсөтсө, баштапкы отчетту кайра карап чыгуу керек.

Карап чыгуучулар эрте иштетилгенде эмне табышты?

4:09 карап чыгуу керек. OpenAI'дын айтымында, алгачкы иштетилгенде эки жүз ийгиликтүү жергиликтүү эскалация билдирилген. Адам карап чыгуусу жыйырмасы дайындалгандан башка кемчилик аркылуу root укугуна жеткенин аныктады. жыйырмасы дайындалгандан башка кемчилик аркылуу root укугуна жеткенин аныктады. Ийгилик чыныгы болгон, жана атрибуция туура эмес болгон. Бул табло майрамдап жатканда да баштапкы табылганын далилдерин чечилбей калтырышы мүмкүн. табло майрамдап жатканда да. Тест туура эмес суроого жооп берген. Авторлордун айтымында, алар чектөөлөрдү күчөтүп, ар бир акыркы натыйжа дайындалган аялуу жерди колдонгонун көз карандысыз текшерүүнү кошушту. ар бир акыркы натыйжа дайындалган аялуу жерди колдонгонун көз карандысыз текшерүүнү кошушту.

4:34 Бул алардын алгачкы кемчиликке берген жообу. Алгачкы жыйырма акыркы тогуз жүз кырк сегиз табылганын жалган экенин далилдебейт. табылганын жалган экенин далилдебейт. Натыйжанын кантип болгонун, анын болгон-болбогонун текшергендей эле кылдат текшериңиз. Келечектүү бөлүгү - карап чыгуучуларга алар аракет кыла турган далилдерди берүү, туура табылга менен кошо. Эгер сиз муну менин айтканымды укканга караганда окуганды кааласаңыз, diff күн сайын эртең менен келген каттар кутусуна келет, күн сайын эртең менен, the daily diff dot dev дарегинде акысыз, шилтеме төмөндө.

OpenAI'дын түтүкчөсүнө кандай өкүм чыгат?

4:55 Ошентип, бүгүнкү өкүм, NEEDS REVIEW. Мен бул түтүкчөнү адам патчын карап чыгуу жана көз карандысыз жол текшерүүлөрү менен коргонуу иш процессинде сактамакмын. көз карандысыз жол текшерүүлөрү менен коргонуу иш процессинде сактамакмын. Билдирилген табылгалар качан пайдалуу болот тейлөөчүлөр ишенген далилдерди алганда жана алар баалай ала турган оңдоолорду алганда. Жана бүгүнкү айырма ушул. Мен Axrisi'ден Никомун.

5:10 Жоопкерчиликтүү түрдө бириктириңиз.

Булактар

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr