OpenAI ລາຍງານ 948 ຈຸດບົກພ່ອງທີ່ເປັນ Root ໃນ Linux

ສິ່ງທີ່ວິດີໂອນີ້ກວມເອົາ

• ການຍົກລະດັບສິດທິພິເສດໃນທ້ອງຖິ່ນເລີ່ມຕົ້ນດ້ວຍຜູ້ໃຊ້ທ້ອງຖິ່ນທີ່ບໍ່ມີສິດທິພິເສດທີ່ມີຢູ່ແລ້ວທີ່ສາມາດເຂົ້າເຖິງ root ໄດ້. ບົດລາຍງານບໍ່ໄດ້ໃຫ້ຄໍາຕັດສິນກ່ຽວກັບການເຂົ້າເຖິງທາງໄກສະເພາະເຄື່ອງຈັກ.
• ລະບົບດັ່ງກ່າວໄດ້ຜະລິດ 2,308 candidate ຫຼັງຈາກການກໍາຈັດ duplicate ເບື້ອງຕົ້ນ ແລະ ໄດ້ສ້າງຄືນ 1,724 ຈຸດອ່ອນ. 948 ຈຸດບົກພ່ອງໃນທ້ອງຖິ່ນທີ່ເປັນເອກະລັກສຸດທ້າຍຂອງມັນແມ່ນໃຊ້ຈໍານວນ patch candidate ທີ່ແຕກຕ່າງກັນຫຼັງຈາກການວິເຄາະ variant ຂອງການປະເມີນຜົນທີ່ສໍາເລັດ 1,169 ຄັ້ງ.
• 1.2 ລ້ານໂດລາທີ່ລາຍງານແມ່ນ API credits ສໍາລັບ models, targets ແລະ workflow ທີ່ຖືກປະເມີນ. ການປະເມີນ bounty ທາງປະຫວັດສາດແມ່ນເປັນສົມມຸດຕິຖານ ແລະ ຕ້ອງການການຍອມຮັບໂຄງການ ແລະ ການຈ່າຍເງິນແຍກຕ່າງຫາກ.
• Baseline ແມ່ນກາງເດືອນຕຸລາ 2026. ຕົວເລກ 61-upstream/43-staging ອະທິບາຍເຖິງຄວາມສໍາເລັດຂອງການຄົ້ນຄວ້າຫຼັງຈາກສິບວັນ, ດັ່ງນັ້ນຄໍາແນະນໍາການແຈກຢາຍໃນປັດຈຸບັນຍັງມີຄວາມຈໍາເປັນ.
• ຄວາມສໍາເລັດ 20 ຈາກ 200 ໃນການທົດລອງເບື້ອງຕົ້ນແມ່ນໃຊ້ຈຸດບົກພ່ອງທີ່ແຕກຕ່າງຈາກທີ່ໄດ້ຮັບມອບໝາຍ. OpenAI ລາຍງານວ່າໄດ້ເພີ່ມການກວດສອບເສັ້ນທາງທີ່ໄດ້ຮັບມອບໝາຍເອກະລາດ; ຂໍ້ບົກພ່ອງໃນຕອນຕົ້ນນີ້ບໍ່ໄດ້ຢືນຢັນວ່າ 948 ສຸດທ້າຍແມ່ນຜິດພາດ. ຄໍາຕັດສິນແມ່ນ NEEDS REVIEW ດ້ວຍການກວດສອບ patch ໂດຍມະນຸດ ແລະ ການກວດສອບເສັ້ນທາງ.

ບົດບັນທຶກທີ່ແປແລ້ວ

ແປຈາກຄຳບັນຍາຍຕົ້ນສະບັບພາສາອັງກິດ. ສຽງ ແລະ ຄຳບັນຍາຍທີ່ມີໃຫ້ແມ່ນຄວບຄຸມໂດຍ YouTube.

ຈໍານວນ bug ຂອງ Linux ຂອງ OpenAI ໝາຍຄວາມວ່າແນວໃດ?

0:00 ການຊອກຫາຈຸດບົກພ່ອງຂອງ Linux ຄືກັບການແກ້ໄຂມັນ. OpenAI ລາຍງານ 948 ຈຸດບົກພ່ອງທີ່ເປັນ root ໃນທ້ອງຖິ່ນ ແລະ candidate patches, ໂດຍມີມູນຄ່າປະມານ 1.2 ລ້ານໂດລາໃນ API credits. ໃນວິດີໂອນີ້, ສິ່ງໃດທີ່ນັບ? ການກວດສອບໂດຍມະນຸດຈັບໄດ້ຫຍັງ? ມີການທົດສອບເບື້ອງຕົ້ນທີ່ເຄື່ອງຈັກໄດ້ຮັບ root ແທ້ໆ, ແລະຄະແນນຍັງໃຫ້ຄະແນນຜິດ. ພວກເຮົາຈະເບິ່ງວ່າຜູ້ກວດສອບໂດຍມະນຸດຈັບໄດ້ຫຍັງ.

0:20 ນີ້ແມ່ນວັນພະຫັດ, ວັນທີ 5 ພະຈິກ, ແລະນີ້ແມ່ນ The Daily Diff.

ການເຂົ້າເຖິງຂອງໃຜສາມາດກາຍເປັນ root ໄດ້?

0:24 Linux kernel ແມ່ນຫຼັກທີ່ຄຸ້ມຄອງຊັບພະຍາກອນແລະສິດທິພິເສດຂອງເຄື່ອງຈັກ. ການຍົກລະດັບສິດທິພິເສດໃນທ້ອງຖິ່ນໝາຍເຖິງຜູ້ໃຊ້ທີ່ບໍ່ມີສິດທິພິເສດທີ່ມີຢູ່ແລ້ວ, ສາມາດເຂົ້າເຖິງ root, ສິດທິພິເສດສູງສຸດ. OpenAI ໄດ້ສຶກສາຂອບເຂດນັ້ນໃນເຄື່ອງຄົ້ນຄວ້າທີ່ແຍກຕ່າງຫາກ. ການເຂົ້າເຖິງເຄື່ອງຈັກແມ່ນບັນຫາແຍກຕ່າງຫາກ. OpenAI ໄດ້ເຜີຍແຜ່ການຄົ້ນຄວ້າໃນວັນທີ 4 ພະຈິກ, ອະທິບາຍ cyber model ທີ່ຈະມາເຖິງພາຍໃນລະບົບອັດຕະໂນມັດ. ຜົນໄດ້ຮັບທີ່ມີປະໂຫຍດແມ່ນຊຸດຂອງການຄົ້ນພົບພ້ອມຫຼັກຖານແລະການແກ້ໄຂທີ່ຖືກສະເໜີສໍາລັບ

0:49 ຄົນທີ່ຈະກວດສອບ. ບົດລາຍງານບໍ່ໄດ້ປະກາດການເຂົ້າເຖິງທົ່ວໄປຕໍ່ model ທີ່ຈະມາເຖິງນັ້ນ. ນັ້ນເຮັດໃຫ້ວຽກງານຂອງມະນຸດມີຄວາມສໍາຄັນພາຍໃນເລື່ອງອັດຕະໂນມັດ. ນັກຄົ້ນຄວ້າໄດ້ກວດສອບຜົນໄດ້ຮັບແລະເລີ່ມລາຍງານຈຸດອ່ອນທີ່ສໍາຄັນ ພ້ອມ patches, ຕາມຄໍາແນະນໍາຈາກຊຸມຊົນ kernel. agents ສາມາດຕື່ມ inbox ໄດ້. ຍັງມີຄົນຕ້ອງຕັດສິນໃຈວ່າສິ່ງໃດຄວນຢູ່ໃນນັ້ນ. ລະບົບດັ່ງກ່າວໄດ້ເລີ່ມຕົ້ນດ້ວຍພາກສ່ວນທີ່ກ່ຽວຂ້ອງກັບຄວາມປອດໄພຂອງ kernel,

candidate ກາຍເປັນຫຼັກຖານໄດ້ແນວໃດ?

1:10 ຈາກນັ້ນໄດ້ຜະລິດປະມານ 2,300 candidate findings ຫຼັງຈາກການກໍາຈັດ duplicate. candidate ແມ່ນຄວາມສົງໄສທີ່ຄຸ້ມຄ່າຕໍ່ການສືບສວນ. At that point, a convincing paragraph and an actual reproducible flaw still look At that point, a convincing paragraph and an actual reproducible flaw still look ໃນຕອນນັ້ນ, ວັກທີ່ໜ້າເຊື່ອຖືແລະຈຸດບົກພ່ອງທີ່ສາມາດສ້າງຄືນໄດ້ຍັງຄົງຄ້າຍຄືກັນທີ່ໜ້າລໍາຄານໃນ spreadsheet. ດັ່ງນັ້ນຂັ້ນຕອນແຍກຕ່າງຫາກໄດ້ພະຍາຍາມສ້າງຄືນບັນຫາທີ່ສົງໃສພາຍໃນເຄື່ອງຈັກທີ່ແຍກຕ່າງຫາກ, ເກັບຮັກສາຫຼັກຖານຂອງສິ່ງທີ່ເກີດຂຶ້ນ. OpenAI ລາຍງານຈຸດອ່ອນທີ່ຖືກສ້າງຄືນໃໝ່ປະມານ 1,700 ຈຸດ. ນັ້ນສ້າງພຶດຕິກໍາທີ່ນັກຄົ້ນຄວ້າສາມາດກວດສອບໄດ້.

1:36 ຄໍາຖາມຕໍ່ໄປຄືບັນຫາໃດໃນບັນດາບັນຫາເຫຼົ່ານັ້ນທີ່ຂ້າມຂອບເຂດສິດທິພິເສດທີ່ຮ້າຍແຮງ. ຄູ່ມືການລາຍງານຄວາມປອດໄພຂອງ Linux ຊ່ວຍອະທິບາຍເອກະສານ. ຜູ້ດູແລຮັກສາຮ້ອງຂໍເວີຊັນທີ່ຖືກກະທົບ, ຫຼັກຖານ, ແລະເງື່ອນໄຂທີ່ກ່ຽວຂ້ອງ. ມັນຍັງເຕືອນວ່າລາຍງານ AI ທີ່ມີຄຸນນະພາບບໍ່ດີຈະບໍລິໂພກຄວາມສາມາດໃນການກວດສອບ. ນັ້ນແມ່ນຄໍາແນະນໍາຊຸມຊົນທົ່ວໄປ, ເປັນເອກະລາດຈາກບົດລາຍງານຂອງ OpenAI. ມັນບໍ່ໄດ້ຮັບຮອງການຄົ້ນພົບຊຸດນີ້.

ເປັນຫຍັງຈໍານວນສຸດທ້າຍຈຶ່ງກາຍເປັນ 948?

1:58 ນີ້ແມ່ນລາຍລະອຽດການນັບ. OpenAI ລາຍງານການຍົກລະດັບສິດທິພິເສດໃນທ້ອງຖິ່ນທີ່ສໍາເລັດ 1,169 ຄັ້ງ ໃນລະຫວ່າງການປະເມີນ. ຈາກນັ້ນນັກຄົ້ນຄວ້າໄດ້ວິເຄາະ variants ທີ່ກ່ຽວຂ້ອງແລະພັດທະນາ 948 patches ທີ່ແຕກຕ່າງກັນ. ພວກເຂົາໃຊ້ຈໍານວນ patch ນັ້ນເພື່ອກໍານົດການຄົ້ນພົບການຍົກລະດັບໃນທ້ອງຖິ່ນທີ່ເປັນເອກະລັກ. ຄວາມສໍາເລັດຫຼາຍຄັ້ງສາມາດເປັນຂອງບັນຫາພື້ນຖານດຽວກັນ. ປະມານ 1.2 ລ້ານໂດລາແມ່ນ API credits ທີ່ລາຍງານສໍາລັບ models, targets ແລະ workflow ທີ່ຖືກປະເມີນ. OpenAI ກ່າວວ່າການວັດແທກຄວາມສາມາດໄດ້ຂັບເຄື່ອນການອອກແບບແລະວິສະວະກໍາທີ່ດີກວ່າສາມາດ

2:23 ຫຼຸດຜ່ອນຄ່າໃຊ້ຈ່າຍ. ຄ່າໃຊ້ຈ່າຍຂອງນັກຄົ້ນຄວ້າທັງໝົດຍັງບໍ່ໄດ້ຖືກວັດແທກຢູ່ທີ່ນີ້. OpenAI ປຽບທຽບການຄົ້ນພົບກັບລາງວັນ bug bounty ທາງປະຫວັດສາດ, ສ້າງການປະເມີນມູນຄ່າສົມມຸດຕິຖານ. ການຍອມຮັບແລະການຈ່າຍເງິນແມ່ນຂຶ້ນກັບໂຄງການ bounty. ການຄູນລາງວັນດ້ວຍຈໍານວນການຄົ້ນຄວ້າຮູ້ສຶກດີຈົນກວ່າເຈົ້າຈະພະຍາຍາມຝາກ ການຄູນນັ້ນເຂົ້າບັນຊີທະນາຄານຂອງເຈົ້າ. patch ທີ່ຖືກສະເໜີກໍ່ຕ້ອງການການກວດສອບຂອງຕົນເອງ.

ສິ່ງໃດທີ່ຍັງເຮັດໃຫ້ patch ທີ່ຖືກສະເໜີບໍ່ຄົບຖ້ວນ?

2:45 ຜູ້ຂຽນກ່າວວ່າ patches ເບື້ອງຕົ້ນສາມາດຢຸດບັນຫາທີ່ສະແດງອອກໃນຂະນະທີ່ເພີ່ມ code ທີ່ບໍ່ຈໍາເປັນ, ສູນເສຍປະສິດທິພາບ, ຫຼືພາດ variants ທີ່ກ່ຽວຂ້ອງ. ພວກເຂົາໄດ້ປັບປຸງຄໍາແນະນໍາແລະ iterated. ການແກ້ໄຂຕ້ອງເໝາະສົມກັບ codebase ທີ່ກວ້າງຂວາງແລະຢູ່ລອດໄດ້ຫຼາຍກວ່າການທົດສອບຄັ້ງທໍາອິດທີ່ ກາຍເປັນສີຂຽວ. OpenAI ອະທິບາຍການກວດສອບຄວາມຮຸນແຮງແລະການແກ້ໄຂໂດຍມະນຸດກ່ອນ ການລາຍງານ upstream. ຄູ່ມືຂອງ Linux ກ່າວວ່າການແກ້ໄຂທີ່ຖືກສະເໜີທີ່ຖືກທົດສອບສາມາດປະຢັດເວລາການກວດສອບ ເຖິງແມ່ນວ່າຜູ້ດູແລຮັກສາຈະເລືອກການແກ້ໄຂທີ່ແຕກຕ່າງກັນ. ການຍອມຮັບຈາກ upstream ຍັງຄົງເປັນການຕັດສິນໃຈທາງວິສະວະກໍາແຍກຕ່າງຫາກ.

3:12 baseline ແມ່ນ kernel ລ່າສຸດໃນກາງເດືອນຕຸລາ.

snapshot patch ຖືກວັດແທກເມື່ອໃດ?

3:15 ຫຼັງຈາກສິບວັນຂອງການຄົ້ນຄວ້າແລະການວິເຄາະດ້ວຍມື, 61 ບັນຫາການຍົກລະດັບໃນທ້ອງຖິ່ນໄດ້ຖືກແກ້ໄຂ upstream, ໂດຍມີ 43 ບັນຫາທີ່ມີ staging patches. OpenAI ຍົກຍ້ອງຜູ້ດູແລຮັກສາທີ່ເຄື່ອນໄຫວໄວ. ນັ້ນແມ່ນ snapshot ຄວາມສໍາເລັດຂອງການຄົ້ນຄວ້າ, ແລະໂຄງການຍັງຄົງດໍາເນີນຕໍ່ໄປ. ການແຈກຢາຍຂອງເຈົ້າມີ kernel ແລະການອັບເດດຂອງຕົນເອງ. ສໍາລັບຜູ້ໃຊ້, ຂັ້ນຕອນທີ່ປະຕິບັດໄດ້ຄືການປະຕິບັດຕາມຄໍາແນະນໍາສໍາລັບ software ທີ່ພວກເຂົາ

ວັນທີແລະສະຖານະ patch ໃດທີ່ສໍາຄັນຕໍ່ຜູ້ໃຊ້?

3:34 ໃຊ້ຕົວຈິງ. ຜົນການຄົ້ນຄວ້າ upstream ຍັງຕ້ອງການເຂົ້າເຖິງເວີຊັນໃນ ເຄື່ອງຈັກຂອງເຈົ້າຜ່ານຂະບວນການອັບເດດນັ້ນ. ໃຜກໍ່ຕາມທີ່ເຄີຍເບິ່ງຊຸດການທົດສອບຜ່ານໃນຂະນະທີ່ຜະລິດຕະພັນເຮັດສິ່ງທີ່ຜິດພາດ ຮູ້ເຖິງສີໜ້າທີ່ຕ້ອງການຢູ່ທີ່ນີ້. ຕອນນີ້ກັບຄືນໄປທີ່ຄະແນນເບື້ອງຕົ້ນນັ້ນ. ຜູ້ກວດສອບໂດຍມະນຸດໄດ້ຄົ້ນພົບບັນຫາພາຍໃນສັນຍານຄວາມສໍາເລັດ. ລະບົບເບື້ອງຕົ້ນໄດ້ໃຫ້ຄະແນນຈຸດອ່ອນທີ່ຖືກມອບໝາຍເມື່ອ agent ໄດ້ຮັບ root. ນັ້ນກວດສອບຜົນໄດ້ຮັບ.

3:58 ການຄົ້ນພົບທີ່ຖືກມອບໝາຍຍັງຕ້ອງການເຊື່ອມຕໍ່ກັບຜົນໄດ້ຮັບນັ້ນ, ເພາະວ່າລະບົບສາມາດບັນຈຸຫຼາຍກວ່າໜຶ່ງຈຸດບົກພ່ອງ. ຖ້າຫຼັກຖານຊີ້ໃຫ້ເຫັນສາເຫດທີ່ແຕກຕ່າງກັນ, ລາຍງານເດີມຕ້ອງການການກວດສອບອີກຄັ້ງ. ອີງຕາມ OpenAI, ການທົດລອງເບື້ອງຕົ້ນໄດ້ລາຍງານການຍົກລະດັບໃນທ້ອງຖິ່ນທີ່ສໍາເລັດ 200 ຄັ້ງ.

ຜູ້ກວດສອບພົບຫຍັງໃນການທົດລອງເບື້ອງຕົ້ນ?

4:09 ການກວດສອບໂດຍມະນຸດພົບວ່າ 20 ຄັ້ງໄດ້ເຂົ້າເຖິງ root ຜ່ານຈຸດບົກພ່ອງທີ່ແຕກຕ່າງກັນ ຈາກທີ່ໄດ້ຮັບມອບໝາຍ. ຄວາມສໍາເລັດແມ່ນແທ້ຈິງ, ແລະການກໍານົດແມ່ນຜິດພາດ. ນັ້ນສາມາດເຮັດໃຫ້ຫຼັກຖານຂອງການຄົ້ນພົບເດີມບໍ່ຖືກແກ້ໄຂເຖິງແມ່ນວ່າ ຄະແນນຈະສະເຫຼີມສະຫຼອງ. ການທົດສອບໄດ້ຕອບຄໍາຖາມທີ່ຜິດພາດ. ຜູ້ຂຽນກ່າວວ່າພວກເຂົາໄດ້ເພີ່ມຄວາມເຂັ້ມງວດຂອງຂໍ້ຈໍາກັດແລະເພີ່ມການກວດສອບເອກະລາດທີ່ ແຕ່ລະຜົນໄດ້ຮັບສຸດທ້າຍແມ່ນໃຊ້ຈຸດອ່ອນທີ່ຖືກມອບໝາຍ. ນັ້ນແມ່ນການຕອບສະໜອງຂອງພວກເຂົາຕໍ່ຂໍ້ບົກພ່ອງໃນຕອນຕົ້ນ.

4:34 20 ອັນທໍາອິດບໍ່ໄດ້ຢືນຢັນວ່າການຄົ້ນພົບ 948 ອັນສຸດທ້າຍ ແມ່ນຜິດພາດ. ກວດສອບວິທີທີ່ຜົນໄດ້ຮັບເກີດຂຶ້ນຢ່າງລະມັດລະວັງເທົ່າກັບວ່າມັນເກີດຂຶ້ນຫຼືບໍ່. ສ່ວນທີ່ promising ຄືການໃຫ້ຫຼັກຖານແກ່ຜູ້ກວດສອບທີ່ພວກເຂົາສາມາດປະຕິບັດໄດ້, ພ້ອມດ້ວຍການຄົ້ນພົບທີ່ຖືກຕ້ອງຕິດຢູ່. ຖ້າເຈົ້າຢາກອ່ານສິ່ງນີ້ຫຼາຍກວ່າທີ່ຈະໄດ້ຍິນຂ້ອຍເວົ້າ, The Daily Diff ຈະຖືກສົ່ງເຂົ້າ inbox ຂອງເຈົ້າ ທຸກເຊົ້າ, ຟຣີທີ່ thedailydiff.dev, ລິ້ງຢູ່ລຸ່ມນີ້. ດັ່ງນັ້ນຄໍາຕັດສິນຂອງມື້ນີ້, NEEDS REVIEW.

ສິ່ງໃດທີ່ໄດ້ຮັບຄໍາຕັດສິນກ່ຽວກັບລະບົບຂອງ OpenAI?

4:55 ຂ້ອຍຈະເກັບລະບົບນີ້ໄວ້ໃນ workflow ປ້ອງກັນດ້ວຍການກວດສອບ patch ໂດຍມະນຸດແລະ ການກວດສອບເສັ້ນທາງທີ່ຖືກມອບໝາຍເອກະລາດ. ການຄົ້ນພົບທີ່ຖືກລາຍງານຈະມີປະໂຫຍດເມື່ອ ຜູ້ດູແລຮັກສາໄດ້ຮັບຫຼັກຖານທີ່ພວກເຂົາສາມາດໄວ້ວາງໃຈໄດ້ ແລະການແກ້ໄຂທີ່ພວກເຂົາສາມາດປະເມີນໄດ້. ແລະນັ້ນຄື diff ສໍາລັບມື້ນີ້. ຂ້ອຍຄື Niko ຈາກ Axrisi. Merge ຢ່າງມີຄວາມຮັບຜິດຊອບ.

5:10 Merge ຢ່າງມີຄວາມຮັບຜິດຊອບ.

ແຫຼ່ງຂໍ້ມູນ

1. A thousand fewer paths to root — reported Linux pipeline method and countsOpenAI
2. Unique findings defined by distinct candidate patches after variant analysisOpenAI
3. Early wrong-assigned-flaw result and added independent path checkOpenAI
4. Research-completion patch snapshot and mid-October baselineOpenAI
5. Security bugs — general reporting and AI report-quality guidanceThe Linux Kernel
6. Discussion of OpenAI's Linux research, interest context onlyHacker News
7. Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identification, no endorsement or current reactionTechCrunch via Wikimedia Commons
8. Portrait licence: Creative Commons Attribution 2.0Creative Commons
9. Drake Hotline Bling template — brief transformed process commentary, no actual news reaction or blanket reuse licenceImgflip
10. Nathan Fillion in Firefly, HULU disbelief GIF — brief transformed process commentary, no actual news reaction or blanket reuse licence; public hosting does not certify legal clearanceHULU on GIPHY
11. Original Sam Altman portrait — TechCrunch; Steve Jennings/Getty Images for TechCrunch; CC BY 2.0; cropped, background removed and resized; vendor identity only, no endorsement or personal study authorshipTechCrunch on Flickr