OpenAI Linux ядросынан жергілікті пайдаланушыға әкімші құқығын алуға мүмкіндік беретін 948 осалдық тапқанын хабарлады. Компанияның тәжірибелік жүйесі оларды түзету нұсқаларын да дайындады. Зерттеушілер нәтижелерді тексеріп, ядроны сүйемелдеушілерге жеткізе бастады.
Бұл 948 жаңарту орнатылып қойды деген сөз емес. Ұсынылған патчтар әлі тексерілуі керек, ал компания олардың қаншасы қабылданып, Linux шығарылымдарына енгенін нақтыламады. Зерттеу жүріп жатқанда қауымдастықтың басқа мүшелері кейбір мәселелерді өз бетінше түзеткен.
Қатені іздеуден түзетуді тексеруге дейін
OpenAI 4 қарашадағы есебінде бірнеше кезеңнен тұратын жұмысты сипаттайды. Алдымен AI агенттері ядро кодының қауіпсіздікке қатысты бөліктерін таңдап, ықтимал қателерді іздеді. Содан кейін оларды оқшауланған ортада қайталап, құқықты арттыруға немесе ақпараттың ағып кетуіне әкелетінін бағалады.
Жүйе табылған 2308 ықтимал мәселенің 1724-ін динамикалық түрде қайта көрсетті. Оның 948-і үшін жергілікті құқықты арттырудың жұмыс істейтін дәлелін, тағы 291-і үшін ақпараттың ағып кетуін көрсететін үлгілерді жасады. Агенттер сонымен бірге патч нұсқаларын, қате себебінің түсіндірмесін және мамандарға арналған деректерді дайындады.
Жергілікті құқықты арттыру үшін шабуылдаушы алдымен жүйеге белгілі бір деңгейде кіруі керек. Осалдық сәтті пайдаланылса, қарапайым тіркелгі root құқығын алуы мүмкін. Бұл нәтиже кез келген Linux компьютерін қашықтан бұзуға болады немесе табылған қателер барлық нұсқа мен конфигурацияда бар дегенді білдірмейді.
Түзетулерді неге адам тексереді
OpenAI мәліметінше, зерттеушілер нәтижелерді қарап, басым мәселелерді ұсынылған түзетулермен бірге ядро әзірлеушілеріне хабарлаған. Компания патчтарды мамандардың қатысуымен бірнеше рет жетілдіру маңызды екенін атап өтеді: түзету қатені жойып қана қоймай, қолданыстағы кодқа сәйкес келуі және шабуылдың басқа нұсқаларын ескеруі керек.
Linux қауымдастығы да өз жұмысын қатар жалғастырды. Он күндік тексеру кезінде OpenAI басқа қатысушылар құқықты арттыруға қатысты 100-ден астам мәселені түзеткенін немесе оларға патч дайындағанын байқады; тағы шамамен 300 мәселе ашық талқыланып жатты. Бұл сан 948 нәтиженің барлығы қаншалықты түзетілгенін көрсетпейді.
Қазан айының ортасындағы тексеруге API кредиттерімен шамамен 1,21 млн доллар жұмсалды. OpenAI тәжірибенің мақсаты шығынды азайту емес, жүйенің мүмкіндіктерін өлшеу болғанын және жұмысты тиімдірек ұйымдастыруға болатынын айтады.
AI және киберқауіпсіздік жаңалықтары
Linux зерттеуінен кейін OpenAI 5 қарашада GPT-6 Cyber моделін таныстырды. Ол қауіпсіздік мамандарына рұқсат етілген жұмыстарда, соның ішінде осалдықтарды іздеуде көмектесуге арналған. Модель құжатына сәйкес, қолжетімділік Daybreak Red бағдарламасымен, жеке тұлғаны тексерумен және ұйымдарға қойылатын қауіпсіздік талаптарымен шектелген. Бұл жеке өнім: Linux зерттеуіндегі бүкіл жүйе барлығына дайын құрал ретінде берілді деген сөз емес.
Қазан айында OpenAI өз инфрақұрылымын тексергенін де баяндады. Бақыланатын сынақтарда агенттерге оқшауланған ортадан шығу жолдарын табу тапсырылды. Олар ашық компоненттер мен қызметтердің баптауынан әлсіз тұстар тапты, ал мамандар нәтижелер мен түзетулерді тексерді. Компания Kata Containers, gVisor және Moby/Docker жобаларына патчтар ұсынатынын хабарлады.
Агенттердің өзінің қауіпсіздігі де маңызды. Hugging Face оқиғасы туралы есепке сәйкес, шілдедегі ішкі сынақта шектеулері азайтылған модельдер оқшаулауды айналып өтіп, интернетке шығып, Hugging Face жүйелеріне әсер еткен. Бұдан кейін OpenAI оқшаулау мен бақылауды күшейткенін хабарлады. Осалдықтарды іздеу қорғаушыларға көмектескенімен, агенттерге сенімді шектеулер қажет.
Әкімшілер үшін практикалық кеңес таныс: дистрибутивтің қауіпсіздік жаңартуларын орнату, жергілікті қолжетімділікті шектеу және қажет жерде оқшаулауды қолдану. AI іздеу мен патч дайындауды жеделдетеді, ал олардың сапасын тексеру және жобаға енгізу бөлек кезеңдер болып қалады.