少一千条到达 root 的路径
OpenAI 安全研究博客 | 2026 年 11 月 4 日
我们开发了一套自主漏洞发现、利用与补丁生成流水线。在使用即将发布的 cyber 模型的一次运行中，它验证并为 Linux 内核中的 948 个本地权限提升（LPE）漏洞生成了补丁，总 API 成本为 120 万美元。
过去需要针对每个发现进行独立、持续调查的安全研究，现在可以转变为系统性流程。本文探讨了我们在这方面的一项工作。
漏洞发现正在变得更容易扩展，但优先级排序与验证仍是操作瓶颈。我们构建了一个原型，在受控研究环境中寻找 Linux 内核的安全缺陷。该原型识别并分析了 2,308 个候选 Linux 内核发现，动态复现了 1,724 个漏洞，并产出了 948 个可让未授权本地用户获得 root 权限的本地权限提升（LPE）exploit。
我们利用这些证据优先级排序需要上报的漏洞，并为维护者审查开发候选补丁。按照 Linux 内核社区的指导，我们从关键漏洞开始，并与 Patch the Planet 合作伙伴一起推进更多报告与补丁。
6 月，作为 Patch the Planet 计划的一部分，我们分享了 GPT-5.5 Cyber 已识别 Linux 内核漏洞并开发了 24 个本地权限提升 exploit 用于验证与上报。我们将该工作扩展为一套流水线，由即将发布的 cyber 模型驱动，覆盖漏洞发现、动态验证、可利用性评估与补丁生成。完成后，人类研究人员审查输出，并将发现的漏洞与补丁一并上报。
摘要
方法论
从高层次来看，我们的流水线工作如下：首先识别 Linux 内核中安全相关的部分，对这些审计目标进行静态扫描以产生候选发现，在隔离环境中动态复现这些发现，创建概念验证（PoC）exploit 以演示可利用性，生成补丁，最后由人类安全研究人员审查结果。
流水线的输出包括根因分析、最小崩溃概念验证、候选补丁以及完整 exploit，以协助人类研究人员评估漏洞严重性并上游提交修复。
发现
在 2026 年 10 月中旬的一次运行中，使用即将发布的 cyber 模型的流水线动态复现了 1,724 个漏洞，并为常见 Linux 发行版生成了 291 个信息泄露 漏洞的 PoC 以及 948 个工作本地权限提升（LPE）exploit。整次运行共耗费 $1,213,430 API 信用额度，约合 每个 LPE exploit $1,279。
目标虚拟机运行的是标准桌面操作系统，而非弱化目标，使用与网络安全竞赛（如 Pwn2Own、TyphoonPWN）相同的威胁模型。历史上，Pwn2Own 与 TyphoonPWN 为 Linux 内核 LPE exploit 提供 $20,000 与 $70,000 的漏洞奖金。将这些历史奖金金额应用于 948 个 exploit，假设价值为 $18.9M—$66.3M，约为我们流水线成本的 16 倍至 55 倍。
在适配的 kernelCTF 环境（攻击面缩减的 Linux 内核版本）中，我们的流水线获得了 25 个信息泄露 PoC 与 21 个 LPE exploit。作为比较，截至撰写时 kernelCTF 在 2026 年已接受 26 个确认的 0-day LPE exploit。该次活动约花费 $32,936 API 信用额度。若这 21 个漏洞被项目接受，将带来约 $1.5M 奖金，约为扫描成本的 ~45 倍。
据我们所知，该流水线中的智能体发现并使用了至少 10 种新型 Linux 利用技术。
反思
Linux 维护者与安全社区正在努力快速发现并修复漏洞。在扫描运行的 10 天内，我们观察到超过 100 个 Linux LPE 已被补丁或有其他贡献者的暂存补丁，另有约 300 个正在公开讨论。
鉴于前沿模型的漏洞发现速度，我们认为自动补丁生成对于以所需速度保障软件安全、限制利用窗口至关重要。在人类专家指导的迭代下，我们认为 AI 生成的补丁可以功能正确、与现有编码风格一致、并对攻击变体具有鲁棒性。这是进一步研究的重要领域。
更强大的模型能够发现现有代码中的新漏洞，通常包括存在更久、更复杂的漏洞。我们使用新 cyber 模型的分析流水线在 10 月中旬发现的新型 LPE 比 7 月 GPT-5.6 Sol 运行多出 5 倍以上，尽管两次扫描之间有三个月的加固。
大型、复杂的软件项目可能需要多轮扫描与修复漏洞，才能“托底”潜在 bug。理想情况下，该过程应随每一代前沿模型重复进行。这适用于专有与开源软件。
在近期与中期，在未及时更新到最新可用补丁的操作系统上拥有低权限账户，对于资源充足的威胁行为者而言应被视为功能上等价于 root 访问。纵深防御，使用如 Firecracker 与 gVisor 等隔离方法，对于限制被利用漏洞的爆炸半径很重要。
在未来几年内，我们认为如果某个软件项目存在漏洞，前沿模型很可能能够发现它们，而即使能力较弱的模型也可能在披露后开发 exploit。在没有未知漏洞的世界中，构建并维护高保证软件将至关重要，尤其是核心软件如操作系统、浏览器、图像解析库、TCP/IP 协议栈等。投资训练模型默认编写安全代码、通过移除不必要功能来最小化攻击面、形式验证，是有效扩展软件安全的有前途研究方向，以及发现并修复现有漏洞。
为什么选择 Linux 内核
Linux 内核支撑着 Android 设备、云基础设施、超级计算机以及其他被数十亿人使用的系统。拥有超过 4000 万行代码，内核通过系统调用、网络、文件系统与设备驱动程序暴露广泛的攻击面。我们选择 Linux 来研究前沿模型在这样规模与重要性的代码库中能够多有效地发现漏洞并演示其安全影响。
初始漏洞发现阶段产出了数千个候选发现，多到安全研究人员无法手动审查与分诊。我们漏洞发现流水线的操作挑战并非发现本身，而是确定哪些发现可以被复现、它们跨越了什么安全边界，以及哪些值得维护者最早关注。
成本分析
OpenAI Cyber 团队的使命是帮助保障世界依赖的软件。我们报告每个阶段的 API 成本，以帮助研究人员评估复现帎扩展这项工作所需的资源。这些成本反映了本次评估中使用的模型、目标配置与工作流。我们更广泛的目标是帮助防御者发现并修复漏洞，减少攻击者可用的机会，并提高他们利用软件的成本。
最后注意，我们在本研究中专注于方法论与测量模型能力，而非成本。我们预期充分的框架工程可以显著降低每个阶段的成本；因此，我们报告的成本更多是上限。
漏洞研究流水线
我们的漏洞研究原型是一套五阶段流水线，核心使用即将发布的 cyber 模型：
- 漏洞发现：智能体识别代码库中安全相关的部分，并扫描它们以产生候选发现。
- 动态验证：智能体尝试在隔离环境中复现每个候选，并保留运行时证据。该步骤输出已复现并验证的漏洞。
- 可利用性评估：智能体测试已验证漏洞是否可以实现信息披露或本地权限提升。
- 补丁生成：智能体生成针对每个已识别漏洞的补丁。
- 人类审查：安全研究人员在上报维护者之前审查 exploit、补丁与提议的严重性。
流水线结束时，系统会打包根因分析、最小崩溃概念验证、候选补丁与完整 exploit，以协助人类研究人员评估漏洞严重性并上游提交修复。
漏洞发现
Linux 内核中并非每一行代码都与安全相关。我们的流水线使用一组 Scout 智能体识别高价值审计目标，然后交给 Analyst 智能体进行漏洞扫描。
Scout 智能体
Scout 智能体阅读每个文件夹与文件，根据其可到达性（低权限用户可达）与安全相关性确定要审计的目标。
该阶段识别了 5,034 个审计目标，约 280 万行代码，大约占整个 Linux 内核代码库的 7%，与全代码库分析相比显著降低了安全审计的成本。该步骤花费 $3,426 API 信用额度。
Analyst 智能体
接下来，Analyst 智能体分析每个审计目标并产生候选发现，使用与 Codex Security 插件类似的工作流。从高层次来看，Analyst 智能体阅读被分配审计目标的代码以理解其工作方式，识别其威胁模型，并在其中寻找漏洞。
在 12 小时内，Analyst 智能体产出了 2,308 个去重后的候选发现。该阶段花费 $316,549 API 信用额度。
漏洞验证
候选发现并不等同于已验证漏洞。在这样的规模下，手动调查每一份报告对我们的研究团队不切实际。
因此，我们专注于验证那些 a) 可由低权限用户达到、b) 不需要特殊能力、c) 产生可测量内存损坏证据的发现。
对于每个候选，一个分诊智能体生成概念验证并在运行带有 Kernel Address Sanitizer（KASAN）的 Linux 内核的隔离虚拟机中运行它。智能体观察程序输出与系统控制台，然后迭代优化概念验证，直至它复现报告的行为或尽可能触发方式耗尽。
在 30 小时内，我们的系统复现了 1724 个漏洞，约占 2,308 个候选发现的 ~74.7%。静态代码审查本身容易产生假阳性，因此我们对 Analyst 智能体的准确性以及分诊智能体自主创建工作概念验证的有效性印象深刻，它们为近四分之三的候选发现创建了工作概念验证。
大多数剩余发现要么需要提升权限，要么因难以触发的竞争条件、特定触发条件（例如在特定行要求分配失败）或耗时验证（例如引用计数回绕）而未能在时间预算内复现。仅有 3.1% 反映了模型的不正确分析，即报告的漏洞假设了不可能的条件。
验证阶段总共花费 $73,330 API 信用额度。我们观察到，在我们的验证流水线中（需要生成概念验证以确认候选是否为真实漏洞），这一过程比仅基于静态分析做出建议更贵，而尝试验证真阳性与假阳性的成本相似。因此，在流水线更早阶段去除假阳性能显著提高成本效率。
可利用性评估
验证确立了漏洞是真实的，但不确定它应该多么紧急处理。例如，可以实现本地权限提升的漏洞比仅导致本地拒绝服务的漏洞值得更高优先级。拥有 1,724 个已验证漏洞，下一任务是识别具有最大潜在安全影响的发现。
一个初始筛选智能体静态审查每一份报告、崩溃日志与相关源代码。它故意设得较为宽松，以避免丢弃潜在严重的发现，同时过滤掉没有可行利用路径的情况。这将结果缩窄至 313 个信息泄露候选与 1,238 个本地权限提升候选。
然后，ExploitDev 智能体在配置了标准 Linux 发行版启用防护的隔离虚拟机中测试这些候选，包括 Supervisor Mode Execution Prevention（SMEP）、Supervisor Mode Access Prevention（SMAP）、Kernel Address Space Layout Randomization（KASLR）以及 HARDENED_USERCOPY。这有助于防止依赖于防护被禁用的不现实评估。
智能体产出了 291 个信息泄露概念验证以及 1,169 个可以给未授权本地用户 root 访问的工作本地权限提升 exploit。
我们进行了变体分析，并为这些 exploit 背后的漏洞开发了 948 个独特补丁。我们使用该数字来确定独特 LPE 的总数。成功的 exploit 平均花费 $359 信用额度开发。这使得防御者测试发现漏洞的可利用性相对便宜。
初始漏洞筛选智能体花费 $44,194 API 信用额度。利用阶段总共花费 $775,929 API 信用额度，其中处理信息泄露候选 $84,929，处理本地权限提升候选 $691,000。
平均而言，处理一个本地权限提升候选（$558）大约是处理信息泄露候选（$271）的两倍。这是因为信息泄露 PoC 是从验证阶段带来的，需要较少修改即可用于 exploit。另一方面，从 LPE 候选开发 exploit 需要许多额外步骤，如利用策略规划、识别要使用的受害对象、缓解绕过等。我们还注意到，失败的利用尝试（69 个案例的 $3,922）比成功的（1169 个案例的 $360）成本高得多。这是由一些难以利用的漏洞（例如竞争条件）导致的。定义合理的放弃条件（例如在一小时内没有进展后停止尝试）会显著降低 ExploitDev 的成本。
补丁生成
对于每个已验证漏洞，系统也生成补丁。我们向模型提供相关源代码，并以补丁编写的最佳实践提示它，例如对补丁进行静态检查、遵循附近代码使用的软件开发实践，以及进行变体分析以确保补丁完整。
按照 Linux 内核社区的建议，我们已经发送了数百份关键漏洞的报告与补丁，并正与 Patch the Planet 合作伙伴一起逐步发送其余补丁。这项工作是我们更广泛的 Daybreak 承诺的一部分，旨在支持开源项目。
发现
在本节中，我们分享从本研究中得到的学习、反思与额外分析。
维护者正在快速修复漏洞
在本研究期间，我们观察到 Linux 维护者正在快速修复漏洞并保护用户。扫描是在 2026 年 10 月中旬对最新 Linux 内核进行的。当自主扫描与手动分析在 10 天后完成时，61 个 LPE 已被上游补丁，43 个有暂存补丁，299 个正在被公开报告与讨论。
我们非常感谢一直在紧急补丁已识别问题的 Linux 维护者，以及也在贡献发现的更广泛安全社区。这种集体响应正是保障世界软件所需的。漏洞披露与补丁的快速速度也强调了用户与公司保持软件最新的关键性。
要点：自动分诊应考虑快速补丁周期。对最新代码（包括原始扫描后合并的新代码）重新验证发现，有助于避免重复或过时报告。这将注意力集中在未解决漏洞上，并给维护者提供他们可以行动的证据，而不增加不必要的审查负担。
更强大的模型发现更多漏洞
在开发流水线期间，2026 年 7 月底，GPT-5.6 Sol 发现并利用了 166 个独特 LPE 漏洞，端到端花费 $513,690 API 信用额度。
在第二次扫描中，2026 年 10 月中旬，新的 cyber 模型发现并利用了 948 个独特 LPE 漏洞，端到端花费 $1,213,430 API 信用额度。两次活动都扫描了当时的最新 Linux 内核 master 分支。
要点：随着模型能力提升，重新扫描先前已审计的代码。更强大的模型可能发现先前模型错过的漏洞，即使使用相同的研究框架。
新型利用技术
我们抽样了智能体开发的 166 个 exploit，并分析了它们使用的利用技术。据我们所知，智能体在抽样的 exploit 中使用了 10 种新的利用技术。我们将这些利用技术与第三方内核利用专家分享，这些技术对他们来说也是新的。
在这 10 种技术中，两种是模型用于在目标内核缓存中喷洒对象的新持久弹性对象；两种是用于提高 exploit 可靠性的新页面整理技术；五种是直接或通过任意写入获得权限提升的新仅数据技术；另一种技术涉及任意类型混淆。出于安全考虑，我们在本帖中省略了这些新利用技术的完整技术细节。
要点：前沿模型并不仅模式匹配已知的受害代码模式或仅使用已知利用技术；它们展示创造力与新颖方法。
防御者可从利用成本中学到什么
我们团队使命的重要一部分是测量发现与利用漏洞的成本，并使用这些证据指导防御投资。我们的目标是帮助防御者在攻击者使用之前修复漏洞，并使攻击者利用软件的成本高到不切实际。测量利用成本帮助我们评估随着模型能力提升，这一挑战如何变化。在本节中，我们将流水线运行的成本与已识别漏洞的漏洞奖金计划奖励进行比较。
我们实验中的目标虚拟机运行的是标准桌面操作系统，而非弱化目标，使用与网络安全竞赛（如 Pwn2Own、TyphoonPWN）相同的威胁模型。历史上，Pwn2Own 与 TyphoonPWN 分别为 Linux 内核本地权限提升 exploit 提供 $20,000 与 $70,000 的漏洞奖金。将这些历史奖金金额应用于 948 个 exploit，产生假设价值 $18.9M—$66.3M，约为我们流水线成本的 16 倍至 55 倍。
我们还针对 Google 的 kernelCTF 漏洞奖励计划测试了流水线，该计划以具有减少攻击面的加固 Linux 内核为目标。我们在 kernelCTF 环境下对最新版本的 Linux 内核运行了流水线（与 kernelCTF 中的 SLAB_VIRTUAL 缓解不兼容，因此我们从配置中去除它），获得了 25 个信息泄露概念验证与 21 个本地权限提升 exploit。作为比较，截至撰写时 kernelCTF 在 2026 年已接受 26 个确认的 0-day LPE exploit。整个活动共持续 112 小时，约花费 $32,936 API 信用额度，其中漏洞发现占 API 成本的 83.7%。若这 21 个漏洞被项目接受，将带来约 $1.5M 奖金，约为成本的 45 倍。
要点：基于公开支付金额，使用当前具备网络能力的模型，我们的漏洞研究流水线在本研究时是净盈利的。防御者应该主动分析其软件，以使攻击者利用变得成本高昂。
使用错误的 0-day
在可利用性评估期间，ExploitDev 智能体被给予漏洞报告并负责创建完全功能的 exploit。如果成功获得 root shell，我们的流水线就将漏洞标记为已利用。在早期运行中，利用阶段报告了 200 个成功的本地权限提升 exploit。但在人类审查后，我们发现其中 20 个是通过与分配不同的 0-day 漏洞获得 root 权限的。这表明，即使智能体成功利用，也需要适当验证。
随后我们收紧了任务约束，并添加了独立检查，以确认每个最终 exploit 使用了其被分配的漏洞。
要点：对于自主安全研究，除了验证结果本身外，还要验证达到结果的路径；隔离、监控与独立检查是必要的控制。
更强大的模型可能需要更轻的编排
在本研究早期，我们探索了是否围绕智能体构建重型编排以改进其网络能力的设计决策。我们的结果表明，更强大的模型需要更轻的编排与指导。边际改善并不正当维护成本。因此，我们决定移除重型编排。
该实验比较了 GPT-5.5 Cyber 与 GPT-5.6 Cyber。在我们的观察中，GPT-5.5 Cyber 并不一致地识别何时以及如何应用现有的 Linux 内核利用技术。然后我们以模型友好的格式汇编了 103 种技术，将它们放在智能体的环境中可用，并提示智能体使用它们。在 63 个利用候选中，这将成功率从 76.2% 提高到 88.9%。
当我们用 GPT-5.6 Cyber 重复这一过程时，模型能够更好地自行找到、选择并应用相关技术。我们移除了技术/技能编排，这种轻编排的 GPT-5.6 Cyber 工作流表现优于重编排的 GPT-5.5 Cyber 工作流。为 GPT-5.6 Cyber 加回额外技术层仅提供了 1.5 个百分点的边际改善。
要点：随着基础模型能力变化，重新评估你的编排与框架。对一代模型有显著改善的脚手架，对更强模型可能加值有限，应该评估维护权衡。
迭代改善补丁生成
最初，当直接提示生成候选补丁时，模型会创建功能上正确、能够缓解概念验证的补丁，但偶尔会引入其他问题：代码过多、引入潜在性能权衡、偏离编码惯例，或未能检查相关代码中同一漏洞的变体，导致补丁不完整。
对补丁生成过程的额外指令与迭代改善了补丁质量，这表明通过适当处理，AI 生成的安全补丁可以正确、精简并与现有代码惯例一致。这是活跃的研究领域，我们认为随着未来模型的发展，这将变得更容易、更有效。在几个案例中，我们的研究原型还能够识别人类专家编写的补丁中的问题，这些问题在合并前被修复。
要点：模型可以加速补丁过程，但补丁技能与框架可能需要迭代，以确保补丁可靠地满足功能与非功能要求。此外，我们建议使用模型对人类与 AI 生成的补丁进行对抗性审查，这可以识别补丁可被绕过、缺失其他攻击路径或变体等问题。
测试基础设施中的漏洞
在我们的 kernelCTF 运行中，除了 21 个 Linux 内核 0-day exploit 外，我们的研究原型还发现并利用了一个 QEMU TCG 漏洞。Analyst 智能体被分配分析系统调用入口代码，在编写程序以实验权限转换时，它遇到了意外的内核崩溃。它对崩溃进行分诊，并将问题追溯到 QEMU TCG，即使没有访问 QEMU 源代码，也将漏洞包含在报告中。随后 ExploitDev 智能体成功为该漏洞开发了本地权限提升 exploit。我们在手动分析 exploit 时发现了这个 QEMU 漏洞，并确认该漏洞已在上游 QEMU 中被修复，但未在实验期间使用的发行版构建中修复。
要点：具备网络能力的前沿模型可以发现测试基础设施中的漏洞。我们建议在进行攻击性漏洞研究之前测试基础设施的每一部分。我们已主动测试了我们的基础设施，披露并补丁了 Kata、Moby/Docker、gVisor 以及其他项目中的许多漏洞。
结论
我们的目标是将不断增加的模型能力转变为保障互联网的人们的持久优势。本研究表明，前沿模型不断增长的网络能力可以被用于有效地寻找复杂软件（如 Linux 内核）中的漏洞。加固像 Linux 这样的关键软件项目以及其他开源项目，可以保护许多下游系统与用户。
通过 Patch the Planet（Daybreak 计划的一部分），我们旨在将本研究扩展到更多关键软件项目，并与维护者与安全合作伙伴一起开发可靠的自动补丁。我们希望稳步减少攻击者可用的机会，并提高发现与利用漏洞的成本，直到预期收益不再正当化攻击。
每一代模型都应该帮助我们构建下一代更难妥协的软件。我们将继续努力构建一个任何人都可以快乐在其上构建的安全互联网。
翻译说明：以上为完整博客内容的中文翻译，尽量保持原文结构与术语准确。流水线总结见上方或可单独提取。
流水线图表
以下是 OpenAI 漏洞研究流水线的可视化图表（来源相关报道）：
