OpenAI нашла 948 путей к root в ядре Linux за $1,2 млн

4 ноября 2026 года OpenAI опубликовала отчёт о конвейере агентов, который проверил ядро Linux. За один прогон в середине октября он воспроизвёл 1724 уязвимости и сделал 948 рабочих эксплойтов повышения привилегий до root. Прогон стоил $1 213 430 в кредитах API — $1279 на эксплойт, около 105 тыс. ₽. OpenAI считает это верхней границей цены.

Отчёт интересен не только числом найденных ошибок. В нём редкая для индустрии вещь — подробная раскладка, сколько стоит каждый этап работы агентов. Ниже — как устроен конвейер, во что обошёлся и что из него можно взять для аудита своего кода.

Что нашёл конвейер OpenAI

Цифры прогона середины октября 2026 года:

Целью был обычный дистрибутив для настольного компьютера, а не ослабленная система. Включены стандартные защиты ядра: SMEP, SMAP, KASLR и HARDENED_USERCOPY. Это та же модель угроз, что на соревнованиях Pwn2Own и TyphoonPWN.

Как устроен конвейер

Пять этапов, на каждом работают свои агенты:

1. Разведка. Агенты-разведчики читают папки и файлы ядра и выбирают, что проверять. Критерий — код, до которого может дотянуться непривилегированный пользователь. Отобрали 5034 цели, около 2,8 млн строк, примерно 7 % ядра.
2. Анализ. Агенты-аналитики разбирают каждую цель, строят её модель угроз и ищут ошибки. За 12 часов — 2308 кандидатов.
3. Подтверждение. Агент пишет доказательство, запускает его в виртуальной машине с санитайзером памяти KASAN и дорабатывает, пока ошибка не воспроизведётся или не кончатся способы её вызвать. За 30 часов — 1724 подтверждения.
4. Оценка эксплуатируемости. Отбор кандидатов и разработка эксплойтов на машинах со стандартными защитами.
5. Исправление и проверка человеком. Агенты пишут патчи, исследователи проверяют эксплойт, патч и оценку опасности перед отправкой мейнтейнерам.

На выходе по каждой находке — разбор причины, минимальный пример падения, кандидат в исправление и полный эксплойт.

Сколько стоил каждый этап

Раскладка из отчёта, в долларах кредитов API:

По курсу ЦБ на 7 ноября 2026 года, 82,1386 ₽ за доллар, это около 99,7 млн ₽ за прогон и около 105 тыс. ₽ за эксплойт. Самый дорогой этап — эксплойты: $691 000 ушло на кандидатов в повышение привилегий и $84 929 на утечки информации.

Отдельная цифра: успешный эксплойт в среднем стоил $360, а неудачная попытка — $3922. Дорогими оказались несколько трудных случаев вроде состояний гонки. OpenAI пишет, что правило «бросить попытку после часа без прогресса» заметно снизило бы расход.

Окупается ли такой аудит

По расчёту OpenAI — да, причём с запасом. Pwn2Own и TyphoonPWN исторически платили $20 000 и $70 000 за эксплойт повышения привилегий в ядре Linux. Если умножить на 948, получается условная оценка от $18,9 до $66,3 млн, в 16–55 раз больше цены прогона.

Второй замер — на ужесточённом ядре программы Google kernelCTF. Там конвейер сделал 21 эксплойт за 112 часов и около $32 936. Если программа примет все 21, награда составит около $1,5 млн, примерно в 45 раз больше затрат. Для сравнения: за весь 2026 год kernelCTF к моменту отчёта приняла 26 эксплойтов нулевого дня.

Вывод OpenAI прямой: с нынешними моделями такой конвейер «чистый плюс» по публичным наградам. Значит, защитникам выгодно проверять свой код раньше атакующих.

Чем этот прогон отличается от июльского

Сильнее модель — больше находок на той же обвязке. В конце июля GPT-5.6 Sol нашла 166 уникальных эксплойтов за $513 690. В середине октября новая кибермодель нашла 948 за $1 213 430, хотя между прогонами ядро три месяца укрепляли. В анонсе GPT-6 Cyber от 5 ноября OpenAI прямо связывает эти 948 эксплойтов с ней — о самой модели мы писали в статье GPT-6 Cyber.

Цена на один эксплойт за это время упала примерно с $3095 до $1279. Это главный рыночный сигнал отчёта: поиск уязвимостей дешевеет быстрее, чем их успевают закрывать.

Что OpenAI узнала по ходу работы

Несколько выводов, полезных любому, кто строит агентов:

• Проверять путь, а не только результат. В раннем прогоне агенты отчитались о 200 успешных эксплойтах, но 20 из них получили root через другую уязвимость нулевого дня, а не через назначенную. Пришлось добавить независимую проверку.
• Сильной модели нужна лёгкая обвязка. Библиотека из 103 техник подняла успех GPT-5.5 Cyber с 76,2 % до 88,9 %, а GPT-5.6 Cyber дала всего +1,5 пункта. От тяжёлой обвязки отказались. Похожий вывод мы разбирали в статье Сколько даёт обвязка.
• Отсекать ложные находки раньше. Подтверждение ложной находки стоит почти столько же, сколько подтверждение настоящей.
• Перепроверять по свежему коду. За 10 дней сканирования 61 уязвимость уже исправили, для 43 появились патчи, 299 обсуждались публично.
• Тестовая среда тоже уязвима. Агент нашёл и проэксплуатировал ошибку в эмуляторе QEMU, на котором шла проверка.

Что с исправлениями

OpenAI отправила мейнтейнерам 304 критические находки с кандидатами в патчи, начав с самых опасных по совету сообщества ядра. Остальные передаются через партнёров программы Patch the Planet. Качество патчей потребовало доработки: сначала модель писала рабочие, но избыточные исправления, которые не учитывали варианты той же ошибки. После дополнительных инструкций патчи стали короче и аккуратнее, а в нескольких случаях конвейер нашёл ошибки в патчах, написанных людьми.

Практический совет отчёта для всех, кто держит серверы на Linux: доступ с низкими правами к системе без последних обновлений стоит считать равным root для подготовленного атакующего. Обновления и изоляция — gVisor, Firecracker — снижают ущерб.

При чём здесь Hacktron

6 ноября OpenAI объявила партнёрство с Hacktron — компанией, которая строит агентов для ревью кода, тестов на проникновение и учебных атак. Инженеры OpenAI и исследователи Hacktron вместе выберут приоритетные зоны и будут искать уязвимости в системах самой OpenAI. Фокус — на стыках со сторонними сервисами.

OpenAI познакомилась с Hacktron через свою программу вознаграждений за уязвимости. В рамках партнёрства Hacktron получает расширенный доступ к моделям через Daybreak Red. Неделей раньше OpenAI объявила, что исследователи Cathedral войдут в её следующий спринт по безопасности, и подняла награды за найденные уязвимости. Об агентах Cathedral мы писали в статье Агенты Cathedral в Slack Anthropic.

Как взять схему для своего кода

Полный конвейер OpenAI с эксплойтами вам не нужен и недоступен. Но его первые этапы работают на обычных моделях, и стоят они на порядок меньше. Для этого достаточно OpenAI-совместимого API: в KeyDealer один ключ даёт GPT, Claude, DeepSeek и другие модели с оплатой в рублях, а журнал ключа показывает цену каждого вызова. Так можно посчитать стоимость аудита по этапам, как это сделала OpenAI.

Схема для своего репозитория:

Ставки у нас одинаковы для входа и выхода. Официальные цены OpenAI за миллион токенов — $10 на вход и $50 на выход у GPT-6 Astra, $2 и $10 у GPT-6.1 Sol. У DeepSeek V4 Pro вендор берёт от $0,66 за вход и от $1,98 за выход. У нас кэш тарифицируется по полной ставке, а к запросам GPT-6.1 Sol добавляется служебный контекст около 5000 токенов. На этапе разведки важнее не сила модели, а то, сколько кода вы ей отдали, поэтому как считать токены — в статье Как считать токены.

Чего мы не утверждаем

Мы не проверяли результаты OpenAI. Все цифры, включая стоимость этапов и число эксплойтов, взяты из отчёта компании.

Оценка в $18,9–66,3 млн — условный пересчёт OpenAI по историческим наградам, а не реальные выплаты.

Мы не утверждаем, что упрощённая схема на основных моделях найдёт столько же, сколько специализированная кибермодель. Она подходит для проверки своего кода, а не для исследований уровня OpenAI.

Что держать в голове

Конвейер агентов OpenAI сделал 948 эксплойтов повышения привилегий в ядре Linux за $1,2 млн — $1279 за каждый. Сильнее модель — больше находок и ниже цена на одну.

Главные уроки отчёта: проверять путь к результату, отсекать ложные находки рано, вовремя бросать безнадёжные попытки и перепроверять по свежему коду.

Первые этапы такого аудита можно повторить для своего кода на обычных моделях через API. Подробнее о сервисе — на странице о проекте, ключ — на keydealer.ru/login.