通往 root 的路径，减少一千条

过去，安全研究需要对每个发现的问题单独开展持续调查；如今，这项工作正日益能够作为系统化流程来执行。本文介绍了我们在这一领域的一项探索。

漏洞发现正变得更容易规模化，但优先级判定和验证仍是实际工作中的瓶颈。我们构建了一个原型，在受控的研究环境中查找 Linux 内核中的安全缺陷。该原型识别并分析了 2,308 个疑似 Linux 内核漏洞，动态复现了 1,724 个漏洞，并生成了 948 个本地权限提升 (LPE) 利用程序，可使无特权的本地用户获得 root 权限。

我们根据这些证据确定漏洞报告的优先级，并开发了候选补丁供维护者审核。按照 Linux 内核社区的指导，我们从严重漏洞入手，并正与 Patch the Planet 合作伙伴协作，推进其余报告和补丁的提交。

6 月，作为 Patch the Planet 计划的一部分，我们曾分享 GPT‑5.5 Cyber 已发现 Linux 内核漏洞，并开发了 24 个本地权限提升利用程序，用于验证和报告这些漏洞。我们将这项工作扩展为一条由即将推出的网络安全模型驱动的流水线，涵盖漏洞发现、动态验证、可利用性评估和补丁生成。流水线运行结束后，研究人员审核了输出结果，并将发现的漏洞连同补丁一并提交。

Linux 内核支撑着 Android 设备、云基础设施、超级计算机，以及数十亿人使用的其他系统。内核拥有超过 4,000 万行代码，通过系统调用、网络、文件系统和设备驱动程序暴露出广泛的攻击面。我们选择 Linux，是为了研究前沿模型在如此庞大且重要的代码库中，发现漏洞并证明其安全影响的效果。

最初的漏洞发现阶段产出了数千个疑似漏洞，数量之多使安全研究人员无法逐一手动审核和分诊。漏洞发现流水线在实际运行中的挑战，不在于发现漏洞，而在于确定哪些问题能够复现、它们突破了什么安全边界，以及哪些最值得维护者优先关注。

OpenAI 网络安全团队的使命，是帮助保障全球赖以运行的软件的安全。我们公布各阶段的 API 成本，以帮助研究人员评估复现和扩展这项工作所需的资源。这些成本对应的是本次评估所使用的模型、目标配置和工作流。我们更广泛的目标，是帮助防御者发现并修复漏洞，减少攻击者可乘之机，提高其利用软件漏洞的成本。

最后需要说明的是，本次研究侧重于方法和模型能力测量，而非成本。我们预计，对执行框架进行充分的工程优化，能够显著降低各阶段的成本；因此，我们报告的成本更接近一个上限。

我们的漏洞研究原型是一条包含五个阶段的流水线，以一款即将推出的网络安全模型为核心：

• 漏洞发现：智能体识别代码库中与安全相关的部分，再扫描这些代码以查找疑似漏洞。

• 动态验证：智能体尝试在隔离环境中复现每个疑似漏洞，并保留运行时证据。这一步输出已复现并验证的漏洞。

• 可利用性评估：智能体测试已验证的漏洞是否能够造成信息泄露或本地权限提升。

• 补丁生成：智能体为每个已识别的漏洞生成修复补丁。

• 人工审核：安全研究人员在向维护者报告之前，审核利用程序、补丁和建议的严重程度评级。

流水线结束时，系统会汇总根因分析、可触发崩溃的最小概念验证程序、候选补丁和完整的漏洞利用程序，帮助研究人员评估漏洞的严重程度，并将修复提交至上游。

Linux 内核中的代码并非每一行都与安全相关。我们的流水线使用一组侦察智能体识别高价值审计目标，再将其交给分析智能体进行漏洞扫描。

侦察智能体逐一阅读文件夹和文件，根据可达性（低权限用户是否可达）及安全相关性，确定需要审计的目标。

这一阶段识别出 5,034 个审计目标，约 280 万行代码，占整个 Linux 内核代码库的约 7%。与分析完整代码库相比，这显著降低了安全审计的成本。这一步消耗了价值 3,426 美元的 API 额度。

接下来，分析智能体使用类似于 Codex Security 插件⁠（在新窗口中打开）的工作流，分析每个审计目标并找出疑似漏洞。总体而言，分析智能体会阅读分配给它的审计目标代码，理解其工作原理、确定其威胁模型，并查找其中的漏洞。

在 12 小时内，分析智能体找出了去重后共计 2,308 个疑似漏洞。这一阶段消耗了价值 316,549 美元的 API 额度。

疑似漏洞不等于已验证的漏洞。面对如此规模，我们的研究团队无法逐一手动调查每份报告。

因此，我们重点验证满足以下条件的疑似漏洞：a) 低权限用户可达；b) 不需要特殊权能；c) 能产生可测量的内存损坏证据。

对于每个疑似漏洞，分诊智能体都会生成概念验证程序，并在隔离虚拟机中运行。该虚拟机的 Linux 内核启用了内核地址检测器 (Kernel Address Sanitizer, KASAN)。智能体同时观察程序输出和系统控制台，不断改进概念验证程序，直到复现报告中的行为，或穷尽可能的触发方式。

在 30 小时内，我们的系统复现了 1,724 个漏洞，约占 2,308 个疑似漏洞的 74.7%。单靠静态代码审查容易产生误报。因此，分析智能体的准确性，以及分诊智能体自主为近四分之三的疑似漏洞创建有效概念验证程序的能力，都令我们印象深刻。

其余疑似漏洞中，大多数要么需要更高权限，要么因为难以触发的竞态条件、特定触发条件（例如要求某一行发生内存分配失败），或验证耗时过长（例如引用计数回绕），而未能在限定时间内复现。仅有 3.1% 属于模型分析错误，即报告的漏洞依赖于不可能成立的条件。

验证阶段共消耗了价值 73,330 美元的 API 额度。我们观察到，验证流水线需要生成概念验证程序来确认疑似漏洞是否真实存在，这一过程比仅基于静态分析提出建议的成本更高，而且尝试验证真实漏洞与误报的成本相近。因此，在流水线的较早阶段排除误报，能显著提高整个流程的成本效益。

验证能够确认漏洞真实存在，却不能确定修复它有多紧迫。例如，与只能导致本地拒绝服务的漏洞相比，能够实现本地权限提升的漏洞应享有更高优先级。验证了 1,724 个漏洞后，下一项任务是找出潜在安全影响最大的漏洞。

初筛智能体对每份报告、崩溃日志及相关源代码进行静态审查。我们刻意采用宽松的筛选标准，避免遗漏可能严重的问题，同时排除没有合理利用路径的情况。由此，结果缩小至 313 个信息泄露候选项和 1,238 个本地权限提升候选项。

随后，漏洞利用开发 (ExploitDev) 智能体在隔离虚拟机中测试这些候选项。虚拟机启用了标准 Linux 发行版的防护措施，包括管理模式执行保护 (SMEP)、管理模式访问保护 (SMAP)、内核地址空间布局随机化 (KASLR) 和 HARDENED_USERCOPY。这有助于避免因禁用防护措施而得出不切实际的评估结果。

智能体生成了 291 个信息泄露概念验证程序，以及 1,169 个有效的本地权限提升利用程序，后者可使无特权的本地用户获得 root 权限。

我们进行了变体分析，并针对这些利用程序背后的漏洞开发了 948 个不同的补丁。我们以此数量确定去重后的 LPE 漏洞总数。成功利用程序的平均开发成本为价值 359 美元的额度。这使防御者能够以相对较低的成本，测试已发现漏洞的可利用性。

漏洞初筛智能体消耗了价值 44,194 美元的 API 额度。漏洞利用阶段共消耗了价值 775,929 美元的 API 额度，其中处理信息泄露候选项耗费 84,929 美元，处理本地权限提升候选项耗费 691,000 美元。

平均而言，处理一个本地权限提升候选项的成本为 558 美元，约为处理一个信息泄露候选项（271 美元）的两倍。这是因为信息泄露 PoC 沿用了验证阶段的成果，只需较少修改即可用于漏洞利用。相比之下，从 LPE 候选项开发利用程序需要许多额外步骤，例如规划利用策略、确定可利用的脆弱对象、绕过缓解措施等。我们还注意到，未成功的利用尝试（69 个案例，平均 3,922 美元）的成本远高于成功的尝试（1,169 个案例，平均 360 美元）。这主要是由少数难以利用的漏洞（例如竞态条件）造成的。如果当时设定了合理的终止条件，例如连续一小时没有进展就停止尝试，原本可以显著降低 ExploitDev 的成本。

系统还会为每个已验证的漏洞生成补丁。我们向模型提供相关源代码，并通过提示说明补丁编写的最佳实践，例如对补丁执行静态检查、遵循周边代码采用的软件开发规范，以及进行变体分析以确保修补完整。

按照 Linux 内核社区的建议，我们已针对严重漏洞提交了数百份报告和补丁，并正与 Patch the Planet 合作伙伴协作，逐步提交其余补丁。这项工作是我们通过 Daybreak 支持开源项目的更广泛承诺的一部分。

本节分享这项研究的经验、思考及进一步分析。

在研究过程中，我们观察到 Linux 维护者正迅速采取行动，修复漏洞、保护用户。扫描于 2026 年 10 月中旬针对当时最新的 Linux 内核开展。10 天后，自主扫描和人工分析完成时，已有 61 个 LPE 漏洞在上游得到修复，43 个已有待合入的补丁，299 个正在被公开报告和讨论。

我们衷心感谢加紧修补已发现问题的 Linux 维护者，以及积极贡献研究发现的广大安全社区成员。保障全球软件安全，正需要这样的共同努力。漏洞披露和修补的快速推进，也凸显了用户和企业及时更新软件的重要性。

启示：自动化分诊应考虑快速的补丁更新周期。根据最新代码（包括初次扫描后新合入的代码）重新验证已发现的问题，有助于避免提交重复或过时的报告。这样能将注意力集中在尚未解决的漏洞上，为维护者提供可据以采取行动的证据，同时避免增加不必要的审核负担。

在开发流水线期间，2026 年 7 月下旬，GPT‑5.6 Sol 发现并利用了 166 个不同的 LPE 漏洞，全流程消耗了价值 513,690 美元的 API 额度。

在 2026 年 10 月中旬的第二次扫描中，较新的网络安全模型发现并利用了 948 个不同的 LPE 漏洞，全流程消耗了价值 1,213,430 美元的 API 额度。两次测试扫描的都是当时最新的 Linux 内核 master 分支。

启示：随着模型能力提升，应重新扫描此前审计过的代码。即使使用相同的研究执行框架，更强大的模型也可能发现早期模型遗漏的漏洞。

我们抽取了智能体开发的 166 个利用程序，分析其中采用的漏洞利用技术。据我们所知，智能体在这些样本中使用了 10 种全新的漏洞利用技术。我们与第三方内核漏洞利用专家分享了这些技术，对他们而言，这些技术也都是全新的。

这 10 种技术中，两种涉及新的持久弹性对象，模型用它们在目标内核缓存中进行对象喷射；两种是新的内存页布局操控技术，用于提高利用的可靠性；五种是新的纯数据攻击技术，可直接或通过任意写实现权限提升；另一种涉及任意类型混淆。出于安全考虑，本文不公开这些新漏洞利用技术的完整技术细节。

启示：前沿模型并非只会匹配已知的易受攻击代码模式，或仅使用已知的漏洞利用技术；它们展现出了创造力，能够提出新方法。

衡量发现和利用漏洞的成本，并据此指导防御投入，是我们团队使命的重要组成部分。我们的目标是帮助防御者在攻击者利用漏洞之前修复它们，并让攻击者利用软件漏洞的成本高到难以承受。衡量漏洞利用成本，有助于评估这一挑战如何随模型能力提升而变化。本节将流水线的运行成本，与漏洞赏金计划为所发现漏洞提供的奖励进行比较。

实验中的目标虚拟机运行的是标准桌面操作系统，而非刻意弱化防护的目标，采用的威胁模型与网络安全竞赛（如 Pwn2Own⁠（在新窗口中打开）、TyphoonPWN⁠（在新窗口中打开））相同。Pwn2Own 和 TyphoonPWN 过去曾分别为 Linux 内核本地权限提升利用程序提供 20,000 美元和 70,000 美元的漏洞赏金。按这些历史赏金金额估算，948 个利用程序的假设价值为 1,890 万至 6,630 万美元，约为流水线运行成本的 16 至 55 倍。

我们还针对 Google 的 kernelCTF⁠（在新窗口中打开） 漏洞奖励计划测试了流水线。该计划以经过加固、攻击面缩小的 Linux 内核为目标。我们在 kernelCTF 环境中，针对最新版本的 Linux 内核运行了流水线，获得了 25 个信息泄露概念验证程序和 21 个本地权限提升利用程序。由于该内核与 kernelCTF 的 SLAB_VIRTUAL 缓解措施不兼容，我们从配置中移除了这一项。作为对比，截至撰写本文时，kernelCTF 在 2026 年已接收 26 个经确认的零日 LPE 利用程序。整个测试共持续 112 小时，消耗了价值约 32,936 美元的 API 额度，其中漏洞发现占 API 成本的 83.7%。如果这 21 个漏洞均被该计划接收，将获得约 150 万美元赏金，约为成本的 45 倍。

启示：按照公开的赏金金额计算，使用当前具备网络安全能力的模型，我们的漏洞研究流水线在本次研究时已可实现净盈利。防御者应主动分析自身软件，让攻击者利用漏洞的成本高到难以承受。

在可利用性评估期间，漏洞利用开发 (ExploitDev) 智能体会收到一份漏洞报告，并被要求创建功能完整的利用程序。只要成功获得 root shell，流水线就会将该漏洞标记为已利用。在早期的一次运行中，漏洞利用阶段报告了 200 个成功的本地权限提升利用程序。然而，经人工审核，我们发现其中 20 个是通过另一个零日漏洞获得 root 权限的，而非通过分配给它们的漏洞。这表明，即使智能体成功完成了漏洞利用，也仍需适当验证。

随后，我们收紧了任务约束，并增加独立检查，确认每个最终利用程序使用的确实是分配给它的漏洞。

启示：在自主安全研究中，除了验证结果本身，还要验证达成结果的路径；隔离、监控和独立检查都是必要的控制措施。

在研究初期，我们探讨了一项设计决策：是否应围绕智能体构建复杂的编排机制，以增强其网络安全能力。结果表明，更强大的模型所需的编排和逐步引导更少。而额外带来的提升不足以抵消维护成本。因此，我们决定移除复杂的编排机制。

实验对比了 GPT‑5.5 Cyber 和 GPT‑5.6 Cyber。我们观察到，GPT‑5.5 Cyber 无法始终准确判断何时以及如何应用现有的 Linux 内核漏洞利用技术。于是，我们将 103 种技术整理为便于模型使用的格式，放入智能体环境，并通过提示引导智能体使用。在 63 个候选利用目标中，这使成功率从 76.2% 提高到了 88.9%。

使用 GPT‑5.6 Cyber 重复实验时，模型能够更好地自行查找、选择和应用相关技术。我们移除了技术和技能编排机制，而采用轻量编排的 GPT‑5.6 Cyber 工作流，表现优于辅助机制更复杂的 GPT‑5.5 Cyber 工作流。为 GPT‑5.6 Cyber 重新加入额外的技术层，仅带来了 1.5 个百分点的微小提升。

启示：随着基础模型能力变化，应重新评估编排机制和执行框架。对某一代模型帮助显著的辅助机制，对更强的模型可能价值有限，应权衡其收益与维护成本。

最初，当我们直接提示模型生成候选补丁时，它能够生成在功能上正确、可阻止概念验证程序触发问题的补丁，但偶尔也会引入其他问题：代码冗余、可能牺牲性能、偏离编码规范，或未检查相关代码中同一漏洞的变体，导致修补不完整。

增加指令并迭代补丁生成流程后，补丁质量得到了提升。这表明，通过适当引导，AI 生成的安全补丁有可能做到正确、精简，并符合现有编码规范。这一领域的研究仍在积极推进，我们相信，随着未来模型的发展，这项工作会变得更容易、更有效。在少数情况下，我们的研究原型还发现了人类专家编写的补丁中的问题，使这些问题得以在补丁合入前修复。

启示：模型可以加快修补流程，但补丁编写技能和执行框架可能需要迭代，才能确保补丁可靠地满足功能与非功能要求。此外，我们建议使用模型对人工及 AI 生成的补丁进行对抗性审查，以发现补丁可被绕过、遗漏其他攻击路径或变体等问题。

在 kernelCTF 测试中，除了 21 个 Linux 内核零日漏洞利用程序，我们的研究原型还发现并利用了一个 QEMU TCG 漏洞。分析智能体被分配去分析系统调用入口代码，在编写程序测试权限切换时，遇到了意料之外的内核崩溃。它对崩溃进行了排查，在无法访问 QEMU 源代码的情况下，将问题追溯至 QEMU TCG，并将该漏洞写入报告。随后，ExploitDev 智能体成功为该漏洞开发了本地权限提升利用程序。我们在手动分析利用程序时发现了这个 QEMU 漏洞，并确认它已在上游 QEMU 中修复，但实验所用的发布构建版本尚未包含该修复。

启示：具备网络安全能力的前沿模型能够发现测试基础设施中的漏洞。我们建议在开展进攻性漏洞研究之前，测试基础设施的每个组成部分。我们已主动测试自身基础设施，披露并修补了 Kata、Moby/Docker、gVisor 及其他项目中的许多漏洞。

我们的目标是将模型日益增强的能力，转化为互联网安全守护者的长期优势。这项研究表明，前沿模型不断提升的网络安全能力，可以有效用于查找 Linux 内核等复杂软件中的漏洞。加固 Linux 及其他开源项目等关键软件项目，能够保护众多下游系统和用户。

我们希望通过 Daybreak 计划旗下的 Patch the Planet，将这项研究扩展到更多关键软件项目，并与维护者和安全合作伙伴共同开发可靠的自动化修补方案。我们希望持续减少攻击者可乘之机，提高发现和利用漏洞的成本，直至预期收益不再值得发动攻击。

每一代模型都应帮助我们构建让下一代模型更难攻破的软件。我们将继续努力，构建一个安全的互联网，让每个人都能在其上尽情创造。