OpenAI批量生成948个提权利用

OpenAI 在 11 月 4 日披露了一次迄今最激进的 AI 自动化安全实验：一款尚未发布的网络安全模型扫描了约 280 万行 Linux 内核代码，从 2308 个候选问题中动态复现 1724 个漏洞，并最终产出 948 个不同的本地权限提升利用。

**本地权限提升（Local Privilege Escalation，LPE）是指攻击者已经获得低权限本地访问后，利用系统漏洞把权限提升至 root 或内核级别。**因此，这批结果不等于 948 个可以隔空攻陷服务器的远程漏洞，但它们足以把一次普通账号泄露、容器逃逸前置条件或低权限 Web 服务入侵，升级为整台 Linux 主机失守。

这次实验最值得关注的不是“AI 找到了很多 Bug”，而是 OpenAI 把代码筛选、静态分析、动态复现、利用开发、补丁生成和人工复核串成了一条可规模化运行的流水线。过去需要高级安全研究员逐项完成的工作，现在第一次显露出接近工业化生产的形态。

12小时分析280万行代码，候选问题达到2308个

**OpenAI 的系统并没有扫描整个 Linux 内核，而是先从约 7%的代码中挑选高价值目标。**测试于 2026 年 10 月中旬进行，覆盖 5034 个审计目标、约 280 万行代码；按此计算，每个目标平均包含约 556 行代码。

**Scout 智能体是负责寻找高价值审计目标的代码筛选代理。**它的任务不是直接判定漏洞，而是从庞大的 Linux 内核代码库中找出边界复杂、内存操作密集、并发条件敏感或可能受外部输入影响的区域，以降低后续分析成本。

**Analyst 智能体是负责理解代码路径、推导触发条件并形成候选漏洞报告的分析代理。**Scout 选出目标后，Analyst 会继续检查对象生命周期、锁与引用计数、用户态输入边界及异常路径，在 12 小时内给出 2308 个去重后的候选问题。

这意味着系统平均每小时形成约 192 个候选问题，漏洞发现阶段消耗 31.65 万美元模型推理额度。若简单平均，每个候选问题的发现成本约为 137 美元；这个数字尚未包含后续复现、利用开发和补丁生成费用。

| 指标 | 结果 | 衍生数据 | |---|---:|---:| | 审计目标 | 5034 个 | 平均约 556 行代码/目标 | | 覆盖代码 | 约 280 万行 | 约占 Linux 内核代码总量 7% | | 分析耗时 | 12 小时 | 约 192 个候选问题/小时 | | 去重候选问题 | 2308 个 | 来自 Scout 与 Analyst 协作 | | 发现阶段成本 | 31.65 万美元 | 约 137 美元/候选问题 |

**这些数据不能直接解读为 Linux 内核突然新增了 2308 个安全漏洞。**候选问题只是模型根据代码推理给出的待验证结论，其中可能包括需要特殊配置才能触发的问题、已有修复但测试基线仍包含的问题、同一根因的不同变体，以及最终无法成立的误报。

动态复现率74.7%，误判比例只有3.1%

**动态验证是把模型提出的漏洞假设放进隔离环境，通过真实执行来确认崩溃或越界行为是否存在。**与只看代码的静态扫描不同，这一步要求系统生成最小化概念验证程序，也就是 PoC，并在隔离虚拟机中观察内核的实际反应。

30 小时的动态测试最终复现了 1724 个候选问题，占 2308 个候选问题的 74.7%。这个复现率相当高，因为内核漏洞经常依赖特定配置、系统调用序列、对象布局、竞争窗口或权限条件，很多人工审计结论也需要数天才能稳定复现。

**未成功复现不等于候选问题一定不存在。**OpenAI 表示，剩余问题大多受权限要求、复杂竞争条件或特殊触发环境影响，只有 3.1%的候选结果属于模型分析错误，即模型假设了一条实际上不可能发生的代码路径或系统状态。

如果 3.1%以全部 2308 个候选问题为基数，对应约 72 个明确分析错误。换句话说，当前系统的主要瓶颈可能已经不是传统代码扫描器常见的海量误报，而是如何自动搭建足够接近真实世界的触发环境。

| 阶段 | 数量 | 相对上一阶段比例 | |---|---:|---:| | 去重候选问题 | 2308 个 | 100% | | 成功动态复现 | 1724 个 | 74.7% | | 信息泄露 PoC | 291 个 | 约占候选问题 12.6% | | 生成的本地提权利用程序 | 1169 个 | 包含同根因变体 | | 最终不同本地提权问题 | 948 个 | 约占候选问题 41.1% |

948个提权结果不是简单“让内核崩溃”

**Exploit 是把软件缺陷转化为可实现具体安全影响的利用程序。**让 Linux 内核崩溃通常只需要证明某次非法访问存在，而稳定获得 root 权限还要控制内存布局、绕过防护机制并把错误转化为可预测的读写能力，两者难度不在一个层级。

OpenAI 的系统在利用评估阶段生成了 291 个信息泄露 PoC，以及 1169 个可实现本地权限提升的利用程序。经过变体归并、根因分析和补丁开发后，最终统计为 948 个不同的本地权限提升问题。

**1169 与 948 的差额主要说明同一个漏洞根因可能存在多个触发路径或利用变体。**因此，更准确的表述是系统生成了 1169 份本地提权利用成果，去重后对应 948 个不同的本地提权问题，而不是发现了 1169 个完全独立的漏洞。

这批利用还不是在关闭安全防护的“玩具环境”里完成的。测试环境启用了 SMEP、SMAP、KASLR 和 HARDENED_USERCOPY 等常见内核防护机制：SMEP 用于阻止内核直接执行用户空间代码，SMAP 限制内核访问用户空间数据，KASLR 随机化内核地址，HARDENED_USERCOPY 则加强用户态与内核态之间的数据复制检查。

**在这些机制开启时完成本地提权，说明模型已经越过了从漏洞识别到现实利用的关键门槛。**它不只是复述危险函数或生成会触发崩溃的输入，而是在处理堆布局、对象重用、地址泄露、控制流与防护绕过等更接近专业漏洞研究的任务。

OpenAI 还称，智能体使用了 10 种新的漏洞利用技术，并由第三方 Linux 内核漏洞专家确认属于新方法。由于相关漏洞仍在提交维护者和协调修复的过程中，公开材料没有披露足以直接复现这些技术的细节，这也是负责任披露阶段应有的克制。

花掉121.34万美元，但经济账并不差

**整套第二轮扫描的总成本为121.34万美元，平均每个最终本地提权结果约1279美元。**这个平均值由总成本除以 948 得出，包含漏洞发现、动态验证、利用评估、补丁生成等完整流程，并不只是生成一份 Exploit 文本的费用。

| 成本项目 | 金额或估算 | 说明 | |---|---:|---| | 漏洞发现阶段 | 31.65 万美元 | 12小时分析并生成2308个候选问题 | | 全流程成本 | 121.34 万美元 | 覆盖发现、验证、利用与补丁环节 | | 每个最终LPE平均成本 | 约1279美元 | 121.34万美元÷948 | | 估算漏洞赏金价值 | 1890万—6630万美元 | 取决于漏洞等级与赏金口径 | | 估算价值/成本 | 约16—55倍 | 不能等同于实际可兑现收入 |

市场资料按常见漏洞赏金标准估算，这 948 个利用结果的理论价值约为 1890 万至 6630 万美元，相当于实验成本的 16 至 55 倍。不过，这个估值只能用来说明潜在安全价值，不能视为 OpenAI 实际获得的收入：同根因变体、受影响版本、攻击前置条件和维护者评级都会显著影响真实赏金。

**1279美元一个提权结果已经低到足以改变企业安全预算的分配方式。**对大型软件供应商而言，高级内核研究员的时间远比这个数字昂贵；对防守方而言，AI 可以把过去只能抽样进行的深度审计，扩展到每次合并、每个子系统或每个候选发布版本。

成本仍然是这套系统短期内的限制。121.34 万美元只覆盖约 7%的内核代码，而且任务运行在 OpenAI 预先搭建的隔离环境中；如果对完整内核、多种架构、不同编译选项和多个长期支持版本持续扫描，算力与验证基础设施成本还会继续增长。

这不是“AI已经能自主攻破Linux”

**OpenAI 的实验结果证明了规模化漏洞研究能力，但没有证明模型可以在开放网络中自主攻陷目标。**这次任务拥有明确代码范围、可控虚拟机、预设工具链和本地访问场景，属于边界清晰的安全研究环境，与现实攻击中的资产发现、初始入侵、权限维持和横向移动仍有明显距离。

本地提权尤其需要前置落点。攻击者通常必须先拿到普通账号、控制一个低权限服务进程或进入容器，才能运行 LPE；它与无需认证、从公网直接触发的远程代码执行漏洞不是同一风险等级。

**真正的风险在于漏洞武器化周期被显著压缩。**过去，一项内核缺陷从代码审计到稳定利用，可能需要资深研究员投入数天乃至数月；自动化链路现在可以并行处理数千个目标，并在几十小时内完成批量验证和利用评估。

这会让“公开补丁后再慢慢升级”的安全策略变得更加危险。补丁一旦进入公开仓库，攻击模型可能迅速比较修复前后的代码，反推出漏洞根因并尝试生成利用；防守方的补丁窗口因此可能从数周缩短到数天甚至数小时。

未发布模型是最大变量

**OpenAI 尚未公布这款网络安全模型的正式名称、参数规模、价格和开放方式。**截至 2026 年 11 月 5 日，外界只能确认它属于新一代网络安全模型，无法判断能力来自通用前沿模型、专门训练的 Cyber 模型，还是多个模型与工具智能体的组合。

目前也没有独立机构在相同代码范围和环境下复现这组数据。2308 个候选问题中哪些属于此前未知漏洞、哪些已被维护者知晓、哪些只影响非默认配置，以及 948 个结果是否都能进入上游安全公告，仍需等待 Linux 内核维护团队完成审核。

**缺少公开基准意味着这次报告更像一次能力展示，而不是可横向比较的模型评测。**如果没有任务集、内核提交版本、编译配置、成功判定标准和人工介入比例，就无法把它与 Anthropic 等厂商的网安模型，或传统模糊测试、符号执行和静态分析工具做严格比较。

OpenAI 正在把漏洞根因分析、最小化崩溃 PoC、候选补丁和利用结果提交给 Linux 内核维护人员。相比单纯公布“找到多少漏洞”，能否形成可接受的上游补丁、控制重复报告并避免压垮维护者，才是这套系统能否长期使用的关键。

安全团队现在该关注什么

**企业现在最需要升级的是漏洞响应速度，而不是立即寻找所谓的948个漏洞编号。**这些问题仍处于协调披露和人工审核阶段，公开材料并未给出完整 CVE 列表，安全团队无法也不应该根据模糊描述自行尝试利用。

更现实的准备包括：

• 缩短 Linux 内核安全更新从发布到生产部署的周期，并提前验证重启流程；
• 盘点允许低权限用户执行代码的服务器、开发机和多租户环境；
• 限制容器宿主机暴露面，避免把容器隔离等同于内核安全边界；
• 监控异常用户命名空间、内核日志、崩溃、权限变化和可疑系统调用序列；
• 为内核补丁建立灰度发布与快速回滚能力，减少“知道有补丁但不敢升级”的时间；
• 将 AI 生成的漏洞报告纳入人工复核流程，避免自动提交大量重复或低质量问题。

**OpenAI 这次实验的真正意义，是把漏洞研究从手工作坊推向了自动化流水线。**948 个本地提权结果当然醒目，但更重要的是系统已经能在 42 小时左右完成候选分析与动态验证，并继续向利用和补丁环节推进。

这项能力对防守方是放大器，对攻击方同样如此。只要模型权重、运行成本和工具权限继续下降，未来的竞争就不再是谁先发现漏洞，而是谁能更快完成验证、修复、部署与披露；Linux 内核只是这条生产线公开展示的第一个大型靶场之一。

参考来源

• IT之家：OpenAI扫描Linux内核发现948个可提权漏洞 —— 汇总 OpenAI 安全研究报告披露的候选问题、动态复现、利用数量与成本数据。
• IT之家：曝OpenAI新一代Cyber网安模型最快本周发布 —— 补充未发布网络安全模型的产品动向；截至11月5日，具体型号与发布时间尚未获官方确认。