OpenAI will 948 Schwachstellen im Linux-Kernel in einem einzigen Agenten-Durchlauf für 1,2 Millionen Dollar gefunden und ausgenutzt haben
In einem am 4. November veröffentlichten Bericht beschreibt OpenAI eine Pipeline autonomer Agenten, die von einem künftigen, auf Cybersicherheit spezialisierten Modell angetrieben wird. Laut OpenAI wurden 948 Sicherheitslücken validiert, die es ermöglichen, auf Linux Root-Rechte zu erlangen, und für jede davon ein Patch erstellt. Die Kosten: 1,21 Millionen Dollar an API-Guthaben. Die Patches werden schrittweise an die Maintainer übermittelt.
OpenAI hat am 4. November einen Forschungsbericht veröffentlicht, der die Sicherheit von Open-Source-Software nachhaltig prägen könnte: Eine Kette autonomer Agenten, angetrieben von einem noch unveröffentlichten Cybersicherheitsmodell, hat für 948 Schwachstellen im Linux-Kernel Nachweise erbracht, Exploits demonstriert und Patches vorgeschlagen. Diese Sicherheitslücken erlauben es einem einfachen lokalen Benutzer, Root-Rechte zu erlangen, also die vollständige Kontrolle über das System zu übernehmen. All dies geschah in einem einzigen Durchlauf für 1,21 Millionen Dollar an API-Guthaben.
Eine Kette in fünf Stufen
OpenAI beschreibt einen wie eine Fabrik organisierten Prototyp, an dessen Ende ein Mensch steht:
- Entdeckung: „Scout“-Agenten wählen die Teile des Kernels aus, die für einen Benutzer ohne Privilegien zugänglich sind (5.034 Ziele, etwa 2,8 Millionen Zeilen, fast 7 Prozent des Codes), woraufhin „Analyst“-Agenten dort nach Schwachstellen suchen;
- Validierung: Für jeden Hinweis schreibt ein Agent ein Demonstrationsprogramm und führt es in einer isolierten virtuellen Maschine aus, bis der Fehler reproduziert ist;
- Ausnutzbarkeit: Weitere Agenten versuchen, daraus einen echten Angriff auf eine Konfiguration zu entwickeln, die die Standard-Schutzmechanismen einer Linux-Distribution beibehält;
- Patch: Für jede Schwachstelle wird ein Patch verfasst, einhergehend mit einer Suche nach Varianten desselben Fehlers;
- Menschliche Überprüfung: Sicherheitsforscher prüfen den Exploit, den Patch und den Schweregrad, bevor die Schwachstelle an die Maintainer gemeldet wird.
Die Zahlen des Oktober-Durchlaufs
Die Pipeline, die Mitte Oktober auf der neuesten Version des Kernels gestartet wurde, lieferte in zwölf Stunden 2.308 Hinweise, reproduzierte 1.724 davon (etwa 75 Prozent) in dreißig Stunden und erzielte schließlich 948 unterschiedliche ausgenutzte Schwachstellen zur Rechteausweitung sowie 291 Informationslecks. Laut OpenAI beruhten nur 3,1 Prozent der Befunde auf einem Denkfehler des Modells; die meisten anderen nicht reproduzierten Hinweise erforderten erhöhte Rechte oder Bedingungen, die im vorgegebenen Zeitfenster schwer auszulösen waren. Die durchschnittlichen Kosten beliefen sich auf 1.279 Dollar pro Schwachstelle.
Der Vergleich mit dem Juli liefert die aussagekräftigste Zahl: Mit derselben Methode hatte GPT-5.6 Sol damals 166 Schwachstellen dieser Art für 513.690 Dollar gefunden. Das neue Modell fand mehr als fünfmal so viele neue Lücken, obwohl der Kernel in der Zwischenzeit gehärtet worden war. OpenAI verzeichnete zudem mindestens zehn neuartige Exploit-Techniken, die aus Sicherheitsgründen nicht näher beschrieben werden, sowie einen aufschlussreichen Vorfall: Bei einem Test erlangten 20 von 200 Exploits Root-Rechte über eine andere, unbekannte Schwachstelle als diejenige, die ihnen eigentlich zugewiesen war.
Stand der Patches
OpenAI gibt an, bereits Hunderte von Berichten und Patches für kritische Schwachstellen nach den Empfehlungen der Kernel-Community weitergeleitet zu haben und den Rest auf Partner von Patch the Planet aufzuteilen, seinem Programm zur Absicherung von Open-Source-Software unter dem Dach von Daybreak. Nach Ablauf der zehntägigen Operation waren bereits 61 Schwachstellen Upstream behoben, 43 hatten einen Patch in Vorbereitung und 299 wurden öffentlich diskutiert. OpenAI zieht daraus eine deutliche Konsequenz: Für einen gut ausgestatteten Angreifer kommt ein unprivilegiertes Konto auf einem nicht aktuellen System kurzfristig praktisch einem Root-Zugriff gleich.
Dieser Bericht reiht sich in eine arbeitsreiche Woche für den Anbieter auf diesem Gebiet ein, nach der Ankündigung eines neuen Sicherheits-Sprints und erhöhter Prämien für gefundene Schwachstellen.
Was wir nicht wissen
- Das verwendete Modell: OpenAI spricht von einem „künftigen Cyber-Modell“ ohne Namen, Veröffentlichungsdatum oder Zugangsbedingungen.
- Die unabhängige Überprüfung: Die Liste der Schwachstellen und die Exploits sind nicht veröffentlicht; die Zahlen stammen ausschließlich von OpenAI.
- Das Tempo bei der Veröffentlichung der verbleibenden Patches und die Arbeitslast, die dies für die ehrenamtlichen Maintainer bedeutet.
Unsere Einschätzung
Die Zahl von 948 ist beeindruckend, doch die eigentliche Kerninformation ist ökonomischer Natur: Das Auffinden und Nachweisen einer schweren Schwachstelle im Linux-Kernel kostet mittlerweile nur noch einige hundert bis knapp über tausend Dollar an Rechenleistung, während Sicherheitswettbewerbe dafür 20.000 bis 70.000 Dollar zahlten. OpenAI betont die defensive Ausrichtung, und die Bereitstellung eines Patches sowie eine menschliche Überprüfung bei jeder Schwachstelle weisen in diese Richtung. Dieselben Fähigkeiten in anderen Händen verändern jedoch die Ausgangslage für alle schlecht gewarteten Linux-Systeme dramatisch – von Servern bis hin zu vernetzten Geräten. Der Engpass verlagert sich auf die Maintainer, die innerhalb weniger Wochen Hunderte von Berichten bewältigen müssen, und auf die Administratoren, die Updates deutlich schneller einspielen müssen. Es bleibt jedoch ein grundlegender Vorbehalt: Solange die Daten nicht von Dritten überprüft werden können, handelt es sich um einen Bericht von OpenAI über das eigene Modell, der nicht zuletzt dessen Veröffentlichung vorbereiten soll.
Quellen
- OpenAI — A thousand fewer paths to root (4. November 2026) Primärquelle
- OpenAI auf X — Ankündigung der Schwachstellenforschungs-Pipeline (4. November 2026) Primärquelle
- The Hacker News — OpenAI AI Pipeline Generates 948 Linux Root Escalation Exploits Sekundärquelle
Eine Primärquelle stammt direkt von dem betreffenden Unternehmen, Labor oder der Organisation. Eine Sekundärquelle gibt die Information wieder, ohne ihr Urheber zu sein: Wir kennzeichnen sie als solche. Einen Fehler entdeckt? Lesen Sie unsere Korrekturrichtlinie.
