OpenAI、自律型エージェントの1回のエージェント実行でLinuxカーネルの脆弱性948件を発見・悪用と発表、費用は120万ドル

OpenAIは11月4日、オープンソースソフトウェアのセキュリティに大きな影響を与えかねない調査レポートを公開した。未リリースのサイバーセキュリティ特化型モデルによって稼働する自律型エージェントのパイプラインが、一般のローカルユーザーがroot権限を取得してマシンの完全な制御を奪えるLinuxカーネルの脆弱性948件を発見・実証し、修正パッチを提案したという。すべてが1回の実行で完了し、要したAPIクレジットは121万ドルだった。

5段階で構成されるパイプライン

OpenAIは、工場のように組織され、最終工程に人間を配置したプロトタイプを説明している。

• 発見（Discovery）：「Scout」エージェントが非特権ユーザーからアクセス可能なカーネル領域を選定し（5,034件の対象、約280万行、コード全体の約7%）、続いて「Analyst」エージェントが脆弱性を探索する。
• 検証（Validation）：各手掛かりに対し、エージェントが実証プログラムを作成し、隔離された仮想マシン内でバグが再現されるまで実行する。
• 悪用可能性（Exploitability）：別のエージェントが、標準的なLinuxディストリビューションの保護機能を維持した構成上で、実用的な攻撃コードの構築を試みる。
• 修正パッチ（Patching）：各脆弱性に対してパッチを作成し、同一バグの亜種も探索する。
• 人間によるレビュー（Human Review）：セキュリティ研究者が、メンテナーへ脆弱性を報告する前に、エクスプロイト、パッチ、深刻度を検証する。

10月の実行における数値

10月中旬に最新版カーネルを対象に開始されたパイプラインは、12時間で2,308件の手掛かりを抽出し、30時間でそのうち1,724件（約75%）を再現した。その後、悪用に成功したローカル特権昇格の固有の脆弱性948件と、291件の情報漏洩を導き出した。OpenAIによると、モデルの推論ミスによる指摘はわずか3.1%にとどまり、再現に至らなかった手掛かりの多くは高い特権を要するか、制限時間内での再現が難しい条件を伴うものだった。脆弱性1件あたりの平均コストは1,279ドルとなった。

7月の結果との比較が最も顕著な違いを示している。同様の手法において、GPT-5.6 Solは513,690ドルを費やして166件の同種脆弱性を発見していた。新モデルは、その間にカーネルのセキュリティ強化が進められていたにもかかわらず、5倍以上の新規脆弱性を発見した。OpenAIはさらに、安全上の理由から詳細を明かさないとしながらも、少なくとも10種類の新たな悪用手法を確認したことや、ある実験で200件中20件のエクスプロイトが割り当てられたものとは別の未知の脆弱性を突いてroot権限を取得したという示唆に富むインシデントも報告している。

修正パッチの現状

OpenAIは、カーネルコミュニティの推奨に従い、深刻な脆弱性についてすでに数百件のレポートとパッチを送付したと述べている。残りの案件については、Daybreak傘下のオープンソース保護プログラムPatch the Planetのパートナーと分担して対応している。10日間の作業終了時点で、61件の脆弱性はすでにアップストリームで修正され、43件でパッチが準備中、299件が公開の場で議論されていた。OpenAIはこの結果から明確な教訓を導き出している。十分な装備を持つ攻撃者にとって、最新状態に保たれていないシステム上の非特権アカウントは、短期的にはrootアクセスと同義になったということだ。

このレポートは、同開発元が新たなセキュリティスプリントと脆弱性報奨金の引き上げを発表した直後の、同分野における多忙な1週間の動きに続くものである。

明らかになっていない点

• 使用されたモデル：OpenAIは「将来のサイバーモデル」と述べるのみで、名称、リリース時期、利用条件は明かしていない。
• 第三者による検証：脆弱性リストやエクスプロイトは非公開であり、数値はOpenAI単独による公表にとどまる。
• 残るパッチの公開ペースと、それがボランティアのメンテナーに課す負荷の大きさ。