OpenAI 利用 GPT-5.5 发现千余 Linux 内核漏洞

安全研究过去往往需要针对每一项发现开展独立且持续的调查，而如今这一过程正日益转变为一种系统化的流程。本文探讨了我们在此领域的一项工作成果。

漏洞发现正变得更容易规模化，但优先级排序和验证仍是运营层面的瓶颈。我们构建了一个原型系统，旨在受控的研究环境中查找 Linux 内核中的安全缺陷。该原型识别并分析了 2,308 个候选 Linux 内核发现项，动态复现了 1,724 个漏洞，并生成了 948 个本地权限提升（LPE）利用程序，这些利用程序可使非特权本地用户获取 root 访问权限。

我们利用这些证据对漏洞进行优先级排序以便上报，并为维护者审查开发了候选补丁。遵循 Linux 内核社区的指导方针，我们从关键漏洞入手，并与 Patch the Planet 合作伙伴共同推进后续的报告和补丁工作。

今年六月，作为 Patch the Planet 计划的一部分，我们分享了 GPT‑5.5 Cyber 如何识别 Linux 内核漏洞，并开发 24 个本地权限提升利用程序以验证和报告这些漏洞。我们将这项工作扩展为一条流水线，由一款即将推出的网络安全模型驱动，涵盖漏洞发现、动态验证、可利用性评估以及补丁生成。当流水线运行结束后，人类研究人员会对输出结果进行审查，并将发现的漏洞连同补丁一并上报。

为什么选择 Linux 内核

Linux 内核支撑着 Android 设备、云基础设施、超级计算机以及其他被数十亿人使用的系统。凭借超过 4,000 万行代码，内核通过系统调用、网络、文件系统和设备驱动程序暴露出广泛的攻击面。我们选择 Linux 是为了研究前沿模型在如此规模和重要性的代码库中，能够多么有效地发现漏洞并展示其安全影响。

初始的漏洞发现阶段产生了数千个候选发现项，数量之多超出了安全研究人员手动审查和分类的能力范围。我们的漏洞发现流水线面临的运营挑战并非“发现”本身，而是确定哪些发现项可以复现、它们跨越了何种安全边界，以及哪些最需要尽早引起维护者的注意。

成本分析

OpenAI 网络安全团队的使命是帮助保障全球所依赖的软件安全。我们报告每个阶段的 API 成本，以协助研究人员评估复现和扩展这项工作所需的资源。这些成本反映了本次评估中使用的模型、目标配置和工作流程。我们的更广泛目标是帮助防御者发现并修复漏洞，从而减少攻击者可利用的机会，并提高其利用软件的成本。

最后请注意，本研究侧重于方法论和模型能力测量，而非成本。我们预计，充分的框架工程（harness engineering）可以显著降低每个阶段的成本；因此，我们报告的成本更多是一个上限。

漏洞研究流水线

我们的漏洞研究原型是一个包含五个阶段的流水线，其核心使用了一个即将推出的网络模型：

• 漏洞发现： 智能体识别代码库中与安全性相关的部分，并扫描它们以寻找候选发现。
• 动态验证： 智能体尝试在隔离环境中复现每个候选项，并保留运行时证据。此步骤输出已复现并验证的漏洞。
• 可利用性评估： 智能体测试已验证的漏洞是否可能导致信息泄露或本地权限提升。
• 补丁生成：智能体生成针对每个已识别漏洞的补丁。
• 人工审查：安全研究人员在向维护者报告之前，审查利用程序、补丁以及建议的严重性等级。

在流水线的末尾，系统会打包根本原因分析、最小崩溃概念验证（PoC）、候选补丁以及完整的利用程序，以协助人类研究人员评估漏洞的严重性并将修复方案上游提交。

漏洞发现

Linux 内核中的并非每一行代码都与安全性相关。我们的流水线使用了一组 Scout 智能体来识别高价值的审计目标，随后将这些目标传递给 Analyst 智能体进行漏洞扫描。

Scout 智能体

Scout 智能体会通读每个文件夹和文件，并根据其可达性（低权限用户是否可达）和安全相关性来确定需要审计的目标。

这一阶段共识别出 5,034 个审计目标，涉及约 280 万行代码，约占 Linux 内核整个代码库的 7%。与全量代码分析相比，这显著降低了安全审计的成本。此步骤消耗了 3,426 美元的 API 额度。

动画展示侦察代理（scout agents）探索 Linux 内核代码区域并确定审计目标的过程。

分析师代理

接下来，分析师代理对每个审计目标进行分析，并使用类似于 Codex Security 插件⁠(opens in a new window) 的工作流程生成候选发现。从宏观层面来看，分析师代理会阅读分配给它们的审计目标代码，以理解其工作原理，识别其威胁模型，并在其中查找漏洞。

在 12 小时内，分析师代理经过去重后生成了 2,308 个候选发现。此阶段消耗了 316,549 美元的 API 额度。

漏洞验证

候选发现并不等同于已验证的漏洞。在此规模下，人工调查每一份报告对于我们的研究团队来说是不切实际的。

因此，我们专注于验证满足以下条件的发现：a) 低权限用户可达；b) 不需要特殊能力；c) 能产生可测量的内存损坏证据。

对于每个候选项，分诊代理（triage agent）会生成一个概念验证（proof of concept），并在运行启用了内核地址清理器（KASAN）的 Linux 内核的隔离虚拟机中执行它。该代理观察程序输出和系统控制台，然后迭代优化概念验证，直到复现所报告的行为或穷尽所有可能的触发方式。

在 30 小时内，我们的系统复现了 1,724 个漏洞，占 2,308 个候选发现的约 74.7%。仅靠静态代码审查容易产生误报，因此我们对分析师代理的准确性以及分诊代理的有效性印象深刻——它们自主地为近四分之三的候选发现创建了可用的概念验证。

其余大多数发现要么需要提升权限，要么由于复杂的竞态条件、特定的触发条件（例如，在特定行发生所需的分配失败）或耗时的验证过程（例如，引用计数回绕）而在时间预算内未能复现。只有 3.1% 反映了模型的错误分析，即报告的漏洞假设了一个不可能的条件。

验证阶段总共消耗了 73,330 美元的 API 额度。我们观察到，在我们的验证流程中，需要生成概念验证（proof-of-concept）以确认候选项是否为真实漏洞，这一过程比仅基于静态分析提出建议的成本更高，且验证真阳性与假阳性的成本相似。因此，在流程早期移除假阳性可使整体过程在成本效益上显著提升。

可利用性评估

验证确立了漏洞的真实性，但并未说明其处理的紧迫程度。例如，可能导致本地权限提升的漏洞，其优先级应高于仅能导致本地拒绝服务的漏洞。面对 1,724 个已验证的漏洞，下一步任务是识别出具有最大潜在安全影响的发现。

初始筛选代理对每份报告、崩溃日志及相关源代码进行了静态审查。该代理被刻意设置为宽松模式，以避免丢弃可能严重的发现，同时过滤掉没有合理利用路径的案例。这将结果缩小至 313 个信息泄露候选项和 1,238 个本地权限提升候选项。

随后，漏洞开发（ExploitDev）代理在配置了标准 Linux 发行版默认启用保护措施的隔离虚拟机中测试这些候选项，包括监管模式执行预防（SMEP）、监管模式访问预防（SMAP）、内核地址空间布局随机化（KASLR）以及 HARDENED_USERCOPY。这有助于防止依赖禁用保护措施的不切实际的评估。

代理生成了 291 个信息泄露的概念验证，以及 1,169 个可用的本地权限提升漏洞利用代码，这些代码可使非特权本地用户获得 root 访问权限。

我们进行了变体分析，并为这些漏洞背后的问题开发了 948 个不同的补丁。我们使用该数字来确定唯一本地权限提升漏洞的总体数量。成功开发漏洞利用代码平均消耗 359 美元的额度。这使得防御者测试所发现漏洞的可利用性相对低廉。

初始漏洞筛选代理消耗了 44,194 美元的 API 额度。漏洞利用阶段总共消耗了 775,929 美元的 API 额度，其中处理信息泄露候选项花费 84,929 美元，处理本地权限提升候选项花费 691,000 美元。

平均而言，处理一个本地权限提升（LPE）候选项的成本（558 美元）大约是处理一个信息泄露候选项成本（271 美元）的两倍。这是因为信息泄露的概念验证代码（PoC）是从验证阶段直接沿用的，只需少量修改即可用于漏洞利用。相比之下，从 LPE 候选项开发漏洞利用程序需要许多额外步骤，例如制定利用策略、识别可利用的易受攻击对象、绕过缓解措施等。我们还注意到，失败的利用尝试（69 个案例，总成本 3,922 美元）比成功的尝试（1,169 个案例，总成本 360 美元）昂贵得多。这主要是由少数难以利用的漏洞（如竞态条件）造成的。定义合理的放弃条件——例如在尝试一小时且无进展后停止——将能显著降低 ExploitDev 的成本。

补丁生成

对于每个经过验证的漏洞，系统还会生成一个补丁。我们向模型提供相关的源代码，并提示其遵循补丁编写的最佳实践，例如对补丁执行静态检查、遵循附近代码中使用的软件开发规范，以及进行变体分析以确保补丁的完整性。

遵循 Linux 内核社区的建议，我们已经发送了数百份关于关键漏洞的报告和补丁，并正与 Patch the Planet 合作伙伴合作，逐步为其余漏洞发送补丁。这项工作是我们支持开源项目的更广泛 Daybreak 承诺的一部分。

发现

在本节中，我们将分享此次研究的学习心得、反思及补充分析。

维护者正在迅速修补漏洞

在此次研究期间，我们观察到 Linux 维护者迅速行动以修复漏洞并保护用户。扫描工作于 2026 年 10 月中旬针对最新的 Linux 内核版本进行。当自主扫描和人工分析在 10 天后完成时，已有 61 个本地权限提升（LPE）漏洞在上游被修补，43 个处于暂存补丁阶段，另有 299 个正在公开报告和讨论中。

我们衷心感谢那些紧急修补已识别问题的 Linux 维护者，以及贡献其发现成果的更广泛安全社区。这种集体响应正是保障全球软件安全所必需的。漏洞披露和补丁修复的快速节奏也凸显了用户和企业保持软件更新的重要性。

要点：自动化分诊（triage）应将快速补丁周期纳入考量。针对最新代码重新验证发现结果——包括原始扫描后合并的新代码——有助于避免重复或过时的报告。这将注意力集中在未解决的漏洞上，并为维护者提供可据此采取行动的证据，同时不会增加不必要的审查负担。

更强的模型能发现更多漏洞

在开发该流程期间，2026 年 7 月下旬，GPT‑5.6 Sol 发现并利用了 166 个独特的本地权限提升（LPE）漏洞，端到端 API 积分成本为 513,690 美元。

在第二次扫描中，即 2026 年 10 月中旬，较新的网络模型发现并利用了 948 个独特的 LPE 漏洞，端到端 API 积分成本为 1,213,430 美元。在这两次行动中，我们均扫描了当时最新的 Linux 内核主分支（master branch）。

要点：随着模型能力的提升，应重新扫描此前已审计过的代码。即使使用相同的研究框架，功能更强大的模型也可能发现早期模型遗漏的漏洞。

新颖的利用技术

我们对智能体开发的 166 个利用程序进行了抽样，并分析了其中使用的利用技术。据我们所知，智能体在这些抽样的利用程序中使用了 10 种新的利用技术。我们将这些利用技术与第三方内核利用专家共享，对他们而言这些技术也是全新的。

在这 10 种技术中，有两种是模型用于在目标内核缓存中喷洒对象的新持久弹性对象；两种是提高利用可靠性的新页面整理（page grooming）技术；五种是直接或通过任意写入获取权限提升的新数据导向（data-only）技术；另一种技术涉及任意类型混淆（type confusion）。出于安全考虑，我们在本文中省略了这些新利用技术的完整技术细节。

要点：前沿模型不仅仅是在匹配已知的易受攻击代码模式或仅使用已知的利用技术；它们展现了创造力和新颖的方法。

防御者能从漏洞利用成本中学到什么

我们团队使命的重要组成部分，是衡量发现和利用漏洞的成本，并利用这些证据来指导防御性投资。我们的目标是帮助防御者在攻击者利用之前修复漏洞，并使攻击者利用软件的成本高到无法承受。衡量利用成本有助于我们评估随着模型能力的提升，这一挑战如何变化。在本节中，我们将流水线运行的成本与所识别漏洞的漏洞赏金计划奖励进行比较。

实验中的目标虚拟机运行的是标准桌面操作系统，而非弱化后的目标，且采用网络安全竞赛（例如 Pwn2Own⁠(opens in a new window)、TyphoonPWN⁠(opens in a new window)）所使用的相同威胁模型。历史上，Pwn2Own 和 TyphoonPWN 针对 Linux 内核本地权限提升漏洞分别提供 20,000 美元和 70,000 美元的漏洞赏金。将这些历史赏金金额应用于这 948 个漏洞，可得出一个假设估值为 1,890 万至 6,630 万美元，约为我们的流水线成本的 16 倍至 55 倍。

我们还针对 Google 的 kernelCTF⁠(opens in a new window) 漏洞奖励计划测试了我们的流水线，该计划以经过加固、攻击面减少的 Linux 内核为目标。我们在 kernelCTF 环境下对最新版本的 Linux 内核运行了流水线（由于与 kernelCTF 中的 SLAB_VIRTUAL 缓解措施不兼容，我们从配置中移除了它），获得了 25 个信息泄露概念验证和 21 个本地权限提升漏洞。作为对比，截至撰写本文时，kernelCTF 在 2026 年已接受 26 个确认的 0-day LPE 漏洞。整个活动持续了 112 小时，API 积分成本约为 32,936 美元，其中漏洞发现占 API 成本的 83.7%。如果这 21 个漏洞被该计划接受，将带来约 150 万美元的赏金奖励，约为成本的 45 倍。

要点： 基于公开支付金额，使用当前具备网络能力的模型，我们的漏洞研究流水线在本次研究期间实现了净盈利。防御者应主动分析其软件，使攻击者利用漏洞的成本高到无法承受。

误用不同的 0-day 漏洞

在可利用性评估阶段，ExploitDev 智能体收到一份漏洞报告，并被要求构建一个功能完整的利用程序。我们的流水线将成功获取 root shell 视为该漏洞已被利用的标志。在一次早期运行中，利用阶段报告了 200 个成功的本地权限提升利用案例。然而，经过人工审查，我们发现其中 20 个案例是通过另一个不同的 0-day 漏洞而非指定的那个漏洞获得了 root 权限。这表明，即使智能体的利用行动取得成功，也需要进行适当的验证。

随后，我们收紧了任务约束条件，并增加了一项独立检查，以确认每个最终生成的利用程序确实使用了其被分配的漏洞。

要点：对于自主安全研究，除了验证结果本身外，还必须验证达成结果的路径；隔离、监控和独立检查是必要的控制措施。

更强的模型可能需要更轻量的编排

在本研究的早期阶段，我们探讨了是否应在智能体周围构建重型编排以提升其网络能力这一设计决策。我们的结果表明，更强的模型需要更轻量的编排和引导。边际收益的提升无法证明维护成本的合理性。因此，我们决定移除重型编排。

实验对比了 GPT‑5.5 Cyber 和 GPT‑5.6 Cyber。据我们观察，GPT‑5.5 Cyber 无法一致地识别何时以及如何应用现有的 Linux 内核利用技术。随后，我们将 103 种技术整理为模型友好的格式，将其放入智能体的环境中，并提示智能体使用这些技术。在 63 个利用候选项中，这将成功率从 76.2% 提高到了 88.9%。

当我们对 GPT‑5.6 Cyber 重复此过程时，发现该模型能够自行更好地查找、选择和应用相关技术。我们移除了技术/技能编排层，这种轻量级编排的 GPT‑5.6 Cyber 工作流表现优于脚手架更重的 GPT‑5.5 Cyber 工作流。为 GPT‑5.6 Cyber 重新添加额外的技术层仅带来了 1.5 个百分点的边际提升。

要点：随着基础模型能力的变化，需重新评估你的编排和测试框架（harness）。那些能显著提升某一代模型表现的脚手架，对于更强的模型可能价值甚微，应权衡其维护成本。

迭代改进补丁生成

最初，当直接提示模型生成候选补丁时，它会创建功能正确、能够缓解概念验证（PoC）的补丁，但偶尔会引入其他问题：代码冗余超出必要范围、引入潜在的性能权衡、偏离编码规范，或未能检查相关代码中是否存在同一漏洞的其他变体，从而导致补丁不完整。

通过对补丁生成过程添加额外指令并进行迭代优化，补丁质量得到了提升。这表明，如果处理得当，AI 生成的安全补丁完全有可能做到正确、精简且符合现有代码规范。这是一个活跃的研究领域，我们相信随着未来模型的发展，这一过程将变得更加容易和高效。在少数案例中，我们的研究原型甚至能够发现人类专家编写的补丁中存在的问题，这些问题在合并前已被修复。

要点总结：模型可以加速补丁编写流程，但补丁技能和测试框架可能需要经过迭代，以确保补丁可靠地满足功能和性能需求。此外，我们建议利用模型对人类和 AI 生成的补丁进行对抗性审查，这有助于识别诸如补丁可被绕过、遗漏其他攻击路径或变体等问题。

测试基础设施中的漏洞

在我们的 kernelCTF 运行过程中，除了发现 21 个 Linux 内核 0-day 漏洞外，我们的研究原型还发现并利用了 QEMU TCG 中的一个漏洞。分析代理（Analyst Agent）被分配去分析系统调用入口代码，在编写程序以实验权限转换时，它遇到了一个意外的内核崩溃。该代理对崩溃进行了分类排查，并在无法访问 QEMU 源代码的情况下，将问题追溯至 QEMU TCG，并将该漏洞包含在报告中。随后，ExploitDev 代理成功为这一漏洞开发了本地提权（LPE）利用程序。我们在手动分析利用程序时发现了这个 QEMU 漏洞，并确认该漏洞已在上游 QEMU 中修复，但在实验期间使用的发布版本中尚未修复。

要点总结：具备前沿网络能力的模型能够在测试基础设施中发现漏洞。我们建议在执行攻击性漏洞研究之前，先对基础设施的每个部分进行测试。我们已经主动测试了我们的基础设施，披露并修复了 Kata、Moby/Docker、gVisor 及其他项目中的许多漏洞。

结论

我们的目标是将不断增强的模型能力转化为保护互联网安全人员的持久优势。本研究证明，前沿模型日益增长的网络能力可用于有效查找复杂软件（如 Linux 内核）中的漏洞。加固 Linux 等关键软件项目及开源项目，可以保护众多下游系统和用户。

通过 Patch the Planet——一项 Daybreak 计划——我们旨在将这项研究扩展到更多关键软件项目，并与维护者及安全合作伙伴共同开发可靠的自动补丁方案。我们希望稳步减少攻击者可利用的机会，提高发现和利用漏洞的成本，直到预期收益不再足以支撑攻击行为。

每一代模型都应帮助我们构建让下一代模型更难攻破的软件。我们将继续努力，打造一个任何人都能愉快在其上构建应用的安全互联网。