OpenAI自主模型在Linux安全测试中产出291个可用漏洞利用

单次自主运行产出291个可用漏洞利用

研究公司OpenAI发布的一份测试结果显示,其自主AI系统在一次无人干预的运行中,独立完成了一条完整攻击链:发现安全缺陷、验证该缺陷、编写可用的漏洞利用代码并产出修复补丁。研究人员Eric Wallace公开了这批结果,测试对象是Linux内核,也就是全球大多数服务器赖以运行的软件底座。数字相当罕见:在2,308条初步发现中,该系统确认了数百个隐藏的本地权限提升缺陷,这类漏洞能让低权限用户在一台机器上获得更高权限。系统还产出291个与内存泄露相关的可用概念验证,并自行记录了至少10种此前未知的攻击路径。作为对照,人类安全专家在Linux上全年通常只会发现约20个同类缺陷,差距的量级由此可见。成本方面,整个试验总计花费120万美元,平均每个完成的漏洞利用成本为1,279美元;同类安全发现在公开市场上的报价可达2万至7万美元,单位成本远低于现行市价。Wallace在这次单次自主运行后表示,该模型已经实质性改写了网络安全的既有标准。这里有一个术语需要厘清:零日漏洞指开发者尚未发布修复补丁时就可被利用的缺陷,本次试验所检验的正是这种快速抵达能力。需要说明的是,全部结果都发生在受控研究环境中,并非真实世界的入侵行动。

Schwartz将自身退出时点与报告挂钩

XRP Ledger的架构师之一、Ripple荣休首席技术官David Schwartz把这份报告读作对自己的一种印证。他认为,自己在一年前左右退出一线开发的时机判断得当,并以OpenAI的这批结果为据,指出AI正在短时间内重置网络安全领域长期沿用的基准。他于去年11月从Ripple的现职首席技术官岗位转为荣誉性荣休身份,但这次职位变动从未让他离开网络本身。他最近在XRP Ledger上公布了个人服务器集群的监控图表:其中一个节点保持着超过550个活跃连接,延迟约为200毫秒,每秒处理约11万条传入消息。他对这项研究的回应不是警告,而是一份持续工作的记录:节点图表、队列诊断以及与验证节点的持续沟通全部公开发布,其中没有任何一项是Ripple的正式公告,而是他在自己参与设计的网络上进行的个人技术投入。在一项与活跃验证节点共同完成的评估中,他详细描述了交易队列中的一处缺陷如何把自己服务器的本地负载推高到540,进而触发账本内费用上涨。更大的利害关系落在区块链所依赖的开源模式上:开放代码是区块链安全的基石之一,这也让一个能在数小时内触及零日漏洞的AI成为Web3生态的现实课题,影响范围从账本客户端到跨链桥协议软件。如果机器驱动的漏洞发现以这种速度运转,仅依赖人工审查的审计就不再像一种成熟的惯例,而更像一个缺口。

漏洞利用成本远低于市场行情

整份报告中最具分量的是单位成本:单个完成漏洞利用1,279美元,对照市场上2万至7万美元的行情,缺陷发现正在从一门专业手艺变成一笔常规开支,按人工审查节奏编制的审计预算面临重置压力。Schwarz持续的节点监控表明,XRP Ledger在这一调整中的应对已是实际运作,而非停留在口头层面。对持币者而言,结论落在自托管纪律上:私钥应保存在由自己掌控的加密钱包中,最好采用硬件钱包或冷钱包方案,因为中介机构恰好集中了本次试验所利用的那类软件暴露面,而搁置在第三方处的风险可能超出defi保险市场当前的定价能力。交易所遭入侵的事件已经演示过软件一旦失灵资金流失有多快:一笔2.3346亿枚XRP的被盗资金分散到七个账户,就是最直观的例证。同样重要的是OpenAI这项工作没有证明的部分:试验运行在Linux内核上,而不是任何区块链代码库,因此它展示的是受控运行中的能力,并非一条通向XRP Ledger的实时攻击路径。