if ( !emtpy($headline_subheadline ) ) : ?>
L’expérience de 1,2 million de dollars démontre comment l’IA peut automatiser la validation des vulnérabilités et la génération de correctifs, les chercheurs humains examinant les correctifs avant de les soumettre aux responsables.
endif; ?>
OpenAI a développé un pipeline d’IA autonome capable d’identifier les vulnérabilités logicielles, de développer des exploits fonctionnels pour valider leur impact et de générer des correctifs pour examen humain. Lors d’une expérience d’octobre ciblant le noyau Linux, le pipeline a créé des exploits pour 948 vulnérabilités d’élévation de privilèges locales (LPE) distinctes pour un coût total d’API de 1,2 million de dollars, a déclaré la société dans un rapport de recherche du 4 novembre : « Mille chemins d’accès en moins vers la racine ».
Le système automatise la découverte des vulnérabilités, la validation dynamique, le développement d’exploits et la génération de correctifs. Les chercheurs humains examinent toujours l’analyse des causes profondes, les exploits de validation de principe et les correctifs proposés avant que les résultats ne soient communiqués aux responsables, a déclaré OpenAI.
La recherche s’appuie sur l’initiative Patch the Planet d’OpenAI. Annonçant le projet en juin dans le cadre de ses efforts de cybersécurité Daybreak, la société a déclaré que GPT-5.5 Cyber avait identifié les vulnérabilités du noyau Linux et développé 24 exploits LPE. La dernière expérience étend ce travail à un pipeline couvrant la découverte, l’exploitation et la génération de correctifs, ajoute le rapport.
L’IA change l’économie de la recherche sur la vulnérabilité
La campagne d’octobre a coûté 1 213 430 $ en crédits API, soit en moyenne 1 279 $ par exploit LPE distinct créé, a déclaré OpenAI.
OpenAI a comparé ses dépenses de recherche avec les primes historiques de vulnérabilité du noyau Linux offertes par les concours de piratage Pwn2Own et TyphoonPWN, qui ont payé entre 20 000 et 70 000 dollars pour les exploits LPE. Sur la base de ces chiffres, OpenAI a estimé la valeur des 948 exploits créés entre 18,9 et 66,3 millions de dollars, soit 16 à 55 fois le coût du pipeline. La comparaison ne représente pas les paiements réels des primes et n’établit pas que chaque découverte serait admissible à ces récompenses.
La dernière campagne a identifié cinq fois plus de vulnérabilités LPE uniques qu’une expérience précédente utilisant GPT-5.6 Sol, malgré trois mois de renforcement supplémentaire du noyau Linux entre les analyses, a déclaré OpenAI. Il a également signalé que ses agents utilisaient au moins 10 nouvelles techniques d’exploitation de Linux sur la base de son analyse d’un échantillon de 166 de ces exploits.
Le pipeline a généré des correctifs candidats pour les vulnérabilités validées et a utilisé des tests itératifs et des analyses de variantes pour les améliorer, a déclaré OpenAI, ajoutant que les correctifs initiaux introduisaient parfois des modifications de code inutiles ou des compromis de performances, ou ne parvenaient pas à résoudre les variantes de vulnérabilité associées.
Les humains sont toujours nécessaires dans la boucle
Pendant que la campagne se déroulait et avant qu’OpenAI puisse communiquer ses résultats aux responsables du noyau Linux, 61 des vulnérabilités découvertes avaient déjà été corrigées en amont, 43 avaient des correctifs intermédiaires et 299 autres étaient en cours de discussion publique.
OpenAI a déclaré avoir soumis des centaines de rapports de vulnérabilité et de correctifs aux responsables. Le rapport ne fournit pas une ventilation complète des mesures correctives pour les 948 constatations.
La nécessité de valider les exploits générés par l’IA constitue un autre frein au reporting. Au cours d’une première expérience, OpenAI a découvert que 20 des 200 exploits prétendument réussis avaient obtenu les privilèges root en exploitant une vulnérabilité zero-day différente de celle assignée à l’analyse. L’entreprise a ensuite introduit des contrôles supplémentaires pour garantir que son IA effectuait le travail assigné.
Les entreprises évaluant des outils de sécurité autonomes devraient exiger des exploits reproductibles, une identification précise des causes profondes et une validation indépendante, a déclaré Yash Kadakia, fondateur et directeur technique de Security Brigade. « Obtenir un résultat et expliquer correctement comment vous y êtes parvenu sont deux choses différentes », a-t-il déclaré.
L’application de correctifs aux entreprises reste un défi
Même si OpenAI s’est concentré sur le nombre d’exploits découverts, cela ne constitue pas la plus grande menace, a déclaré Sakshi Grover, directeur de recherche chez IDC. « Le risque est moins élevé pour 948 que pour la durée de la fenêtre entre la découverte et la mise en production des correctifs », a-t-elle déclaré.
Un correctif en amont ne signifie pas nécessairement que le correctif a atteint le noyau de distribution Linux exécuté dans un environnement d’entreprise, a déclaré Grover. Elle a recommandé de donner la priorité aux hôtes multi-locataires, aux exécuteurs CI/CD, aux bastions partagés, aux plates-formes de conteneurs et aux flottes de développeurs, et de rechercher des délais de rétroportage auprès des distributeurs Linux.
Thomas Di Giacomo, directeur de la technologie et des produits chez SUSE, a déclaré que la société utilise des outils d’IA similaires pour découvrir et corriger les vulnérabilités tout en travaillant avec les communautés en amont sur la divulgation et l’application de correctifs.
« L’IA qui accélère l’analyse du code et la recherche de bogues représente un changement fondamental dans le paysage des menaces », a déclaré Di Giacomo.
Il a déclaré que l’approche de sécurité Linux d’entreprise de SUSE combine plusieurs couches de protection avec des environnements d’exécution renforcés pour les applications client afin d’atténuer les risques d’élévation de privilèges et d’évasion de conteneurs.
OpenAI a ajouté qu’il prévoyait d’étendre la recherche à d’autres projets logiciels critiques via Patch the Planet, en travaillant avec les responsables et les partenaires de sécurité sur la découverte, la validation et l’application automatisée des correctifs des vulnérabilités.
