OpenAI ha usato GPT-6 Cyber per trovare e sfruttare centinaia di falle Linux

Un sistema automatizzato, supportato dal modello GPT-6 Cyber di OpenAI, ha individuato 1.724 vulnerabilità nel kernel Linux. Nei test ha sfruttato 948 di queste falle per ottenere accesso con privilegi di amministratore. L’operazione ha consumato circa 1,2 milioni di dollari in crediti API. OpenAI parla anche di almeno 10 tecniche d’attacco che non risultavano note prima dei test¹.

I risultati su Linux non sono usciti grezzi dal modello. Ricercatori umani hanno rivisto ogni evidenza. Hanno preparato le segnalazioni e proposto correzioni ai manutentori del progetto. OpenAI descrive il contributo del modello come un supporto a un sistema automatizzato, non un sostituto del processo di analisi e di disclosure. Il punto dichiarato è la capacità di passare dal rilevamento allo sfruttamento, fino a ottenere privilegi di amministratore durante prove controllate¹.

Il perimetro non si è fermato al kernel. OpenAI riferisce che lo stesso approccio ha portato alla scoperta di 81 falle ad alta gravità nel browser Firefox di Mozilla. Anche in questo caso le vulnerabilità erano sconosciute prima dei test, secondo quanto afferma l’azienda¹.

I numeri danno la misura dell’esperimento: 1.724 debolezze trovate, 948 sfruttate, 10 tecniche nuove, 1,2 milioni di dollari in costo computazionale. La formulazione pubblica è asciutta, ma indica un obiettivo preciso. Usare un modello per guidare un ciclo completo: individuazione, validazione pratica tramite exploit, redazione delle segnalazioni e proposta di patch. Con una barriera di controllo umano tra l’output del modello e il canale verso i manutentori¹.

OpenAI non dettaglia il set di versioni del kernel analizzate, né descrive la copertura del codice. Non entra nei singoli casi né pubblica gli exploit. Specifica però l’esito pratico dei test su Linux: accesso da amministratore su sistemi bersaglio a partire da vulnerabilità locali individuate dal sistema. È un passaggio cruciale. Sposta l’asticella dalla semplice enumerazione dei bug alla dimostrazione di impatto con privilegi elevati¹.

Sulla parte Firefox, l’enfasi ricade sulla severità alta e sulla novità delle 81 falle. Anche qui mancano esempi tecnici. Il messaggio resta di sintesi: il modello ha contribuito a portare alla luce vulnerabilità prima sconosciute in un software ampiamente distribuito, con un percorso che coinvolge revisione umana e dialogo con i manutentori¹.

Resta da vedere come i manutentori integreranno le proposte di correzione e con quali tempi. Se confermati, risultati di questa scala possono cambiare i metodi di triage nei progetti open source più estesi. Possono alzare il ritmo delle verifiche di sicurezza, ma anche porre nuove domande sui confini tra ricerca difensiva e uso offensivo degli stessi strumenti. Le prossime patch del kernel Linux e di Firefox offriranno i primi riscontri pubblici sulla sostanza tecnica di quanto dichiarato¹.