Sistema da OpenAI baseado em GPT-6 Cyber explora 948 falhas de segurança no kernel Linux
Segundo a Axios, um sistema automatizado construído sobre o GPT-6 Cyber da OpenAI identificou 1.724 falhas de segurança no kernel Linux e conseguiu explorar 948 delas até obter acesso de administrador, usando ao menos 10 técnicas até então desconhecidas, a um custo de aproximadamente US$ 1,2 milhão em créditos de API. O mesmo pipeline também encontrou 81 falhas inéditas de alta gravidade no Firefox, com revisão humana dos achados antes da divulgação responsável aos mantenedores.
Diferente do anúncio de lançamento do modelo, esta cobertura foca especificamente no exercício de exploração contra o kernel Linux: um pipeline automatizado orientado por IA não apenas identificou 1.724 falhas, mas demonstrou exploração funcional de 948 delas até escalonamento de privilégio para administrador — uma taxa de conversão de falha identificada para exploit funcional bastante alta, que indica um sistema capaz não só de triagem de código, mas de encadear primitivas de exploração de ponta a ponta de forma automatizada.
Tecnicamente, encontrar uma falha e demonstrar sua exploração prática são etapas de dificuldade muito diferentes: a primeira exige análise estática ou dinâmica de código para localizar comportamento anômalo, enquanto a segunda exige construir uma cadeia funcional que contorne mitigações do kernel (como ASLR, proteções de memória e verificações de integridade) até alcançar execução privilegiada. O fato de ao menos 10 das técnicas usadas serem previamente desconhecidas pelos próprios pesquisadores humanos que revisaram o trabalho sugere que o sistema não apenas replicou exploits conhecidos, mas gerou variações ou combinações novas de primitivas de exploração.
Na prática, isso importa porque reduz drasticamente o custo e o tempo necessários para pesquisa de vulnerabilidades em software crítico de infraestrutura: tarefas que antes exigiriam equipes grandes de especialistas trabalhando por meses foram comprimidas em um pipeline automatizado, por um valor que, para uma empresa ou um Estado-nação com recursos, é relativamente trivial. A revisão humana antes da divulgação é o que transformou esse achado em correção responsável para os mantenedores do Linux — mas a mesma capacidade, sem esse controle e sem o compromisso de divulgação responsável, serviria igualmente bem como arsenal ofensivo contra sistemas Linux não corrigidos, que ainda compõem a maioria dos servidores de internet.
O episódio, tomado em conjunto com o lançamento comercial do GPT-6 Cyber no mesmo dia, marca uma mudança perceptível na economia da pesquisa de exploração: a disponibilidade de modelos capazes de encontrar e explorar falhas de kernel em massa redefine as expectativas de velocidade tanto para quem defende (equipes de segurança de distribuições Linux, que agora precisam lidar com um volume maior de relatórios) quanto para quem eventualmente tentar replicar capacidade semelhante com intenção maliciosa.