Sistem keamanan siber otonom milik OpenAI berhasil menemukan 948 celah privilege-escalation yang berbeda di kernel Linux, lengkap dengan exploit yang benar-benar berfungsi untuk sebagian besar temuan tersebut. Riset ini menelan biaya $1,21 juta (USD) dalam bentuk kredit API. Ini penting karena alat AI yang sama yang membantu tim pertahanan menemukan bug, bisa saja segera dipakai penyerang untuk melakukan hal serupa dengan lebih cepat.
Apa yang sebenarnya terjadi
OpenAI mempublikasikan hasil risetnya pada hari Rabu, menyebutkan bahwa agen otonomnya memindai sekitar 2,8 juta baris kode kernel Linux, atau kurang lebih 7% dari keseluruhan proyek. Menurut Decrypt, agen-agen ini mengidentifikasi 2.308 temuan kandidat, berhasil mereproduksi 1.724 kerentanan, dan menghasilkan 948 exploit privilege-escalation lokal. Proses yang berjalan pada bulan Oktober ini menghabiskan $1.213.430 dalam kredit API, atau sekitar $1.279 per kerentanan. OpenAI membandingkan angka ini dengan hadiah $20.000 hingga $70.000 untuk exploit serupa di kompetisi peretasan, yang berarti nilai temuan manual bisa mencapai $18,9 juta hingga $66,3 juta. Sebelumnya, proses GPT-5.6 Sol pada bulan Juli menemukan 166 celah unik dengan biaya $513.690. Model baru yang belum dirilis ke publik bahkan menemukan lebih dari lima kali lipat jumlah tersebut pada bulan Oktober. OpenAI menyatakan agennya menggunakan setidaknya 10 teknik eksploitasi yang bahkan belum dikenal oleh para peneliti internal mereka maupun pakar eksternal.
Bagaimana ceritanya
Linux menjadi tulang punggung server cloud, perangkat Android, dan sebagian besar infrastruktur komputasi global. Menurut Decrypt, OpenAI memilih Linux untuk menguji seberapa efektif model-model mutakhirnya dalam menemukan kerentanan sekaligus menunjukkan dampak keamanannya pada basis kode sebesar dan sepenting ini. Pekan lalu, Anthropic juga mengungkapkan bahwa versi Claude yang belum dirilis berhasil menemukan dan mengeksploitasi kerentanan serius di Chrome dan Linux, beberapa di antaranya memungkinkan eksekusi kode jarak jauh dengan interaksi pengguna yang minim. Terpisah, para peneliti dari Vidoc Security berhasil mereproduksi temuan kerentanan yang terkait dengan Mythos AI milik Anthropic menggunakan model publik dengan biaya kurang dari $30 per file. Bersama-sama, rangkaian pengungkapan ini menunjukkan riset kerentanan berbasis AI bergerak dari pekerjaan manual yang mahal menuju sistem otomatis berbiaya rendah hanya dalam hitungan bulan.
Mengapa ini penting bagi Anda
Bagi para maintainer perangkat lunak, ini berarti tinjauan patch akan menjadi lebih penting dibanding sekadar penemuan bug. Sistem OpenAI memang menyusun draf perbaikan kandidat, tetapi perusahaan menegaskan bahwa validasi dan implementasi tetap menjadi tanggung jawab reviewer manusia dan para maintainer. Bagi produsen perangkat keras terhubung, termasuk wearable dan kacamata pintar berbasis Linux, kecepatan penemuan kerentanan ini meningkatkan taruhan untuk selalu memperbarui sistem tepat waktu. Bagi pengguna awam, risiko dalam waktu dekat masih bersifat teoretis karena exploit ini membutuhkan akses lokal terlebih dahulu. OpenAI membatasi akses ke alat paling canggihnya hanya untuk tim pertahanan yang telah diverifikasi melalui program Daybreak Red, namun memperingatkan bahwa penyerang dengan akses terbatas ke sistem usang bisa semakin mudah meningkatkan hak akses dengan bantuan AI.
Pertanyaan besarnya
Jika sistem AI mampu menemukan dan mengeksploitasi ratusan celah pada kode yang sudah matang dan diaudit ketat, dengan biaya sekitar $1.279 per celah, seberapa lama tim pertahanan bisa tetap unggul dari penyerang yang memakai alat serupa? OpenAI menggambarkan hasil risetnya sebagai kemenangan bagi pihak pertahanan, karena patch bisa dirilis sebelum pelaku kejahatan menemukan bug yang sama. Namun otomatisasi serupa juga bisa jatuh ke tangan pihak yang kurang bertanggung jawab seiring model-model canggih semakin murah. Siapa yang mengendalikan akses ke alat-alat ini mungkin akan menentukan pihak mana yang paling diuntungkan.
Yang perlu dipantau
OpenAI mempublikasikan hasil riset Linux-nya pada hari Rabu tanpa menyebutkan tanggal rilis publik untuk model siber baru yang digunakan pada bulan Oktober. Program Daybreak Red mereka terus menerima tim pertahanan terverifikasi untuk riset kerentanan dan pekerjaan mitigasi. Pantau terus respons para maintainer kernel Linux terhadap celah yang telah diungkap, serta apakah Anthropic atau laboratorium AI lain akan mempublikasikan jumlah exploit yang sebanding.
