O sistema autônomo de cibersegurança da OpenAI encontrou 948 falhas distintas de escalonamento de privilégio no kernel do Linux e construiu exploits funcionais para a maioria delas. A pesquisa custou US$ 1,21 milhão em créditos de API. O caso importa porque as mesmas ferramentas de IA que ajudam defensores a encontrar bugs podem, em breve, ajudar atacantes a fazer o mesmo, só que mais rápido.
O que aconteceu
A OpenAI publicou os resultados na quarta-feira, afirmando que seus agentes autônomos escanearam cerca de 2,8 milhões de linhas de código do kernel Linux, o equivalente a 7% do projeto. Os agentes identificaram 2.308 achados candidatos, reproduziram 1.724 vulnerabilidades e produziram 948 exploits locais de escalonamento de privilégio, segundo a Decrypt. A rodada de outubro custou US$ 1.213.430 em créditos de API, cerca de US$ 1.279 por vulnerabilidade. A OpenAI comparou esse valor aos pagamentos de US$ 20 mil a US$ 70 mil por exploits semelhantes em competições de hacking, sugerindo um valor de descoberta manual entre US$ 18,9 milhões e US$ 66,3 milhões. Uma rodada anterior, com o GPT-5.6 Sol, havia encontrado 166 falhas únicas em julho, por US$ 513.690. Um modelo mais novo, ainda não lançado, encontrou mais de cinco vezes essa quantidade em outubro. A OpenAI disse que os agentes usaram pelo menos 10 técnicas de exploração desconhecidas até por seus próprios pesquisadores e por especialistas externos.
Como chegamos até aqui
O Linux move servidores em nuvem, dispositivos Android e boa parte da infraestrutura computacional global. A OpenAI disse ter escolhido o Linux para avaliar com que eficácia modelos de ponta conseguem encontrar vulnerabilidades e demonstrar seu impacto de segurança em uma base de código dessa escala e importância, segundo a Decrypt. Na semana passada, a Anthropic revelou que uma versão ainda não lançada do Claude havia encontrado e explorado vulnerabilidades graves no Chrome e no Linux, algumas permitindo execução remota de código com pouquíssima interação do usuário. Separadamente, pesquisadores da Vidoc Security reproduziram descobertas de vulnerabilidades ligadas ao Mythos AI, da Anthropic, usando modelos públicos por menos de US$ 30 por arquivo. Juntas, essas revelações mostram a pesquisa de vulnerabilidades guiada por IA migrando, em questão de meses, de um trabalho manual e caro para sistemas automatizados e de custo mais baixo.
Por que isso importa para você
Para mantenedores de software, isso significa que a revisão de correções vai pesar mais do que a descoberta em si. O sistema da OpenAI chegou a redigir correções candidatas, mas a empresa afirmou que a responsabilidade de validar e implementar essas correções continua sendo dos revisores humanos e mantenedores. Para fabricantes de hardware conectado, incluindo wearables e óculos inteligentes baseados em sistemas Linux, a descoberta mais rápida de vulnerabilidades aumenta a pressão por atualizações pontuais. Para o usuário comum, o risco imediato segue teórico, já que esses exploits exigem acesso local prévio. A OpenAI está restringindo suas ferramentas mais avançadas a defensores previamente aprovados por meio do programa Daybreak Red, mas alertou que atacantes com acesso limitado a sistemas desatualizados podem passar a escalar privilégios com ajuda de IA cada vez mais facilmente.
A grande questão
Se sistemas de IA conseguem encontrar e explorar centenas de falhas em um código maduro e amplamente auditado por cerca de US$ 1.279 cada, por quanto tempo os defensores conseguirão se manter à frente dos atacantes que usam as mesmas ferramentas? A OpenAI apresenta seus resultados como uma vitória para a defesa, já que correções podem ser lançadas antes que criminosos encontrem os mesmos bugs. Mas essa mesma automação pode acabar chegando a atores menos escrupulosos, à medida que modelos capazes ficam mais baratos. Quem controla o acesso a essas ferramentas pode decidir qual lado sai ganhando.
O que observar
A OpenAI publicou seus resultados sobre o Linux na quarta-feira, sem indicar uma data de lançamento público para o novo modelo de cibersegurança usado em outubro. Seu programa Daybreak Red continua recebendo defensores aprovados para trabalhos de pesquisa de vulnerabilidades e mitigação. Vale acompanhar a resposta dos mantenedores do kernel Linux às falhas divulgadas, e também se a Anthropic ou outros laboratórios vão publicar números comparáveis de exploits.
