ИИ нашёл сотни уязвимостей в Linux. Что это значит для нас?

OpenAI поручила нейросети искать ошибки в Linux. Та нашла сотни способов получить полный контроль над системой, имея лишь обычную учётную запись. По данным компании, ИИ нашёл 948 уязвимостей, позволяющих обычному пользователю получить права администратора, и предложил исправления. Впечатляющий масштаб для работы, которой обычно занимаются специалисты по безопасности.

Отчёт вышел 4 ноября, само исследование провели в середине октября. Разбираемся, что именно получилось у ИИ и почему эта история касается не только программистов.

В Linux у разных пользователей разные права. Одному разрешено работать со своими файлами, другому – устанавливать программы и менять настройки всего компьютера. Такие ограничения помогают удержать ошибку или вредоносную программу в пределах одной учётной записи.

Найденные уязвимости позволяют обойти эти ограничения. Программа, которая сначала могла делать совсем немного, получает права администратора. А значит, под угрозой оказывается уже вся система.

Для такой атаки сначала нужен ограниченный доступ к машине. Новость не означает, что нейросеть может взломать любой Linux-компьютер через интернет. Но если злоумышленник уже сумел запустить на сервере свою программу, возможность получить полные права заметно ухудшает положение его владельца.

По данным OpenAI, система рассмотрела 2 308 возможных ошибок и смогла воспроизвести 1 724 уязвимости. Затем она пыталась использовать их для получения полных прав. После разбора повторяющихся вариантов осталось 948 отдельных находок с предложенными исправлениями. Компьютеры, на которых проводили испытания, работали со штатной защитой Linux.

Вот что делает результат интересным: сообщение «в этом месте, кажется, ошибка» ещё не показывает, насколько она опасна. Здесь ИИ прошёл дальше и продемонстрировал, что именно позволяет сделать проблема. После этого материалы проверяли люди.

OpenAI потратила на обращения к модели $1 213 430 – примерно $1 279 на одну итоговую находку, позволявшую повысить права. Работа специалистов в эту сумму не включена.

Для одной команды миллион долларов – огромный бюджет. При сотнях находок становится понятнее, зачем компании исследуют такой подход: можно одновременно разбирать гораздо больше кода. Но предложенное исправление ещё нужно проверить и включить в обновление Linux. Число 948 не означает, что пользователям уже доставили столько новых исправлений.

Для повседневной работы с кодом можно подключить модель из Provod.ai к помощнику программиста Claude Code. Например, попросить объяснить незнакомую функцию или помочь разобрать предлагаемое исправление.

Самый обнадёживающий вывод – ИИ помогает искать слабые места до того, как ими воспользуются преступники. Неприятная сторона та же: возможностей искать такие ошибки становится больше у всех.

Для владельца сервера здесь знакомая, но всё более важная задача – вовремя устанавливать обновления безопасности. Если сервер обслуживает подрядчик, стоит узнать, какие обновления Linux уже установлены и когда поставят оставшиеся. Найти и исправить ошибку в коде – половина дела. На рабочем компьютере продолжает действовать та версия, которую на нём оставили.