曾经需要针对每个发现单独进行持续调查的安全研究，如今越来越可以作为一个系统化流程来运行。本文探讨了我们在这方面的一项工作。
漏洞发现的规模化正变得越来越容易，但优先级排序和验证仍然是运营瓶颈。我们在受控的研究环境中构建了一个原型，用于寻找 Linux 内核中的安全缺陷。我们的原型识别并分析了 2,308 个候选 Linux 内核发现，动态复现了 1,724 个漏洞，并生成了 948 个本地权限提升（LPE）利用程序，这些利用程序可让无特权的本地用户获得 root 访问权限。
我们利用这些证据来确定漏洞报告的优先级，并开发了候选补丁供维护者审查。遵循 Linux 内核社区的指导，我们从关键漏洞入手，并正与 Patch the Planet 合作伙伴就进一步的报告和补丁开展合作。
今年 6 月，作为我们 Patch the Planet 计划的一部分，我们分享了 GPT‑5.5 Cyber 已识别出 Linux 内核漏洞，并开发了 24 个本地权限提升利用程序来验证和报告这些漏洞。我们将这项工作扩展为一个流水线，由一款即将推出的网络安全模型驱动，涵盖漏洞发现、动态验证、可利用性评估和补丁生成。完成后，人类研究人员审查了输出结果，并报告了发现的漏洞及相应补丁。
摘要
方法论
- 从高层来看，我们的流水线工作方式如下：首先识别 Linux 内核中与安全相关的部分，对这些审计目标进行静态扫描以寻找候选发现，在隔离环境中动态复现这些发现，创建概念验证（PoC）利用程序以证明可利用性，生成补丁，最后由人类安全研究人员审查结果。
- 流水线的输出包括根因分析、最小化的崩溃概念验证、候选补丁以及完整的利用程序，以协助人类研究人员评估漏洞的严重性并将修复上游化。
发现
- 在 2026 年 10 月中旬的一次运行中，我们的流水线使用一款即将推出的网络安全模型，动态复现了 1,724 个漏洞，并针对一个常用 Linux 发行版生成了 291 个信息泄露漏洞的 PoC 以及 948 个可用的本地权限提升（LPE）利用程序。此次运行总共花费了 1,213,430 美元的 API 额度，即每个 LPE 利用程序 1,279 美元。
- 目标虚拟机运行的是标准桌面操作系统，而非被削弱的靶标，且采用与网络安全竞赛（例如 Pwn2Own、TyphoonPWN）相同的威胁模型。历史上，Pwn2Own 和 TyphoonPWN 曾为 Linux 内核 LPE 利用程序分别提供 20,000 美元和 70,000 美元的漏洞赏金。将这些历史赏金金额应用于这 948 个利用程序，可得出 1,890 万至 6,630 万美元的假设估值，约为我们流水线成本的16 倍至 55 倍。
- 在改编的 kernelCTF 环境中（该环境是攻击面缩减的 Linux 内核版本），我们的流水线获得了 25 个信息泄露 PoC 和 21 个 LPE 利用程序。作为对比，截至本文撰写时，kernelCTF 在 2026 年已接收 26 个经确认的 0-day LPE 利用程序。
- 此次行动花费了约 32,936 美元的 API 额度。如果这 21 个漏洞被该计划接收，将带来约 150 万美元的赏金，约为扫描成本的45 倍。
- 据我们所知，该流水线中的智能体发现并使用了至少 10 种新颖的 Linux 利用技术。
反思
- Linux 维护者和安全社区正在努力快速发现并修复漏洞。在扫描运行的 10 天内，我们观察到已有超过 100 个 Linux LPE 被修补或已有其他贡献者提交的暂存补丁，另有约 300 个正在公开讨论中。
- 鉴于前沿模型发现漏洞的速度，我们认为自动化补丁生成对于以所需速度保障软件安全、并限制利用窗口至关重要。在人类专家引导的迭代下，我们相信 AI 生成的补丁可以在功能上正确、符合现有编码风格，并对攻击变体具有鲁棒性。这是一个重要的进一步研究方向。
- 能力更强的模型能够发现现有代码中的新漏洞，其中往往包括存在时间更长、识别起来更复杂的漏洞。我们在10月中旬使用较新的网络模型运行的分析流程，发现的新的本地提权漏洞（LPE）数量是7月运行 GPT‑5.6 Sol 时的5倍以上，尽管两次扫描之间代码已经过三个月的加固。
- 大型复杂软件项目可能需要多轮扫描和修复漏洞，才能使潜在缺陷“触底”。理想情况下，这一过程应在每一代后续前沿模型上重复进行。这既适用于专有软件，也适用于开源软件。
- 在近期和中期，对于资源充足的威胁行为者而言，能够访问操作系统上未及时安装最新可用补丁的低权限账户，应在功能上等同于 root 访问权限。使用 Firecracker 和 gVisor 等沙箱和隔离方法进行纵深防御，对于限制被利用漏洞的影响范围非常重要。
- 在未来几年内，我们相信，如果某个软件项目中存在漏洞，前沿模型很可能能够发现它们，而能力较弱的模型在漏洞披露后或许也能开发出利用程序。在一个没有未知漏洞的世界里，构建并维护高保障软件将至关重要，尤其是操作系统、浏览器、图像解析库、TCP/IP 协议栈等核心软件。除了发现和修复现有漏洞之外，投资于训练模型默认编写安全代码、通过移除不必要功能来最小化攻击面，以及形式化验证，是未来有望有效扩展软件安全的研究方向。
为什么选择 Linux 内核
Linux 内核支撑着 Android 设备、云基础设施、超级计算机以及数十亿人使用的其他系统。该内核拥有超过 4000 万行代码，通过系统调用、网络、文件系统和设备驱动程序暴露出广泛的攻击面。我们选择 Linux，是为了研究前沿模型在如此规模和重要性的代码库中能多有效地发现漏洞并证明其安全影响。
初始的漏洞发现阶段产生了数千个候选发现，数量太多，安全研究人员无法人工审查和分类。我们的漏洞发现流水线在运营上的挑战不在于发现，而在于确定哪些发现可以被复现、它们跨越了什么安全边界，以及哪些值得维护者最早关注。
成本分析
OpenAI 网络团队（Cyber team）的使命是帮助保护世界所依赖的软件。我们报告每个阶段的 API 成本，以帮助研究人员评估复现和扩展这项工作所需的资源。这些成本反映了本次评估中使用的模型、目标配置和工作流程。我们更广泛的目标是帮助防御者发现和修复漏洞，减少攻击者可利用的机会，并提高他们利用软件的成本。
最后，请注意，我们在本研究中关注的是方法论和衡量模型能力，而非成本。我们预计，充分的测试框架工程（harness engineering）可以在每个阶段显著降低成本；因此，我们报告的成本更像是一个上限。
漏洞研究流水线
我们的漏洞研究原型是一个包含五个阶段的流水线，其核心使用一个即将推出的网络模型：
- 漏洞发现：智能体识别代码库中与安全相关的部分，并扫描它们以寻找候选发现。
- 动态验证：智能体尝试在隔离环境中复现每个候选发现，并保留运行时证据。此步骤输出已复现并验证的漏洞。
- 可利用性评估：智能体测试已验证的漏洞是否可能导致信息泄露或本地权限提升。
- 补丁生成：智能体生成针对每个已识别漏洞的补丁。
- 人工审查：安全研究人员在向维护者报告之前，审查利用程序、补丁和建议的严重性。
在流水线末端，系统会打包一份根本原因分析、一个最小化的崩溃概念验证、一个候选补丁和一个完整的利用程序，以帮助人类研究人员评估漏洞的严重性并将修复上游化。
漏洞发现
Linux 内核中并非每一行代码都与安全相关。我们的流水线使用一组 Scout 智能体来识别高价值的审计目标，然后将这些目标传递给 Analyst 智能体进行漏洞扫描。
Scout 智能体
Scout 智能体通读每个文件夹和文件，并根据其可达性（低权限用户可访问）和安全相关性来确定要审计的目标。
此阶段识别出 5,034 个审计目标，约 280 万行代码，约占整个 Linux 内核代码库的 7%，与全代码库分析相比，显著降低了安全审计的成本。此步骤花费了 3,426 美元的 API 积分。
Analyst 智能体
接下来，Analyst 智能体分析每个审计目标，并使用类似于 Codex Security 插件 的工作流程生成候选发现。在高层次上，Analyst 智能体阅读所分配审计目标的代码，以理解其工作原理、识别其威胁模型，并在其中寻找漏洞。
在 12 小时内，Analyst 智能体在去重后产生了 2,308 个候选发现。此阶段花费了 316,549 美元的 API 积分。
漏洞验证
候选发现与已验证的漏洞并不相同。在这种规模下，对我们的研究团队来说，人工调查每一份报告是不切实际的。
因此，我们专注于验证满足以下条件的发现：a) 低权限用户可访问，b) 不需要特殊能力，c) 产生可测量的内存损坏证据。
对于每个候选发现，一个分类智能体生成概念验证，并在运行带有内核地址消毒器（KASAN）的 Linux 内核的隔离虚拟机中运行它。该智能体同时观察程序输出和系统控制台，然后迭代改进概念验证，直到它复现所报告的行为或穷尽触发该行为的潜在方式。
在 30 小时内，我们的系统复现了 1724 个漏洞，约占 2,308 个候选发现的 74.7%。仅靠静态代码审查容易产生误报，因此分析智能体的准确性以及分类智能体在自主为近四分之三的候选发现创建可用概念验证方面的有效性给我们留下了深刻印象。
其余大多数发现要么需要提升的权限，要么由于难以触发的竞态条件、特定的触发条件（例如在特定行需要发生分配失败）或耗时的验证（例如引用计数回绕）而未能在时间预算内复现。只有 3.1% 反映了模型分析错误，即所报告的漏洞假设了一个不可能的条件。
验证阶段总共花费了 73,330 美元的 API 额度。我们观察到，在我们的验证流水线中，需要生成概念验证来确认候选发现是否为真实漏洞，这一过程比仅基于静态分析给出建议更昂贵，而且尝试验证真阳性和假阳性的成本相近。因此，在流水线中更早地移除假阳性会使该过程在成本效率上显著提高。
可利用性评估
验证确认了漏洞是真实的，但并未确定应多紧急地处理它。例如，可能导致本地权限提升的漏洞比只能导致本地拒绝服务的漏洞应获得更高的优先级。在 1,724 个已验证漏洞的情况下，下一项任务是识别具有最大潜在安全影响的发现。
一个初步筛选智能体静态审查了每份报告、崩溃日志和相关源代码。它被有意设置得较为宽松，以避免丢弃可能严重的发现，同时过滤掉没有合理利用路径的情况。这将结果缩小到 313 个信息泄露候选和 1,238 个本地权限提升候选。
随后，漏洞利用开发（ExploitDev）智能体在隔离虚拟机中测试这些候选，这些虚拟机配置了标准 Linux 发行版启用的保护措施，包括管理模式执行保护（SMEP）、管理模式访问保护（SMAP）、内核地址空间布局随机化（KASLR）和 HARDENED_USERCOPY。这有助于防止依赖保护措施被禁用的不切实际评估。
这些智能体为信息泄露生成了 291 个概念验证，并生成了 1,169 个可用的本地权限提升漏洞利用，可使无特权的本地用户获得 root 访问权限。
我们进行了变体分析，并为这些漏洞利用背后的漏洞开发了 948 个不同的补丁。我们使用该数字来确定唯一本地权限提升（LPE）的总数。成功的漏洞利用平均花费 359 美元的额度来开发。这使得防御者测试所发现漏洞的可利用性相对便宜。
初始漏洞筛选智能体花费了 44,194 美元的 API 额度。漏洞利用阶段总共花费了 775,929 美元的 API 额度，其中处理信息泄露候选花费 84,929 美元，本地权限提升候选花费 691,000 美元。
平均而言，处理一个本地权限提升候选（558 美元）的成本大约是处理一个信息泄露候选（271 美元）的两倍。这是因为信息泄露概念验证是从验证阶段延续下来的，需要较少的修改即可用于漏洞利用。另一方面，从本地权限提升候选开发漏洞利用需要许多额外步骤，例如利用策略规划、识别要使用的易受攻击对象、缓解措施绕过等。我们还注意到，不成功的利用尝试（69 个案例花费 3,922 美元）比成功的尝试（1169 个案例花费 360 美元）成本高得多。这是由少数难以利用的漏洞（例如竞态条件）造成的。定义合理的放弃条件，例如在一小时内没有进展后停止尝试，本可以显著降低 ExploitDev 的成本。
补丁生成
对于每个已验证的漏洞，系统还会生成一个补丁。我们向模型提供相关源代码，并用补丁编写的最佳实践提示它，例如对补丁执行静态检查、遵循附近代码所使用的软件开发实践，以及执行变体分析以确保补丁完整。
遵循 Linux 内核社区的建议，我们已经发出了数百份关于关键漏洞的报告和补丁，并正在与 Patch the Planet 合作伙伴合作，逐步发出其余补丁。这项工作是我们在 Daybreak 承诺中支持开源项目的一部分。
发现
在本节中，我们分享从这项研究中获得的经验、反思和额外分析。
维护者正在迅速修补漏洞
在这项研究中，我们观察到 Linux 维护者正在迅速修复漏洞并保护用户。扫描于 2026 年 10 月中旬在最新的 Linux 内核上执行。当自主扫描和人工分析在 10 天后完成时，已有 61 个本地权限提升漏洞在上游被修补，43 个有暂存补丁，299 个正在被公开报告和讨论。
我们非常感谢 Linux 维护者一直在紧急工作以修补已识别的问题，也感谢更广泛的安全社区贡献他们的发现。这种集体响应正是保护世界软件所需要的。漏洞披露和修补的快速节奏也凸显了用户和公司保持软件更新的关键性。
要点：自动化分诊应考虑快速修补周期。根据最新代码（包括原始扫描后合并的新代码）重新验证发现，有助于避免重复或过时的报告。这将注意力集中在未解决的漏洞上，并为维护者提供可采取行动的证据，而不会增加不必要的审查负担。
更强的模型发现更多漏洞
在我们开发流水线期间，2026 年 7 月下旬，GPT‑5.6 Sol 发现并利用了 166 个独特的本地权限提升漏洞，端到端 API 积分成本为 513,690 美元。
在 2026 年 10 月中旬的第二次扫描中，更新的网络模型发现并利用了 948 个独特的本地权限提升漏洞，端到端 API 积分成本为 1,213,430 美元。两次行动中，我们都扫描了当时最新的 Linux 内核主分支。
要点：随着模型能力提升，重新扫描先前审计过的代码。即使使用相同的研究框架，能力更强的模型也可能发现早期模型遗漏的漏洞。
新颖的利用技术
我们抽样了智能体开发的 166 个利用程序，并分析了其中使用的利用技术。据我们所知，智能体在抽样利用程序中使用了 10 种新的利用技术。我们将这些利用技术与第三方内核利用专家分享，这些技术对他们来说也是新的。
在这 10 种技术中，两种是新的持久弹性对象，模型用它们在目标内核缓存中喷射对象；两种是新的页面整理技术，用于提高利用可靠性；五种是新的纯数据技术，用于直接或通过任意写获得权限提升；另一种技术涉及任意类型混淆。出于安全原因，我们在本文中省略分享这些新利用技术的完整技术细节。
要点：前沿模型不只是模式匹配已知的易受攻击代码模式或仅使用已知利用技术；它们展现出创造力和新颖方法。
防御者可以从利用成本中学到什么
我们团队使命的一个重要部分是衡量发现和利用漏洞的成本，并利用这些证据指导防御投资。我们的目标是帮助防御者在攻击者利用漏洞之前修复漏洞，并使攻击者利用软件的成本高得令人望而却步。衡量利用成本有助于我们评估随着模型能力提升这一挑战如何变化。在本节中，我们将流水线运行的成本与针对所识别漏洞的漏洞赏金计划奖励进行比较。
我们实验中的目标虚拟机运行的是标准桌面操作系统，而非弱化目标，威胁模型与网络安全竞赛（例如 Pwn2Own、TyphoonPWN）使用的相同。历史上，Pwn2Own 和 TyphoonPWN 分别为 Linux 内核本地权限提升利用提供 20,000 美元和 70,000 美元的漏洞赏金。将这些历史赏金金额应用于 948 个利用程序，得出假设估值 1,890 万至 6,630 万美元，约为我们流水线成本的 16 倍至 55 倍。
我们还在 Google 的 kernelCTF 漏洞奖励计划上测试了我们的流水线，该计划以攻击面减少的加固 Linux 内核为目标。我们在 kernelCTF 环境下对最新版本的 Linux 内核（与 kernelCTF 中的 SLAB_VIRTUAL 缓解措施不兼容，因此我们从配置中移除了它）运行流水线，获得了 25 个信息泄露概念验证和 21 个本地权限提升利用程序。作为比较，截至撰写本文时，kernelCTF 在 2026 年已接受 26 个确认的 0-day 本地权限提升利用程序。整个行动总共持续 112 小时，API 积分成本约为 32,936 美元，其中漏洞发现占 API 成本的 83.7%。如果这 21 个漏洞被该计划接受，将带来约 150 万美元的赏金奖励，约为成本的 45 倍。
要点：根据公开支付金额，在当前的网络能力模型下，我们的漏洞研究流水线在本研究进行时是净盈利的。防御者应主动分析其软件，使攻击者利用的成本高得令人望而却步。
使用了错误的 0-day
在可利用性评估期间，ExploitDev 智能体收到一份漏洞报告，并被要求创建一个功能完整的漏洞利用程序。如果成功获得 root shell，我们的流水线就会将该漏洞标记为已被利用。在一次早期运行中，利用阶段报告了 200 个成功的本地权限提升漏洞利用。然而，经过人工审查，我们发现其中 20 个是通过与所分配漏洞不同的 0-day 漏洞获得 root 权限的。这表明，即使智能体成功利用了漏洞，也需要进行适当的验证。
我们随后收紧了任务约束，并添加了独立检查，确认每个最终利用程序都使用了其分配的漏洞。
要点：对于自主安全研究，除了验证结果本身，还要验证达成结果的路径；隔离、监控和独立检查是必要的控制措施。
能力更强的模型可能需要更轻量的编排
在这项研究的早期，我们探讨了一个设计决策：是否围绕智能体构建重型编排以提升其网络能力。我们的结果表明，能力更强的模型需要更轻量的编排和引导。而且边际改进不足以证明维护成本的合理性。因此，我们决定移除重型编排。
该实验比较了 GPT‑5.5 Cyber 和 GPT‑5.6 Cyber。在我们的观察中，GPT‑5.5 Cyber 无法始终如一地识别何时以及如何应用现有的 Linux 内核利用技术。随后，我们以模型友好的格式汇编了 103 项技术，将其放入智能体的环境中，并提示智能体使用它们。在 63 个利用候选中，这将成功率从 76.2% 提升至 88.9%。
当我们用 GPT‑5.6 Cyber 重复这一过程时，模型能够更好地自行发现、选择和应用相关技术。我们移除了技术/技能编排，这种轻量编排的 GPT‑5.6 Cyber 工作流表现优于编排更重的 GPT‑5.5 Cyber 工作流。为 GPT‑5.6 Cyber 重新添加额外的技术层仅带来 1.5 个百分点的边际提升。
要点：随着基础模型能力的变化，重新评估你的编排和测试框架。对某一代模型有实质性改进的脚手架，对更强的模型可能价值甚微，应评估其维护权衡。
迭代改进补丁生成
最初，当直接提示模型生成候选补丁时，模型会创建功能正确的补丁来缓解概念验证，但偶尔会引入其他问题：代码超出必要量、引入潜在的性能权衡、偏离编码规范，或未能检查相关代码中同一漏洞的变体，导致补丁不完整。
在补丁生成过程中增加额外指令和迭代提高了补丁质量，这表明经过适当处理，AI 生成的安全补丁有可能做到正确、最小化并与现有代码规范一致。这是一个活跃的研究领域，我们相信随着未来模型的发展，这将变得更容易且更有效。在少数情况下，我们的研究原型还能够识别出人类专家编写的补丁中的问题，这些问题在合并前得到了修复。
要点：模型可以加速补丁流程，但补丁技能和测试框架可能需要迭代，以确保补丁可靠地满足功能和非功能需求。此外，我们建议使用模型对人类和 AI 生成的补丁进行对抗性审查，这可以识别诸如补丁可被绕过、遗漏其他攻击路径或变体等问题。
测试基础设施中的漏洞
在我们的 kernelCTF 运行中，除了 21 个 Linux 内核 0-day 利用程序外，我们的研究原型还发现并利用了 QEMU TCG 的一个漏洞。分析智能体被分配分析系统调用入口代码，在编写程序试验特权转换时，它遇到了意外的内核崩溃。它对崩溃进行了分类，并在无法访问 QEMU 源代码的情况下将问题追溯到 QEMU TCG，并将该漏洞纳入报告。随后，ExploitDev 智能体成功为该漏洞开发了本地权限提升利用程序。我们在手动分析利用程序时发现了这个 QEMU 漏洞，并确认该漏洞已在上游 QEMU 中修复，但在实验期间使用的发布版本中未修复。
要点：具备前沿网络能力的模型可以发现测试基础设施中的漏洞。我们建议在进行攻击性漏洞研究之前测试基础设施的每个部分。我们已主动测试了我们的基础设施，披露并修复了 Kata、Moby/Docker、gVisor 及其他项目中的许多漏洞。
结论
我们的目标是将不断增强的模型能力转化为保护互联网的人们的一项持久优势。这项研究表明，前沿模型日益增长的网络能力可用于有效寻找复杂软件（如 Linux 内核）中的漏洞。加固 Linux 和其他开源项目等关键软件项目可以保护许多下游系统和用户。
通过 Patch the Planet——一项 Daybreak 计划——我们旨在将这项研究扩展到更多关键软件项目，并与维护者和安全合作伙伴一起开发可靠的自动化补丁。我们希望稳步减少攻击者可利用的机会，并提高发现和利用漏洞的成本，直到预期收益不再值得发动攻击。
每一代模型都应帮助我们构建下一代更难攻破的软件。我们将继续努力构建一个人人都能愉快地在其上构建的安全互联网。