一千条通往 root 的路

约 1496 字大约 5 分钟...

2026-11-05 · 人工智能

11 月 4 日，OpenAI 挂出一篇安全报告。事情是 10 月中旬做的，压了半个多月才说。

他们让一款还没对外发布的模型，去翻 Linux 内核。就是跑在全世界大多数服务器上的那套底层系统。模型带着一群智能体，自己挑目标、自己找漏洞、自己写利用程序、自己出补丁。五天不到，交回 948 个能把普通账号变成 root 的洞。

我先记住的不是 948，是账单：121.34 万美元，全是 API 调用费。摊下来，一个提权漏洞 1279 美元。

一千多美元买一个 root。这个价钱，在漏洞黑市上大概连门都进不去。

它是怎么干的

流程不神秘，五个环节，跟一个正经的安全团队差不多，只是不用睡觉。

第一步挑目标。Scout 智能体从内核里筛出 5034 处值得看的地方，约 280 万行代码——内核总量的百分之七。第二步 Analyst 上场，12 小时里报出 2308 个去重后的候选漏洞，这一步花了 31.65 万美元。

第三步最费功夫，也最像人。候选漏洞不能光看着像，得在隔离的虚拟机里真跑一遍，看能不能崩。模型自己写 PoC，崩不了就改，改了再跑。30 小时后，2308 个里有 1724 个真崩了，占 74.7%。剩下没崩的，大多是要特定权限、要复杂竞争条件，只有 3.1% 是模型自己看错了。

第四步把能崩的变成能用的。291 个信息泄露的 PoC，1169 个能拿到本地管理员权限的利用程序。去掉重复的变体，最后剩下 948 个不同的提权洞。这一步最烧钱，77.59 万美元。

第五步交给人。安全研究员看利用程序、看补丁、定严重性，再报给上游。

有个数字挺有意思：失败的尝试，一个 3922 美元；成功的，360 美元。找洞这件事，想明白了就便宜，想不明白就一直烧钱。

对照组成立得很自然。今年 7 月下旬，上一代模型 GPT-5.6 Sol 干过一次同样的活：166 个唯一提权洞，花了 51.37 万美元。

四个月后，948 个。

这中间内核代码还做过三个月的加固。也就是说，不是地里的果子变多了，是摘果子的人变强了，强了五倍多。

更让我停了一下的是这句：代理自己发明了至少 10 种新手法——2 种新的持久化对象、2 种新的页面 groom 技术、5 种数据型提权、1 种任意类型混淆。报告说，这些对第三方内核利用专家来说也是新的。

机器不是在背题库。它在做题。

报告里有一段自我批评，我读了两遍。

早期有一轮跑完，系统报上来 200 个成功的提权。人工一核，发现其中 20 个是假的——不是没提权，是它拿到的 root 来自另一个完全不同的 0-day。它把 A 洞的功劳记在了 B 洞头上。

OpenAI 由此写了一句很像老工程师会说的话：验证结果之外，还要验证路径。

这句话放在别处也成立。报表上的数字对了，不代表底下那件事对了。

报告里有两句结论，一句比一句不舒服。

第一句：近期到中期，在一台没打全补丁的系统上握有一个低权限账号，对资源充足的攻击者来说，功能上等于 root。

第二句：未来几年，只要代码里有漏洞，前沿模型大概都能找出来；弱一些的模型，也能在漏洞公开后写出利用。

我是管 IT 的。这两句话落到我桌上，就是一张补丁合规报表。

以前那张表是可以商量的。"还有 30 台机器差两个补丁"，这话说出来，一般能排到下个月。补丁窗口定在每月第二个周六凌晨，因为那时候业务最闲，重启影响最小。这套节奏用了很多年，没人觉得有问题——攻击者也得排期，对吧。

现在对面不排期了。它 12 小时报 2308 个候选，30 小时验证完，五天出一个完整的利用。扫描完 10 天内，61 个洞已经被上游修掉，43 个有了暂存补丁，还有三百来个在邮件列表里吵。修得也快，找得更快。

报告里还有一个数字，我拿计算器按了一下。在 Google 的 kernelCTF 环境里跑了 112 小时，成本 3.29 万美元，拿到 21 个提权利用。这个比赛对单个提权洞的赏金，按公开标准估，21 个大约值 150 万美元。45 倍。

一边是成本 3 万、收益 150 万的活，一边是"每月第二个周六凌晨"的窗口。

昨天下午我把补丁窗口改成了每周三凌晨。发在运维群里，没人回。过了十分钟，老张问了一句：那重启要不要提前通知业务？

我说要。

他说，那我今晚把通知模板改一下。

窗外的天已经黑了，楼下便利店的灯亮着。我想起很多年前刚入行，师傅教我的第一件事是打补丁，第二件事是别在周五打补丁。

现在这条经验还成立吗？我也说不准。