Les agents d'OpenAI ont découvert 948 exploits root de Linux en une seule exécution de 30 heures

OpenAI a révélé que son prochain modèle d'intelligence artificielle dédié à la cybersécurité a identifié et corrigé 948 vulnérabilités d'escalade de privilèges locaux dans le noyau Linux lors d'une session de test unique de 30 heures à la mi-octobre 2026. Cette expérience, qui a coûté plus de 1,2 million de dollars en crédits API, démontre comment les agents IA autonomes peuvent désormais accélérer à la fois la découverte de failles de sécurité critiques et la génération de correctifs à une échelle auparavant impossible pour les équipes humaines.

Ce qui s'est passé

L'équipe de recherche a déployé un pipeline agentique conçu pour auditer le noyau Linux à la recherche de faiblesses de sécurité accessibles aux utilisateurs à privilèges réduits. Au cours de la session de 30 heures, le système a analysé 2 308 résultats candidats et reproduit dynamiquement 1 724 vulnérabilités dans un environnement bac à sable. À partir de ces données, il a réussi à générer des preuves de concept fonctionnelles pour 948 bugs d'escalade de privilèges locaux (LPE) et 291 vulnérabilités de fuite d'informations. Un exploit LPE permet à un utilisateur disposant de permissions limitées d'obtenir un accès root, prenant ainsi le contrôle total du système.

Cet effort s'appuie sur des travaux antérieurs datant de juin 2026, où le modèle GPT-5.5-Cyber d'OpenAI avait découvert 24 exploits LPE. Le nouveau pipeline automatise l'ensemble du cycle de vie de la gestion des vulnérabilités, passant de la découverte initiale à la génération de correctifs. Le coût total de l'exécution s'élevait à 1 213 430 $, soit une moyenne de 1 279 $ par exploit LPE confirmé. Les agents ont également mis au jour au moins 10 nouvelles techniques d'exploitation, incluant de nouvelles méthodes de memory spraying et de page grooming, qui améliorent la fiabilité des attaques contre le noyau.

Les implications vont au-delà de ce test spécifique. Les données du Google Threat Intelligence Group montrent que les divulgations mensuelles de vulnérabilités ont plus que doublé entre janvier et août 2026, passant de 5 045 à 10 740. Les divulgations à haut risque ont bondi de 167 % durant la même période. Le Centre national de cybersécurité du Royaume-Uni note que si les outils défensifs basés sur l'IA peuvent accélérer la correction des failles, la disponibilité généralisée de ces mêmes outils abaisse la barrière à l'entrée pour les attaquants, rendant la découverte de zero-days plus rapide et moins coûteuse pour les adversaires.

Comment cela fonctionne

Le pipeline opère via cinq étapes distinctes gérées par des agents autonomes. Premièrement, lors de la découverte de vulnérabilités, les agents scannent la base de code pour identifier des cibles à haute valeur ajoutée, pertinentes en matière de sécurité et accessibles aux utilisateurs non privilégiés. Ensuite, lors de la validation dynamique, les agents tentent de reproduire chaque vulnérabilité potentielle dans un sandbox isolé, préservant les preuves d'exécution pour confirmer l'existence du bug. Cette étape filtre les faux positifs avant que des ressources significatives ne soient dépensées pour l'exploitation.

Une fois validées, les agents passent à l'évaluation de l'exploitabilité, où ils testent si la vulnérabilité peut être abusée pour la divulgation d'informations ou l'escalade de privilèges. Ils conçoivent ensuite une preuve de concept d'exploit. Dans la quatrième étape, la génération de correctifs, les agents créent des corrections de code pour les problèmes identifiés. Enfin, des chercheurs en sécurité humains examinent les exploits, les correctifs et les évaluations de sévérité avant de les signaler aux mainteneurs de Linux. Cette étape avec intervention humaine garantit la qualité et empêche le déploiement de correctifs erronés.

Détails clés

• Le pipeline a découvert 948 exploits fonctionnels d'escalade de privilèges locaux et 291 preuves de concept de fuites d'informations.
• L'exécution de 30 heures a coûté 1 213 430 $ en crédits API, résultant en un coût de 1 279 $ par exploit LPE.
• Les agents ont identifié au moins 10 nouvelles techniques d'exploitation Linux, incluant de nouveaux objets élastiques persistants et des méthodes d'escalade uniquement basées sur les données.
• Le système a analysé 2 308 résultats candidats et reproduit dynamiquement 1 724 vulnérabilités dans un sandbox.
• Les divulgations mensuelles de vulnérabilités sont passées de 5 045 en janvier 2026 à 10 740 en août 2026, selon le Google Threat Intelligence Group.
• OpenAI déclare que les systèmes non corrigés offrant un accès à privilèges réduits doivent désormais être considérés comme fonctionnellement équivalents à un accès root pour les acteurs de menace bien dotés en ressources.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables d'infrastructure, ce changement signifie que la fenêtre entre la découverte d'une vulnérabilité et son exploitation active se réduit drastiquement. Les cycles de correction traditionnels, qui peuvent prendre des semaines ou des mois, ne suffisent plus lorsque les agents IA peuvent trouver et armer des bugs en quelques heures. Le coût d'entrée pour les attaquants diminue, ce qui signifie que même des menaces novices peuvent utiliser l'IA pour trouver des zero-days. Comme l'avertit le NCSC, les attaquants deviennent moins prudents quant à la perte d'accès car le remplacer est bon marché et facile.

Cependant, cette technologie offre également une voie pour les défenseurs. En intégrant des pipelines agentiques similaires dans les flux de travail de développement, les équipes peuvent générer des correctifs aussi rapidement que les vulnérabilités sont trouvées. OpenAI suggère qu'avec l'orientation d'experts humains, les correctifs générés par IA peuvent être robustes et alignés avec les styles de codage existants. L'objectif est de rendre prohibitif pour les acteurs malveillants l'exploitation de logiciels en fermant les brèches plus vite qu'ils ne peuvent les trouver. Pour l'instant, la priorité doit être la correction rapide et les tests automatisés pour suivre le rythme de la découverte pilotée par l'IA.

Ce que vous pouvez faire

• Priorisez la correction immédiate pour tout système Linux autorisant l'accès aux utilisateurs à privilèges réduits, en les traitant comme à haut risque.
• Intégrez des outils automatisés de scan de vulnérabilités et de génération de correctifs dans votre pipeline CI/CD pour réduire le temps de réponse.
• Revoyez et mettez à jour vos politiques de sécurité internes pour tenir compte des taux de divulgation de vulnérabilités plus rapides et des fenêtres d'exploitation plus courtes.
• Implémentez des contrôles d'accès stricts pour limiter le nombre d'utilisateurs disposant de comptes à privilèges réduits sur les infrastructures critiques.
• Surveillez les flux de renseignement sur les menaces pour détecter les nouvelles techniques d'exploitation assistées par IA et les vecteurs d'attaque inédits tels que ceux décrits par OpenAI.
• Menez régulièrement des exercices red-team utilisant des outils alimentés par l'IA pour identifier les faiblesses de vos propres systèmes avant que les adversaires ne le fassent.