Číslo 948 mě přimělo se u zprávy OpenAI zastavit. Firma popisuje autonomní pipeline, tedy řetězec navazujících automatizovaných kroků, který v linuxovém jádře našel, ověřil a vytvořil záplaty pro stovky bezpečnostních chyb.
Nejde přitom o ledajaký software. Linux kernel je jádro operačního systému: velmi nízká vrstva kódu, na které stojí servery, zařízení i velká část internetu. Sáhnout do něj automaticky a bez následků něco nerozbít je disciplína, u níž bych i při ruční práci raději měla připravenou zálohu a trochu nervózní čaj.
Co znamená „cesta k rootovi“
Titulek mluví o „paths to root“, tedy cestách k účtu root. Root je účet s nejvyššími oprávněními v systému; kdo se k nim dostane, může obvykle dělat věci, které běžný uživatel nesmí.
OpenAI uvádí, že pipeline našla 948 lokálních zranitelností pro zvýšení oprávnění. „Lokálních“ zde znamená, že útočník už musí mít přístup k danému stroji nebo na něm spustit kód. Není to totéž jako díra, přes kterou se kdokoli připojí z internetu, ale rozhodně to není detail, který by správci systémů chtěli ignorovat.
Podstatné je, že systém neměl chyby jen vytipovat. Měl je také validovat, tedy ověřit, že jde o skutečný problém, a generovat k nim patche neboli návrhy oprav v kódu.
Nejzajímavější není jen hledání
Automatizované hledání zranitelností už samo o sobě není neznámá věc. Tady mě osobně zaujala hlavně spojitá cesta od nálezu přes ověření až k opravě. Bez ověření může bezpečnostní nástroj chrlit falešné poplachy; bez opravy zase nechá lidským vývojářům dlouhý a dost nevděčný seznam.
Generování patchů ale automaticky neznamená, že se všechny změny rovnou dostaly do Linuxu. Podklad říká, že záplaty vznikly, ne zda je někdo přijal, začlenil do konkrétních verzí jádra nebo nasadil. To je důležitý rozdíl: návrh opravy je užitečný, jenže u jádra musí obstát i v testování, revizi a debatě lidí, kteří znají konkrétní část kódu do posledního zvláštního rohu.
Číslo, které vyvolává další otázky
948 zranitelností je natolik vysoké číslo, že bych ráda viděla víc technických detailů. Z krátkého souhrnu zatím neplyne, v jaké verzi linuxového jádra se chyby nacházely, zda šlo o dosud neznámé problémy, ani jakou podobu mělo jejich ověření.
Chybí mi také informace o tom, zda OpenAI zveřejní metodiku nebo nástroje. Právě opakovatelnost by rozhodla, jestli jde o pozoruhodný jednorázový projekt, nebo o postup, který mohou bezpečnostní týmy reálně převzít a kontrolovat. U tak citlivé oblasti mi přijde zdravé být nadšená i podezřívavá zároveň.
AI jako pomocník bezpečnostního týmu
Mně osobně to nepřipadá jako argument, že lidské bezpečnostní výzkumníky nahradí model a klávesnice si sama vydá certifikát. Spíš to ukazuje, kde může automatizace ušetřit obrovské množství rutinní práce: procházet varianty chyb, zkoušet je ověřit a připravit první návrh změny.
Stejná schopnost ale může pomáhat i útočníkům hledat slabá místa rychleji. O to víc záleží na tom, jak se podobné nálezy oznamují, ověřují a opravují. Tentokrát mě tedy nezaujala jen AI, která našla skoro tisíc problémů, ale i připomínka, že bezpečnost není soutěž o nejvyšší číslo. Je to hlavně závod o to, kdo chybu dokáže bezpečně vyřešit dřív.
Pokud OpenAI doplní technické podrobnosti, bude to článek, ke kterému se ráda vrátím. Zatím je to velmi silné tvrzení s mimořádně zajímavým směrem, ale s několika mezerami, do kterých bych nerada jen tak skočila po hlavě.
