要点
- OpenAI 研究帖（2026-11-04）：“A thousand fewer paths to root”；网络安全团队对「发现→验证→可利用性→补丁→人工复核」自治流水线的一手记述。
- 2026 年 10 月中旬、使用即将发布的网络安全模型：5,034 个审计目标（约 280 万行，约占内核 7%）；去重后 2,308 条候选；动态复现 1,724 条（约 74.7%）；其余未复现中仅 3.1% 被标为分析错误。
- 结果：291 个信息泄露 PoC，1,169 个可用的本地提权利用；经变体分析后 948 个独立提权并附候选补丁。API 总成本 1,213,430 美元（每个提权约 1,279 美元）。成功利用平均花费 359 美元额度。
- 在类 kernelCTF 加固环境的旁路实验：25 个信息泄露 PoC、21 个提权，约 32,936 美元。2026 年 7 月 GPT-5.6 Sol 战役找到 166 个独立提权、花费 513,690 美元；更新的 10 月中旬模型在三个月加固之后仍发现超过 5 倍的新提权。
- 约 10 天战役期间，OpenAI 观察到已有 61 个提权在上游修复、43 个有暂存补丁、约 299 个进入公开讨论。文中主张需要 Firecracker、gVisor 一类沙箱，以及带人工复核的自动补丁生成。
2026 年 11 月 4 日，OpenAI 网络安全团队发布一手研究笔记，记述一条以工业规模猎取 Linux 内核缺陷的自治流水线。标题数字是 948 条独立本地提权路径。更耐久、也更可检验的句子更窄：自动化漏洞发现已经超过人工分诊。在自动出补丁与高保证软件跟上之前，未打齐可用补丁的系统上，低权限本地账户对资源充足的对手应视为功能上等同 root。 若后续在充分打补丁的扫描里新提权大幅塌缩，或维护者与厂商补丁速度把窗口收得比模型扩张更快，该主张即失败。
[1]数字实际说了什么
Scout 代理先选出 5,034 个审计目标，约 280 万行代码，约占内核 7%，API 花费 3,426 美元。分析代理在约 12 小时内去重产出 2,308 条候选，花费 316,549 美元。随后在带 Kernel Address Sanitizer 的隔离环境里用 PoC 验证，约 30 小时复现 1,724 条，约 74.7%，花费 73,330 美元。OpenAI 称未复现部分里仅 3.1% 属于分析错误；其余需要更高权限、罕见竞态，或更多时间。
可利用性评估再在启用 SMEP、SMAP、KASLR、HARDENED_USERCOPY 等挡住常见内核利用手法的桌面防护环境中筛选。代理产出 291 个信息泄露 PoC，以及 1,169 个能从无特权本地用户拿到 root 的可用提权。变体分析与补丁起草后留下 948 个独立提权。整次运行花费 1,213,430 美元。成功利用平均 359 美元额度；OpenAI 指出难啃的失败案例贵得多，应用「放弃条件」砍掉无效空转。
对类 kernelCTF 加固内核的另一次战役产出 25 个信息泄露 PoC 与 21 个提权，约 32,936 美元。OpenAI 将其与撰写时 kernelCTF 在 2026 年已接受的 26 个确认 0-day 提权对比，并用历史上 Pwn2Own / TyphoonPWN 的赏金档，把 948 个普通桌面提权估成假想的 1,890 万到 6,630 万美元。这些倍数是参照，不是已入账奖金。
[1]瓶颈移到了哪里
文中的操作教训不是模型突然发明了所有漏洞，而是：发现与动态验证已不再是稀缺步骤。 人类研究员无法手工分诊数千条候选。真正紧的是优先级、可利用性证明、补丁质量与维护者带宽。OpenAI 已在 Patch the Planet / Daybreak 工作下发出数百份关键报告与补丁，并与伙伴分期处理其余部分。
模型代数很重要。2026 年 7 月 GPT-5.6 Sol 运行找到 166 个独立提权，花费 513,690 美元。10 月中旬用更新网络安全模型、在当时最新 master 上的运行，在社区三个月加固之后，仍发现超过五倍的新提权。OpenAI 还报告更强模型需要更轻的技术库：曾把 GPT-5.5 Cyber 在 63 个候选上的成功率从 76.2% 抬到 88.9% 的脚手架，对 GPT-5.6 Cyber 只再加约 1.5 个百分点。
防御侧的句子很直：近中期内，未跟上可用补丁的系统上，低权限账户对有能力的对手应视为等同 root。Firecracker、gVisor 一类隔离缩小爆炸半径。自动生成补丁、在风格与变体覆盖上迭代、再交人工复核，被写成压缩利用窗口的必要手段。OpenAI 抽样 166 个代理利用，称其中至少用到 10 种对作者与外部内核专家都属新的技术；完整细节未公开。
[1]钢人与缺口
钢人。 这是第一方能力报告，不是独立审计。目标选择、harness 设计，以及变体分析后何谓「独立」，都由 OpenAI 定义。赏金倍数用的是竞赛历史标价，不是 OpenAI 收到的现金。Linux 维护者已经很快：仅在扫描窗口内，就有数十个提权被修复或进入暂存，数百个进入讨论。没有 OpenAI 量级 API 预算的攻击者面对不同的经济学。早期运行里有些「成功」实际走的是与指派发现不同的 0-day，OpenAI 事后用路径校验收紧了约束。这说明代理胜利既要核对结果，也要核对路径。
这些保留意见成立。它们抹不掉可核对的核心：约四分之三的静态候选在 sanitizer 下复现；数百个提权在常见防护下仍可用；成功提权的 API 成本落在数百美元量级；更新模型在数月加固后仍找到远更多新问题。由此推出的稀缺资源是补丁与隔离能力，而不是再跑一轮 scout。
文中未闭合之处：948 个补丁有多少会原样合入；代理补丁引入隐蔽回退的频率；成本曲线的独立复现；资源更少的行动方多久能租到相近流水线。
[1]谁该在意，下一步看什么
内核与发行版维护者应把 AI 规模的报告洪峰当作流程问题：相对 tip-of-tree 再验证，按动态可利用性排序，并投入补丁审阅工具。云与设备厂商应默认：除非有沙箱与快速补丁，本地立足点就会提权。采购「网络安全」模型的安全买方应追问验证率、错误路径率与补丁接受度，而不是只看原始发现数。代理 harness 构建者应在每一代模型上重测脚手架，而不是冻结上一代的技术包。
接下来观察：未来两个发行周期里 AI 辅助内核补丁的合入与回退率；第三方是否在当前内核上复现量级相近的提权产量；Daybreak 类防御方准入加上自动出补丁，是否真的缩短这类缺陷的修复时间。
[1]收束
OpenAI 可辩护的句子不是 Linux 特别脆弱。而是：当 10 月中旬一条流水线能验证 1,724 个缺陷、并以约 121 万美元额度产出 948 个独立本地提权时，防御问题已从找针变成在下一轮模型重扫之前缝补丁、缩爆炸半径。 六个月后，要么补丁速度与隔离把窗口压住，要么未打补丁的本地访问会继续对买得起扫描的人换成 root。
[1]