121万美元，948个root：OpenAI把漏洞挖掘跑成了流水线

OpenAI安全团队11月4日公布了一套自主漏洞研究流水线。目标很具体：找漏洞、验证、写利用、生成补丁。他们拿Linux内核跑了一遍。一次运行里，系统复现1724个漏洞，产出291个信息泄漏PoC，1169个可工作的本地提权利用。按变体归并后，是948个不同的本地提权漏洞。API账单1,213,430美元，平均每个约1,279美元。

本地提权漏洞（LPE）对普通用户可以这样理解：攻击者已经拿到一个低权限账号，再利用内核漏洞把自己变成root。Linux内核四千多万行代码，手机、云服务器、超算都在用。OpenAI选它，因为规模和影响都够大。

这套流水线分五步：发现、动态验证、可利用性评估、补丁生成、人工审查。发现阶段用Scout agents挑出5034个审计目标，约280万行代码，占内核7%，花3,426美元。Analyst agents在12小时内给出2308个候选，花316,549美元。验证阶段把候选放进隔离虚拟机，带KASAN跑PoC，30小时复现1724个，占74.7%，花73,330美元。筛选后剩313个信息泄漏候选和1238个本地提权候选，筛选花44,194美元。利用开发阶段总花775,929美元，其中信息泄漏84,929美元，本地提权691,000美元。成功开发一个利用平均359美元。失败的69例平均3,922美元，主要卡在竞态等难利用漏洞。OpenAI说，给放弃条件设个上限能省不少钱。

成本对比是这项研究最刺眼的部分。Pwn2Own和TyphoonPWN历史上给Linux内核LPE的 bounty 分别是2万美元和7万美元。拿这两个数套到948个利用上，假想价值在1890万到6630万美元之间，是流水线成本的16到55倍。在kernelCTF环境里，他们拿到25个信息泄漏PoC和21个LPE利用，总成本约32,936美元。如果这21个漏洞被项目接收， bounty 约150万美元，约45倍成本。OpenAI的结论很直接：以公开赏金衡量，这套流水线在研究时是净赚的。防守方应该主动分析软件，让攻击成本高到不划算。

但别只看948这个数。早期一次运行里，利用阶段报告200个成功本地提权，人工复核发现其中20个是通过另一个0-day拿到root，不是分配给它的漏洞。团队随后收紧约束，加了独立检查，确认每个最终利用确实用了指定漏洞。这个细节比“AI自动挖洞”更重要。自动化的结果也要验证路径，隔离、监控、独立检查都不能省。

补丁生成也不是一键完成。直接让模型写补丁，可能出现功能正确但代码过多、性能取舍、偏离代码风格、没检查同源变体等问题。加上静态检查、遵循邻近代码实践、做变体分析后，补丁质量才上来。OpenAI称，在少数情况下，原型还发现了人类专家补丁里的问题，并在合并前修掉。人工审查仍在流程末端，研究人员会看利用、补丁和建议严重性，再报给维护者。

模型能力的变化也值得记一笔。2026年7月，GPT-5.6 Sol找到并利用166个不同LPE，端到端成本513,690美元。10月的新网络模型找到并利用948个，成本1,213,430美元。OpenAI还观察到，采样166个利用后，代理使用了至少10种此前未知的Linux利用技术：2种新的持久弹性对象、2种页面 grooming、5种data-only提权技术、1种任意类型混淆。细节没有公开。另一个插曲是，原型在kernelCTF运行中还发现并利用了QEMU TCG的一个漏洞，当时分析代理没有QEMU源码，先看到内核崩溃，再追到QEMU。这个漏洞在上游已修，但实验用的发布构建没带上。

编排策略也反常识。早期GPT-5.5 Cyber不能稳定判断何时用哪种Linux利用技术。团队把103种技术整理成模型友好格式放进环境，在63个利用候选上把成功率从76.2%提到88.9%。换到GPT-5.6 Cyber，模型自己找、选、用技术的能力更强。去掉重型编排后，轻编排的GPT-5.6 Cyber反而超过重编排的GPT-5.5 Cyber。把技术层加回去，只提升1.5个百分点。OpenAI的建议是，基础模型能力变了，编排和harness要重新评估，别把维护成本花在边际收益上。

维护者的反应速度也被记录。扫描在2026年10月中旬针对最新Linux内核进行。10天后自主扫描和人工分析结束，61个LPE已上游修补，43个有staging补丁，299个正在公开报告和讨论。OpenAI称，这体现了维护者和安全社区的快速响应。对用户和公司来说，结论不复杂：补丁要及时打。OpenAI还提醒，近期到中期，一个低权限账号加上没打最新补丁的系统，对资源充足的攻击者来说，功能上约等于root。沙箱和隔离，比如Firecracker和gVisor，仍然重要，用来限制漏洞被利用后的爆炸半径。

更远一点，OpenAI判断，未来几年，如果软件项目里有漏洞，前沿模型很可能找得到。披露后，能力弱一些的模型也可能写出利用。没有未知漏洞的世界里，高保证软件、默认写安全代码、减少攻击面、形式化验证，这些老话题会变得更重要。研究原文在这里，Patch the Planet项目在这里。

这事的画面感在于，一边是948个root exploit，一边是维护者邮箱。AI安全叙事常被写成远方的风险，这次更像一张账单：121万美元，换来948条通往root的路。防不防得住，取决于补丁、隔离和审查，不取决于我们是否被数字吓到。