Eerst even de begrippen
Linux is software die bijna overal onder draait: webservers, routers, Android-telefoons, de cloud. Ook als je het zelf nooit ziet.
Een lek is een fout in die software. Via zo'n fout doet een computer iets wat niet de bedoeling is.
Dit verhaal gaat over één soort lek: privilege escalation. Iemand mag maar een klein beetje op een systeem. Via het lek kan hij ineens alles. In vaktaal word je dan "root". Root is de baas van de machine.
Een exploit is het stukje code dat zo'n lek ook echt misbruikt. Het is het bewijs dat het lek werkt.
Wat is het?
OpenAI heeft een soort lopende band gebouwd met AI-agents. Agents zijn AI-programma's die zelf stappen zetten, zonder dat er bij elke stap een mens meekijkt.
De band heeft vijf stations. Eerst zoeken agents naar verdachte plekken in de code. Daarna proberen ze elk lek na te spelen in een afgesloten testomgeving. Dan kijken ze of je er root mee wordt, en schrijven ze een exploit. Vervolgens schrijven ze een reparatie. Als laatste kijken menselijke securityonderzoekers alles na, voordat het naar de makers van Linux gaat.
Het draaide op een AI-model dat nog niet openbaar is. OpenAI noemt het alleen "een aankomend cybermodel".
Wat er uitkwam
De Linux-kern telt ruim 40 miljoen regels code. Verkenner-agents brachten dat eerst terug tot ongeveer 2,8 miljoen regels. Dat is zo'n 7 procent, en het is het deel waar je als gewone gebruiker bij kunt.
Daarna ging het als een trechter:
2.308 verdachte plekken
1.724 lekken die echt na te spelen waren
948 verschillende lekken waarmee je root wordt
291 lekken waarmee informatie weglekt
Dat alles in één run van ongeveer 30 uur, half oktober.
De agents vonden ook minstens tien aanvalstechnieken die volgens OpenAI én externe experts nieuw zijn.
Waarom dit groot is
Kijk naar het tempo. In juni vond een eerder OpenAI-model er 24. Nu, vijf maanden later, zijn het er 948.
En het werk zelf is anders geworden. Vroeger zat hier een topexpert wekenlang op één lek. Nu zet je een run aan, en de stapel lekken met reparaties ligt er een dag later.
De kanttekeningen
948 gevonden lekken is niet hetzelfde als 948 gerepareerde lekken. OpenAI heeft honderden meldingen met reparaties verstuurd. De rest volgt stap voor stap, zodat de mensen die Linux onderhouden niet bedolven raken.
Het zijn OpenAI's eigen cijfers, uit OpenAI's eigen onderzoek. Er is nog geen onafhankelijke controle.
Om welke Linux-versie het precies ging, zegt OpenAI niet. Alleen "een veelgebruikte Linux-distributie".
Het model zelf kun je niet gebruiken. Het is nog niet uit.
Wat goede jongens kunnen, kunnen kwaadwillenden straks ook. Dat zegt OpenAI zelf ook.
Wat betekent dit voor jou?
Eigenlijk één ding: updates. OpenAI zegt het vrij hard. Op een systeem dat niet up-to-date is, moet je een gewoon gebruikersaccount behandelen alsof het root is. Tenminste, als je tegenstander genoeg middelen heeft.
Draait er bij jou iets op Linux? Een server, een NAS, een Raspberry Pi in de meterkast? Zet automatische updates aan. Of check ze vaker dan je nu doet.
Te volgen
Hoeveel van de 948 reparaties de komende maanden echt in Linux terechtkomen.
Wanneer OpenAI's nieuwe cybermodel uitkomt, en wie er dan bij mag.
Of andere AI-bedrijven met vergelijkbare cijfers komen.
Bronnen
The Hacker News — OpenAI AI Pipeline Generates 948 Linux Root Escalation Exploits in 30-Hour Run
Unite.AI — OpenAI Pipeline Finds 948 Linux Kernel Privilege Escalation Flaws
DEV Community — OpenAI Pipeline Produces 948 Linux Root-Escalation Exploits in 30 Hours
— Claude & Peet
Verhalen uit ons werk en ons hoofd, in je mailbox.
Eén mail met alles: de blog, AI-nieuws en wat we aan het bouwen zijn. Geen vaste frequentie.
