OpenAI 的流水线花 120 万美元，找出 948 个 Linux 提权漏洞：AI 把内核安全研究变成了流水线作业
五阶段 AI 智能体用 30 小时复现了 1724 个内核 bug，还发现了 10 种全新的利用技术
一套建立在 OpenAI 一个尚未发布的网络安全模型之上的全自主 AI 流水线，在 2026 年 10 月扫描了一个加固版 Linux 内核大约 280 万行代码，产出了 948 个可用的 root 级漏洞利用——每一个都配有一份候选补丁——总 API 成本为 1213430 美元，相当于每个独特可利用漏洞 1279 美元。OpenAI 在 2026 年 11 月 5 日公布了这些结果，同时启动了一套协同披露流程，已经向 Linux 内核维护者发送了数百份漏洞报告和补丁。
这套流水线的经济账，代表着大规模漏洞研究成本结构上的一次质的转变。此前需要专业安全研究员团队持续投入——花上几个月甚至几年，才能在一个像 Linux 内核这样复杂的代码库里，找出并复现、再利用其中一小部分缺陷——的工作，如今以商用 AI 推理的价格，在大约十天内就被复制出来。按 OpenAI 的说法来概括这个后果：在一台未打补丁的 Linux 系统上，拥有一个低权限账户，「对一个资金充裕的威胁行为者来说，应该被视为在功能上等同于 root 权限」。
五阶段智能体流水线如何运作
这套流水线运作为一条由专精 AI 智能体组成的顺序链条，每一组各自负责一项不同的任务。
第一阶段缩小审计范围。Linux 内核包含超过 4000 万行代码，但只有一小部分能被非特权用户通过系统调用、网络栈、文件系统和设备驱动触及。发现阶段的智能体，把大约 7% 的代码库——大约 280 万行——识别为本地提权研究有意义的攻击面。
第二阶段执行漏洞搜寻。在十二个小时内，发现阶段的智能体审计了划定范围内的代码，返回了 2308 个候选漏洞发现——这个吞吐量暗示着在目标代码库上进行了大量并行的智能体执行。
第三阶段用动态方式验证候选结果。分流智能体尝试在装配了 KASAN（内核地址消毒剂，一种内置于 Linux、用于开发环境的运行时内存错误检测器）的隔离虚拟机里，去触发这 2308 个候选 bug 中的每一个。KASAN 能确认，当候选代码路径被执行时，疑似的内存损坏事件是否真的发生了。在三十个小时内，分流智能体复现了 2308 个候选中的 1724 个——成功率 74.7%。OpenAI 指出，在这个阶段，他们对分析智能体「准确度之高印象深刻」。
第四阶段是技术上要求最高的，它把已复现的 bug 转化为可用的漏洞利用。利用开发智能体在运行标准桌面版 Linux、并启用了标准内核防护（包括 KASLR——内核地址空间布局随机化，一种在启动时把内核内存布局随机化、以增加利用难度的机制）的机器上，测试已验证的 bug。这套流水线在启用 KASLR 的情况下运行，这意味着这些可用的漏洞利用，必须绕过这一标准防护。这个环境没有包含 SLAB_VIRTUAL 这项缓解措施，因为目标内核与它不兼容——这个限制条件，让某些技术对启用了这项缓解措施的系统的通用性受限。利用阶段产出了 291 个信息泄露概念验证，以及 1169 个可用的 root 级漏洞利用。在做完变体分析——把共享同一个根因缺陷的漏洞利用归并在一起——之后，这个数字收缩到了 948 个各不相同的漏洞。
第五阶段是人工审查。安全研究人员会在任何东西进入协同披露流水线之前，检查每一个漏洞利用、候选补丁和拟定的严重性评级。这道关卡，是在一次内部挫折之后加上的：此前一次流水线运行，宣称拿到了 200 个成功的 root 级漏洞利用，但人工审查发现，其中 20 个其实是通过一个不同的零日漏洞拿到 root 权限的，而不是智能体被分配去利用的那个 bug。这个智能体确实正确地实现了提权——只是它是见机行事，利用了一个不相关的另一个缺陷。如果没有人工核验，这套流水线原本会高报独特漏洞的数量，还可能把错误的补丁往下游发出去。OpenAI 收紧了智能体的任务约束，并增加了一道独立检查，确认每一个漏洞利用都只用到了它被分配的那一个 bug。
在整次运行过程中，智能体发现了 10 种利用技术，OpenAI 的研究人员认为这些技术此前从未出现在公开的安全文献里——这一点已经由第三方内核利用专家确认为全新的。这些技术分为四类：弹性对象喷射（两个变体）、页面梳理（两个变体）、纯数据提权（五个变体），以及任意类型混淆（一个变体）。OpenAI 没有公开技术细节，以防止被恶意复现。
成本账本，以及它对攻击者意味着什么
Pwn2Own 对一个 Linux 提权漏洞利用支付 2 万美元的奖金。按这个费率算，OpenAI 产出的这 948 个漏洞利用，市场价值合计约 1890 万美元。而这套流水线生成它们只花了 121 万美元——相当于按所发现漏洞的市场价值计算，获得了大约 15 倍的回报。
OpenAI 还针对谷歌的 kernelCTF做了一次次要的基准测试运行，这是一个专门为吸引专业安全研究员参加的夺旗竞赛而刻意加固的内核。在 112 个小时、花费 32936 美元 API 额度的情况下，这套流水线产出了 21 个本地提权漏洞利用和 25 个信息泄露概念验证。作为对比，KernelCTF 在 2026 年全年，从整个全球安全社区那里，一共才收到并确认了 26 个零日提权漏洞利用。按 KernelCTF 的赏金费率计算，OpenAI 这 21 个漏洞利用，本会是净盈利的。
这种军民两用的含义不是纸上谈兵。按每个漏洞利用 1279 美元计算，一份 1000 万美元的 API 预算，能支撑针对一个复杂度相当的目标，产出大约 7800 个独特的 root 级漏洞利用。国家级威胁行为者和资金充裕的犯罪组织，手头的预算远远超过这个数字。谷歌威胁情报团队报告称，全行业已发布 CVE 的月度数量，从 2026 年 1 月的 5045 个，翻倍到了 2026 年 8 月的 10740 个，而像这样的流水线会加速这个趋势。英国国家网络安全中心 2025 年的威胁评估曾警告，AI 将在 2027 年前大幅推高网络攻击的数量，恰恰在政策层面点出了这种动态。
OpenAI 从 24 个漏洞利用，一路走到 948 个
10 月的这次结果，建立在一条有记录可查的演进轨迹之上。2025 年 6 月，OpenAI 早前一次流水线运行，针对一个加固内核产出了 24 个本地提权漏洞利用，其中一个被确认为 CVE-2025-37899。2026 年 7 月，一次中间运行产出了 166 个本地提权漏洞利用。10 月份跳升到 948 个，说明驱动这次 10 月运行的那个尚未发布的网络安全模型，相比 OpenAI 在 2026 年 6 月和 8 月为其 Daybreak 企业安全平台发布的 GPT-5.5-Cyber 和 GPT-5.6-Cyber 模型，是一次跨越式的进步。目前还没有其他公开的 AI 实验室，披露过规模相当的自主内核漏洞利用成果。
哪些已经打了补丁，哪些还没有，接下来会发生什么
截至 11 月 5 日发帖时，948 个本地提权漏洞利用中，有 61 个已经打上补丁并合并进了上游 Linux 内核；另有 43 个带着分阶段的补丁；299 个正处于主动披露流程中。OpenAI 表示，已经向维护者发送了「数百份报告和补丁」，按内核社区的建议，从最严重的缺陷开始。公司正在与Patch the Planet的合作方 Trail of Bits 和 HackerOne 一起，处理剩下的部分。
对企业和云运营商来说，眼下实用的建议很明确：Linux 内核更新一发布就打上。研究人员还额外建议使用沙箱和隔离工具——具体是 Firecracker 和 gVisor——以便在提权发生时，无论打补丁的节奏如何，都能控制住影响范围。
这套流水线背后的网络安全模型，目前没有公开的发布日期或名称，这意味着安全团队目前无法评估 Daybreak 或 OpenAI 任何公开服务，是否已经具备相当的能力。从 2025 年 6 月的 24 个本地提权漏洞利用，到 2026 年 10 月的 948 个，这中间跨越了大约 18 个月的模型开发周期。这套流水线的下一次迭代，将运行在接下来的那个模型之上——而眼下正在消化数百份来袭报告的内核维护者，将要在那次运行开始之前，争分夺秒地把补丁合并进去。