OpenAI এর স্বয়ংক্রিয় কার্নেল গবেষণা পাইপলাইন 2026 সালের অক্টোবরের মাঝামাঝি সময়ে 948টি কার্যকরী স্থানীয় বিশেষাধিকার বৃদ্ধির শোষণ খুঁজে পেয়েছে।
কোম্পানিটি তার প্যাচ দ্য প্ল্যানেট উদ্যোগের অধীনে কার্নেল গবেষণা প্রচেষ্টার বিশদ বিবরণ প্রকাশ করেছে, একটি বিস্তৃত ডেব্রেক ওপেন-সোর্স নিরাপত্তা প্রতিশ্রুতির অংশ। পাঁচ-পর্যায়ের সিস্টেমটি একটি আসন্ন সাইবার মডেলে চলে। এর বিশ্লেষক এজেন্টরা সর্বশেষ লিনাক্স কার্নেল মাস্টার শাখায় 2,308টি অনুলিপিকৃত প্রার্থীর ফলাফলগুলিকে পতাকাঙ্কিত করেছে; প্রতিটি সমাপ্ত শোষণ একটি স্টক ডেস্কটপ বিতরণে রুট করার জন্য একটি সুবিধাবিহীন স্থানীয় ব্যবহারকারীকে উত্তোলন করে।
তত্ত্বাবধান ছাড়া রক্ষণাবেক্ষণকারীদের কাছে কিছুই পৌঁছেছে। মানব নিরাপত্তা গবেষকরা রিপোর্ট করার আগে প্রতিটি শোষণ, প্যাচ এবং তীব্রতা রেটিং পর্যালোচনা করেছেন। লিনাক্স কার্নেল কমিউনিটি গাইডেন্সের অধীনে জটিল দুর্বলতার সাথে কাজটি শুরু হয়েছিল; শত শত রিপোর্ট এবং প্যাচ ইতিমধ্যে আপস্ট্রিম চলে গেছে.
পাইপলাইনটি জুনের একটি প্রকাশকে স্কেল করে যেখানে GPT-5.5 সাইবার কার্নেলের ত্রুটিগুলি চিহ্নিত করেছে এবং সেগুলিকে যাচাই করতে এবং রিপোর্ট করার জন্য 24টি এই ধরনের শোষণ তৈরি করেছে৷ শোষণের লক্ষ্যগুলি দুর্বল করা হয়নি: স্টক ডেস্কটপ ডিস্ট্রিবিউশন KASLR এবং HARDENED_USERCOPY এর পাশাপাশি SMEP এবং SMAP সক্রিয় করা হয়েছে, Pwn2Own এবং TyphoonPWN এ ব্যবহৃত একই হুমকি মডেল।
উন্নয়ন শোষণ মাধ্যমে স্কাউট triage
স্কাউট এজেন্টরা প্রতিটি ফোল্ডার এবং ফাইলের মাধ্যমে পড়ে, ফ্ল্যাগিং কোড নিম্ন-সুবিধাপ্রাপ্ত ব্যবহারকারীদের দ্বারা পৌঁছানো যায়। এই ট্রায়াজ কার্নেল কোডের 40 মিলিয়নেরও বেশি লাইনকে 5,034টি অডিট লক্ষ্যে সংকুচিত করেছে। ওপেনএআই-এর কোডেক্স সিকিউরিটি প্লাগইনে তৈরি একটি ওয়ার্কফ্লো চালানো বিশ্লেষক এজেন্টরা তারপর ফিল্টার করা সেটটি স্ক্যান করে, অর্ধেক দিনের মধ্যে সম্পূর্ণ প্রার্থী তালিকা ফিরিয়ে দেয়।
ট্রায়াজ এজেন্টরা কার্নেল অ্যাড্রেস স্যানিটাইজারের সাহায্যে একটি কার্নেল যন্ত্র দিয়ে চালিত বিচ্ছিন্ন ভার্চুয়াল মেশিনের ভিতরে প্রমাণ-অব-ধারণা লিখেছে এবং ফায়ার করেছে, ক্র্যাশ পুনরুত্পাদন না হওয়া পর্যন্ত বা ট্রিগার পাথগুলি শুকনো না হওয়া পর্যন্ত পুনরাবৃত্তি করে। মঞ্চটি 1,724টি বাস্তব দুর্বলতা নিশ্চিত করেছে।
একটি অনুমতিমূলক স্ক্রীনিং এজেন্ট তারপর যাচাইকৃত সেটটিকে তথ্য ফাঁস এবং বিশেষাধিকার বৃদ্ধির ক্লাসে ভাগ করে। বৈকল্পিক বিশ্লেষণ ফলাফলগুলিকে অনন্য দুর্বলতায় একীভূত করার আগে এক্সপ্লোইটডেভ এজেন্টরা সেখান থেকে কাজের শোষণ তৈরি করেছিল, প্রতিটিতে একটি স্বতন্ত্র প্রার্থীর প্যাচ রয়েছে।
মাত্র 74.7 শতাংশ প্রার্থী গতিশীল বৈধতা থেকে বেঁচে গেছেন। ব্যর্থতাগুলি মডেল ত্রুটির পরিবর্তে বিশেষাধিকারের প্রয়োজনীয়তা, রেসের অবস্থা এবং ফল্ট-ইনজেকশন নির্ভরতার চারপাশে ক্লাস্টার করা হয়েছে। মডেল ত্রুটি মাত্র 3.1 শতাংশ ব্যর্থতার জন্য দায়ী।
OpenAI অডিট করেছে তার নিজস্ব সাফল্যের দাবি কঠিন। সিস্টেমের গণনা অনুসারে একটি প্রাথমিক দৌড়ে 200টি সফল শোষণ করা হয়েছে। মানব পর্যালোচকরা তাদের প্রত্যেকের মাধ্যমে ফিরে গেছেন। তারা দেখতে পেল যে 20টি শোষণ নির্ধারিত সময়ের চেয়ে ভিন্ন 0-দিনের মাধ্যমে রুট পেয়েছে, তাই ওপেনএআই টাস্ক সীমাবদ্ধতা কঠোর করেছে এবং প্রতিটি চূড়ান্ত শোষণকে তার নির্ধারিত বাগের সাথে সংযুক্ত করে একটি স্বাধীন চেক যুক্ত করেছে।
বাউন্টি বেঞ্চমার্কের বিরুদ্ধে অর্থনীতিকে কাজে লাগান
সম্পূর্ণ অক্টোবর প্রচারণার জন্য API ক্রেডিটগুলিতে $1,213,430 খরচ হয়েছে, যা প্রতিটি কার্যকরী রুট শোষণের জন্য $1,279 পর্যন্ত কাজ করে। বাজেটে শোষণ প্রাধান্য পেয়েছে। ওপেনএআই রিপোর্ট করা খরচগুলিকে ঊর্ধ্বসীমা হিসাবে নিক্ষেপ করে। কোম্পানি যুক্তি দেয় যে জোতা প্রকৌশল প্রতিটি পর্যায়ে খরচ কমাতে পারে।
তারপরে প্রকাশটি ঐতিহাসিক প্রতিযোগিতার অনুদানের বিরুদ্ধে একই কাজের মূল্য দেয়। লিনাক্স কার্নেল এলপিই-এর জন্য Pwn2Own এবং TyphoonPWN রেটগুলি $66.3 মিলিয়নের অনুমানমূলক মূল্যায়ন দেয়, যা প্রচারণার খরচের প্রায় 16 থেকে 55 গুণ।
গুগলের শক্ত হয়ে যাওয়া কার্নেলসিটিএফ পরিবেশ একটি দ্বিতীয় প্রমাণের স্থল প্রদান করেছে। পাইপলাইনটি সেখানে একটি প্রচারাভিযানে 21টি এলপিই শোষণ করেছে, যা 2026 জুড়ে মানব জমাদানকারীদের কাছ থেকে গৃহীত 26টি নিশ্চিত 0-দিনের এলপিই-এর কাছাকাছি। এটি একটি স্বয়ংক্রিয় স্ক্যান যা মানুষের 0-দিনের আউটপুটের এক বছরে বন্ধ হয়ে যায়।
দৌড়টি এমনকি পরীক্ষার জোতাতেই একটি QEMU TCG দুর্বলতা প্রকাশ করেছে, QEMU উৎসে কোনো অ্যাক্সেস ছাড়াই চিহ্নিত করা হয়েছে। সেই বাগটি ইতিমধ্যেই আপস্ট্রিমে সংশোধন করা হয়েছে, যদিও পরীক্ষার অধীনে রিলিজ বিল্ড থেকে ফিক্সটি অনুপস্থিত ছিল।
GPT-5.6 Sol, একটি আগের ওপেনএআই মডেল, জুলাইয়ের শেষের দিকে চালানোর সময় এই ধরনের 166টি শোষণ তৈরি করেছে। অক্টোবর আসার সময় কার্নেল গাছটি কয়েক মাস অতিরিক্ত শক্ত হয়ে যায়। নতুন প্রচারাভিযান এখনও সেই গণনা পাঁচ গুণেরও বেশি ফিরে এসেছে।
অভিনব কৌশল এবং আপস্ট্রিম প্যাচিং
এজেন্টরা কমপক্ষে 10টি শোষণের কৌশল স্থাপন করেছিল যা তৃতীয় পক্ষের কার্নেল বিশেষজ্ঞরা তাদের জন্য নতুন বলে নিশ্চিত করেছেন। ক্যাশে স্প্রে করার জন্য স্থায়ী ইলাস্টিক বস্তু সেটে উপস্থিত হয়। নির্ভরযোগ্যতার জন্য পেজ গ্রুমিংও করে। শুধুমাত্র ডেটা বৃদ্ধির পথ এবং একটি নির্বিচারে টাইপের বিভ্রান্তি তালিকার বাইরে।
ভারী অর্কেস্ট্রেশন মডেল আপগ্রেড বেঁচে নেই. একটি কিউরেটেড টেকনিক লাইব্রেরি GPT-5.5 সাইবারের সাফল্যের হার 76.2 থেকে 88.9 শতাংশে উন্নীত করেছে, কিন্তু GPT-5.6 সাইবার এটি ছাড়াই উভয় চিহ্নকে হারিয়েছে, তাই OpenAI পাইপলাইন থেকে ভারাটিকে ছিনিয়ে নিয়েছে।
রক্ষণাবেক্ষণকারীরাও সমান্তরালভাবে স্থানান্তরিত হয়েছে: স্ক্যানিং এবং ম্যানুয়াল বিশ্লেষণের 10 দিনের মধ্যে, পাওয়া এলপিইগুলির মধ্যে 61টি আপস্ট্রিম প্যাচ করা হয়েছিল। স্টেজিং প্যাচ আরো কয়েক ডজন কভার. বাকি শত শত জনসাধারণের আলোচনা খোলা ছিল.
"নিকট-এবং মধ্যমেয়াদী জন্য, একটি অপারেটিং সিস্টেমে একটি স্বল্প-সুবিধাপ্রাপ্ত অ্যাকাউন্টে অ্যাক্সেস থাকা যা তার সাম্প্রতিক উপলব্ধ প্যাচগুলিতে আপ-টু-ডেট নয়, একটি ভাল-সম্পদযুক্ত হুমকি অভিনেতার জন্য রুট অ্যাক্সেসের জন্য কার্যকরীভাবে সমতুল্য বলে বিবেচনা করা উচিত," OpenAI উপসংহারে এসেছে৷
আরও দেখুন: আবুধাবি তেল জায়ান্ট ADNOC তার নিজস্ব AI এর উপর OpenAI এর এজেন্ট প্ল্যাটফর্মকে স্তর দেয়
শিল্প নেতাদের কাছ থেকে AI এবং বড় ডেটা সম্পর্কে আরও জানতে চান? আমস্টারডাম, ক্যালিফোর্নিয়া এবং লন্ডনে অনুষ্ঠিত AI এবং বিগ ডেটা এক্সপো দেখুন। ব্যাপক ইভেন্টটি TechEx এর অংশ এবং IoT টেক এক্সপো এবং সাইবার সিকিউরিটি এবং ক্লাউড এক্সপো সহ অন্যান্য নেতৃস্থানীয় প্রযুক্তি ইভেন্টের সাথে সহ-অবস্থিত। আরো তথ্যের জন্য এখানে ক্লিক করুন.
