OpenAI gastó 1,2 millones en 948 exploits de Linux y en parches que aún revisan humanos

El 4 de noviembre, OpenAI contó que un prototipo con un modelo de ciberseguridad por lanzar produjo, en un entorno controlado, 948 exploits de Linux de escalada local de privilegios. Es decir, con la llave de una habitación se consigue la del edificio entero, el control total que Linux llama root. Según la empresa, la corrida costó 1.213.430 dólares en créditos de API, o 1.279 dólares por exploit.

En el mismo blog, ese 948 son exploits que funcionan, vulnerabilidades únicas y parches distintos. Mucho trabajo para un solo número. Según Help Net Security, antes de agrupar eran 1.169 exploits funcionales. OpenAI explica que desarrolló 948 parches distintos y que usa esa cifra para contar las vulnerabilidades únicas. Hicimos la cuenta: 1.279,99 dólares por vulnerabilidad distinta y 1.038 por exploit sin agrupar.

Esos parches son candidatos que revisan los mantenedores del kernel, y el informe no desglosa cuántos se aceptaron. Según el blog, a los diez días 61 vulnerabilidades estaban parcheadas en el kernel principal, 43 en preparación y 299 en reporte o discusión. El mismo texto dice que, mientras corría el escaneo, más de cien ya tenían parche, publicado o en preparación, de otros colaboradores, no de OpenAI.

Los fallos son locales (el atacante necesita ya una cuenta en la máquina) y se probaron en máquinas virtuales de escritorio, no en Android. OpenAI presenta el costo como una cota superior: cree que con mejor ingeniería podría bajar.

El precio de un exploit se calcula al centavo. El de un parche aceptado no se puede calcular, porque falta el número que va abajo en la división.