ওপেনএআই 4 নভেম্বর, 2026-এ রিপোর্ট করেছে যে একটি প্রোটোটাইপ দুর্বলতা-গবেষণা পাইপলাইন, তার একটি অপ্রকাশিত সাইবার মডেল দ্বারা চালিত, অক্টোবরের মাঝামাঝি সময়ে চালানো একটি গবেষণা চলাকালীন লিনাক্স কার্নেলে 948টি অনন্য স্থানীয় বিশেষাধিকার বৃদ্ধির দুর্বলতাগুলি আবিষ্কার এবং অস্ত্র তৈরি করেছে। কোম্পানির লেখা অনুসারে, Unite.AI এবং The Hacker News দ্বারা বিশদভাবে কভার করা হয়েছে, একই পাইপলাইন প্রতিটি অনুসন্ধানের জন্য প্রার্থীর প্যাচ তৈরি করেছে এবং কার্নেল রক্ষণাবেক্ষণকারীদের বিতরণের জন্য মানব পর্যালোচকদের কাছে সম্পূর্ণ প্যাকেজ হস্তান্তর করেছে।

প্রতিটি ত্রুটি, যদি নিশ্চিত করা হয়, তাহলে একজন সুবিধাবঞ্চিত স্থানীয় ব্যবহারকারীকে একটি দুর্বল মেশিনে রুট অ্যাক্সেস পেতে দেয় — লিনাক্সের সিস্টেমে যে ধরনের বাগ চলে, সেটি হল একটি গেম ওভার কন্ডিশন। যে লিনাক্স টার্গেট সেই পয়েন্টটি ছিল: ওপেনএআই এটি বেছে নিয়েছে কারণ কার্নেলটি 40 মিলিয়নেরও বেশি কোডের লাইন বিস্তৃত করে এবং অ্যান্ড্রয়েড ফোন, ক্লাউড অবকাঠামো এবং সুপারকম্পিউটারগুলিকে আন্ডারপিন করে, এটিকে একটি স্বয়ংক্রিয় গবেষকের বিরুদ্ধে পরীক্ষা করা যেতে পারে এমন সবচেয়ে পরিণত কোডবেস তৈরি করে। For more context on this story, see our ongoing latest AI developments.

কিভাবে পাইপলাইন কাজ করে

সিস্টেমটি বেশ কয়েকটি পর্যায়কে একসাথে চেইন করে: দুর্বলতা আবিষ্কার, গতিশীল বৈধতা, শোষণের মূল্যায়ন, প্যাচ জেনারেশন এবং অবশেষে, মানুষের পর্যালোচনা। OpenAI তিন শ্রেণীর এজেন্ট লেগওয়ার্ক করে বর্ণনা করে। স্কাউট এজেন্টরা নিম্ন-সুবিধাপ্রাপ্ত প্রেক্ষাপট থেকে কোডটি কীভাবে পৌঁছানো যায় এবং এটি কীভাবে নিরাপত্তা-প্রাসঙ্গিক দেখায় তার উপর ভিত্তি করে অডিট লক্ষ্যগুলি বেছে নেয়। বিশ্লেষক এজেন্টরা প্রার্থীর বাগগুলির জন্য সেই লক্ষ্যগুলি স্ক্যান করে। ট্রাইজ এজেন্টরা তখন কার্নেল অ্যাড্রেস স্যানিটাইজারের সাহায্যে কার্নেল চালিত ভার্চুয়াল মেশিনের ভিতরে ধারণার প্রমাণ তৈরি করে এবং পরিমার্জন করে, শুধুমাত্র স্ট্যাটিক বিশ্লেষণে বিশ্বাস না করে রানটাইম প্রমাণ সংরক্ষণ করে।

প্রতিটি সম্পূর্ণ গবেষণা বান্ডিলে চারটি শিল্পকর্ম রয়েছে: একটি মূল-কারণ বিশ্লেষণ, ধারণার একটি ন্যূনতম ক্র্যাশিং প্রমাণ, একটি প্রার্থীর প্যাচ এবং একটি সম্পূর্ণ কার্যকরী শোষণ। ওপেনএআই স্পষ্ট করে বলেছিল যে পরীক্ষাটি ইচ্ছাকৃতভাবে দুর্বল করা লক্ষ্যের বিরুদ্ধে করা হয়নি — ভার্চুয়াল মেশিনগুলি SMEP, SMAP, KASLR এবং HARDENED_USERCOPY প্রশমন সমস্ত সক্ষম সহ একটি স্টক ডেস্কটপ কনফিগারেশন চালায়।

রানের পিছনের সংখ্যা

ঝাড়ু দেওয়ার স্কেলই গল্প। স্কাউট এজেন্টরা মোটামুটি 2.8 মিলিয়ন লাইন কোড কভার করে 5,034 টি অডিট লক্ষ্য নির্বাচন করেছে - কার্নেলের প্রায় 7 শতাংশ। বিশ্লেষক এজেন্ট 12 ঘন্টার মধ্যে 2,308টি অনুলিপিকৃত প্রার্থীর ফলাফল তৈরি করেছে। গতিশীল বৈধতা তারপর 30-ঘন্টার উইন্ডোর মধ্যে সেই দুর্বলতার 1,724টি পুনরুত্পাদন করে এবং OpenAI বলে যে বেঁচে থাকা ফলাফলগুলির মাত্র 3.1 শতাংশ ভুল মডেল বিশ্লেষণকে প্রতিফলিত করেছে।

শোষণের পর্যায়টি বৈধতাকে অস্ত্রে পরিণত করেছে: ওপেনএআই অনুসারে ধারণার 291টি তথ্য-ফাঁস প্রমাণ এবং 1,169টি কর্মরত স্থানীয় বিশেষাধিকার বৃদ্ধির শোষণ। বৈকল্পিক বিশ্লেষণ — একই ত্রুটি শ্রেণির ভাইবোন দৃষ্টান্তগুলি খুঁজে পেতে একটি নিশ্চিত বাগ পরিবর্তন করা — তারপর 948টি স্বতন্ত্র প্যাচ তৈরি করে এবং OpenAI সেই চিত্রটিকে অনন্য বিশেষাধিকার বৃদ্ধির বাগগুলির শিরোনাম হিসাবে ব্যবহার করে৷ এ কারণেই কাঁচা শোষণের সংখ্যা এবং 948 সংখ্যার মিল নেই। কোম্পানিটি সতর্ক করেছে যে তৈরি করা ফিক্সগুলি রক্ষণাবেক্ষণকারী পর্যালোচনার জন্য প্রার্থী থাকবে, মার্জ করা প্যাচ নয়।

একটি ফলাফল প্রায় স্লিপড থ্রু

রিপোর্টটি একটি কাছাকাছি-মিস সম্পর্কে অস্বাভাবিকভাবে স্পষ্ট। প্রথম দিকে, ওপেনএআই দেখেছে যে 200 টির মধ্যে 20টি সফল শোষণগুলি তাদের নির্ধারিত দুর্বলতার চেয়ে ভিন্ন শূন্য-দিনের মাধ্যমে রুট পেয়েছে — যার অর্থ শুধুমাত্র একটি রুট শেল পার্থক্যটি লুকিয়ে রাখত। কোম্পানি টাস্ক সীমাবদ্ধতা কঠোর করেছে এবং প্রতিক্রিয়া হিসাবে প্রতিটি শোষণের পথের একটি স্বাধীন চেক যোগ করেছে। এটি একটি বিশদ বিষয় যা গুরুত্বপূর্ণ: এই স্কেলে, একটি স্বয়ংক্রিয় সিস্টেম ভুল কারণে প্রযুক্তিগতভাবে সঠিক ফলাফল তৈরি করতে পারে এবং শুধুমাত্র সুস্পষ্ট পথ যাচাইকরণ এটিকে ধরে।

শোষণ প্রতি খরচ তীব্রভাবে পড়ে

ওপেনএআই-এর নিজস্ব রানের তুলনা দেখায় যে অর্থনীতি কত দ্রুত এগিয়ে চলেছে। অক্টোবরের মাঝামাঝি চালানোর জন্য API ক্রেডিটগুলিতে $1.213 মিলিয়ন খরচ হয়েছে — অনন্য বিশেষাধিকার বৃদ্ধির বাগ প্রতি $1,279৷ GPT-5.6 Sol মডেল ব্যবহার করে 2026 সালের জুলাইয়ের শেষের দিকে চালানোর জন্য খরচ হয়েছিল $513,690 এবং 166টি অনন্য বাগ পাওয়া গেছে, যা প্রতি শোষণে মোটামুটি $3,100 পর্যন্ত কাজ করে। এটি তিন মাস ধরে অভিনব অনুসন্ধানে পাঁচগুণেরও বেশি বৃদ্ধি - একটি সময়কাল, OpenAI নোট, যেখানে কার্নেলটি শক্ত হতে থাকে - অর্ধেকেরও কম ইউনিট খরচে৷ কোম্পানীটি তার খরচের পরিসংখ্যানকে উচ্চ সীমা হিসাবে উপস্থাপন করে, যেহেতু রানগুলি ব্যয়কে অপ্টিমাইজ করার পরিবর্তে সক্ষমতা পরিমাপের জন্য তৈরি করা হয়েছিল।

একটি পৃথকভাবে অভিযোজিত কার্নেলসিটিএফ রান 25টি ধারণার তথ্য-ফাঁস প্রমাণ এবং 21টি 112 ঘণ্টারও বেশি সময় ধরে API ক্রেডিটগুলিতে মোটামুটি $32,936 তে ব্যবহার করে। OpenAI উল্লেখ করেছে যে সেই রানের সাথে সংযুক্ত মোটামুটি $1.5 মিলিয়ন বাউন্টি ফিগার সমস্ত 21টি দুর্বলতার সাথে গৃহীত হওয়ার শর্তযুক্ত, ঘোষিত পুরস্কার নয় — Google-এর kernelCTF নিয়মগুলি যোগ্য শোষণের জন্য $71,337 প্রদান করে, 20 রান জুড়ে কমপক্ষে 70 শতাংশ স্থিতিশীলতা প্রয়োজন, এবং পুরষ্কারগুলিকে সীমিত দিন শূন্যের মধ্যে সীমাবদ্ধ করে৷

দশটি কৌশল বিশেষজ্ঞরা দেখেননি

OpenAI এর দল এবং তৃতীয় পক্ষের কার্নেল শোষণ বিশেষজ্ঞদের দ্বারা পর্যালোচনা করা একটি 166-শোষণের নমুনার মধ্যে, দশটি কৌশলকে সত্যিকারের নতুন বিচার করা হয়েছিল। কোম্পানি কয়েকটি নাম দিয়েছে: ক্রমাগত ইলাস্টিক অবজেক্ট, পেজ গ্রুমিং, ডেটা-অনলি প্রিভিলেজ বৃদ্ধি এবং স্বেচ্ছাচারী ধরনের বিভ্রান্তি। সম্পূর্ণ প্রযুক্তিগত বিশদ নিরাপত্তার কারণে আটকে রাখা হয়েছে - একটি স্বীকৃতি যে একই প্লেবুক, প্রকাশিত, আক্রমণকারীদের জন্য অবিলম্বে উপযোগী হবে।

ডেব্রেক থেকে প্যাচ দ্য প্ল্যানেট পর্যন্ত

2026 সালের শুরুতে ওপেনএআই শুরু হওয়া কাজের একটি বৃদ্ধি। 22 জুন, 2026-এ নিরাপত্তা সংস্থা ট্রেইল অফ বিটস-এর সাথে শুরু হওয়া ডেব্রেক উদ্যোগ, বিশেষজ্ঞ পর্যালোচনার সাথে AI-সহায়ক দুর্বলতা গবেষণা যুক্ত করে যখন রক্ষণাবেক্ষণকারীদের প্যাচ স্থাপন এবং প্রকাশের নিয়ন্ত্রণে রেখে যায়। সেই আগের প্রচেষ্টাটি GPT-5.5 সাইবার লিনাক্সের কাজ থেকে 24টি বিশেষাধিকার বৃদ্ধির শোষণ এবং আটটি কার্নেল-পয়েন্টার তথ্য-ফাঁসের প্রমাণের প্রতিবেদন করেছে - এই মাসের যাত্রার একটি ভগ্নাংশ।

ওপেনএআই বলেছে যে এটি ইতিমধ্যেই রক্ষণাবেক্ষণকারীদের কাছে গুরুতর দুর্বলতার জন্য শত শত রিপোর্ট এবং প্যাচ পাঠিয়েছে, বাকিগুলি প্যাচ দ্য প্ল্যানেট অংশীদারদের মাধ্যমে ধীরে ধীরে বিতরণ করা হবে। এটি রক্ষণাবেক্ষণকারীদের বর্তমান কোডের বিরুদ্ধে অনুসন্ধানগুলিকে পুনর্বিবেচনা করার জন্যও অনুরোধ করে, যেহেতু অক্টোবর স্ক্যানে পাওয়া গেছে 61টি বাগ ইতিমধ্যেই আপস্ট্রিমে প্যাচ করা হয়েছে, 43টি স্টেজিং প্যাচ মুলতুবি রয়েছে এবং 299টি প্রকাশ্যে রিপোর্ট করা হয়েছে বা আলোচনা করা হয়েছে - প্রমাণ যে কার্নেল ডেভেলপাররা মডেলটি অতিক্রম করার পরেও হাত দিয়ে একই ত্রুটিগুলি খুঁজে পেয়েছিল৷

কার্নেল নিরাপত্তার জন্য এর অর্থ কী

ওপেনএআই এটিকে ফ্রেম করার মতো বাধাটি সরে যাচ্ছে। দুর্বলতা লিড তৈরি করা সস্তা এবং প্রায় সীমাহীন হয়ে উঠছে; দুষ্প্রাপ্য সংস্থানগুলি এখন শোষণের পথ প্রমাণ করছে, একটি চলমান কোডবেসের বিরুদ্ধে অনুসন্ধানগুলিকে বর্তমান রাখছে, এবং ফিক্স রক্ষণাবেক্ষণকারীরা একত্রিত হতে ইচ্ছুক। স্বাধীন যাচাইকরণ এবং মানবিক পর্যালোচনা — যা প্রাথমিক স্বয়ংক্রিয়-উত্পাদিত প্যাচগুলিতে ভুল-শূন্য-দিনের ব্যর্থতা এবং গুণমানের সমস্যা উভয়কেই ধরেছে — যা নির্ধারণ করে যে এই স্কেলে স্বয়ংক্রিয় গবেষণা ব্যবহারযোগ্য প্রতিরক্ষামূলক কাজ বা অতিরিক্ত প্রসারিত রক্ষণাবেক্ষণকারীদের জন্য শুধুমাত্র একটি নতুন ধরনের রিপোর্টিং বোঝা হয়ে ওঠে।

রক্ষকদের জন্য, বার্তাটি অস্বস্তিকর কিন্তু স্পষ্ট: একই পাইপলাইন যা প্রার্থী প্যাচের খসড়া তৈরি করে একটি সক্ষম প্রতিপক্ষকে হাজার হাজার প্রারম্ভিক পয়েন্ট দিতে পারে। রেস এখন লোকেদের মধ্যে সংশোধনগুলি একত্রিত করা এবং যে কেউ নিজেরাই শোষণগুলি পুনরুত্পাদন করতে পরিচালনা করে তাদের মধ্যে।

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →