OpenAI berichtete am 4. November 2026, dass ein Prototyp einer Pipeline zur Schwachstellenforschung, die auf einem seiner unveröffentlichten Cyber-Modelle basiert, während eines Forschungslaufs Mitte Oktober 948 einzigartige Schwachstellen bei der Eskalation lokaler Berechtigungen im Linux-Kernel entdeckt und als Waffe genutzt hat. Laut dem Bericht des Unternehmens, über den Unite.AI und The Hacker News ausführlich berichten, generierte dieselbe Pipeline auch Kandidaten-Patches für jedes Ergebnis und übergab das vollständige Paket an menschliche Prüfer zur Verteilung an Kernel-Betreuer.

Jeder der Fehler würde, wenn er bestätigt würde, einem unprivilegierten lokalen Benutzer Root-Zugriff auf einen anfälligen Computer ermöglichen – die Art von Fehler, die auf den Systemen, die Linux ausführt, ein Game-Over-Zustand ist. Dass Linux das Ziel ist, war der Punkt: OpenAI hat sich dafür entschieden, weil der Kernel mehr als 40 Millionen Codezeilen umfasst und Android-Telefonen, Cloud-Infrastrukturen und Supercomputern zugrunde liegt, was ihn zur aussagekräftigsten Codebasis macht, gegen die ein automatisierter Forscher getestet werden kann. Weitere Informationen zu dieser Geschichte finden Sie in unserer mehr KI-Geschichten.

So funktioniert die Pipeline

Das System kettet mehrere Phasen aneinander: Schwachstellenerkennung, dynamische Validierung, Ausnutzbarkeitsbewertung, Patch-Generierung und schließlich die menschliche Überprüfung. OpenAI beschreibt drei Klassen von Agenten, die die Arbeit erledigen. Scout-Agenten wählen Prüfziele basierend darauf aus, wie gut der Code aus Kontexten mit niedrigen Privilegien erreichbar ist und wie sicherheitsrelevant er aussieht. Analystenagenten scannen diese Ziele auf potenzielle Fehler. Triage-Agenten erstellen und verfeinern dann Proofs of Concept in virtuellen Maschinen, auf denen mit Kernel Address Sanitizer instrumentierte Kernel ausgeführt werden, und bewahren so Laufzeitbeweise, anstatt nur der statischen Analyse zu vertrauen.

Jedes abgeschlossene Forschungspaket enthält vier Artefakte: eine Ursachenanalyse, einen Proof of Concept mit minimalem Absturz, einen Kandidaten-Patch und einen voll funktionsfähigen Exploit. OpenAI machte deutlich, dass die Tests nicht gegen ein absichtlich geschwächtes Ziel durchgeführt wurden – die virtuellen Maschinen liefen mit einer Standard-Desktop-Konfiguration mit aktivierten SMEP-, SMAP-, KASLR- und HARDENED_USERCOPY-Entschädigungen.

Die Zahlen hinter dem Lauf

Das Ausmaß des Sweeps ist die Geschichte. Scout-Agenten wählten 5.034 Prüfziele aus, die etwa 2,8 Millionen Codezeilen abdeckten – etwa 7 Prozent des Kernels. Analystenagenten erstellten innerhalb von 12 Stunden 2.308 deduplizierte Kandidatenergebnisse. Die dynamische Validierung reproduzierte dann 1.724 dieser Schwachstellen innerhalb eines 30-Stunden-Fensters, und OpenAI sagt, dass nur 3,1 Prozent der verbleibenden Ergebnisse eine falsche Modellanalyse widerspiegelten.

Die Exploit-Phase verwandelte die Validierung in Waffen: 291 Informationsleck-Proofs of Concept und 1.169 funktionierende lokale Privilegieneskalations-Exploits, laut OpenAI. Die Variantenanalyse – Mutation eines bestätigten Fehlers, um Geschwisterinstanzen derselben Fehlerklasse zu finden – ergab dann 948 verschiedene Patches, und OpenAI verwendet diese Zahl als Schlagzeile für die Anzahl eindeutiger Fehler bei der Rechteausweitung. Aus diesem Grund stimmen die Roh-Exploit-Anzahl und die Zahl 948 nicht überein. Das Unternehmen warnte außerdem davor, dass die generierten Fixes weiterhin Kandidaten für die Überprüfung durch den Betreuer seien und nicht für zusammengeführte Patches.

Ein Ergebnis wäre fast durchgefallen

Der Bericht ist ungewöhnlich offen über einen Beinaheunfall. In einem ersten Versuch stellte OpenAI fest, dass 20 von 200 gemeldeten erfolgreichen Exploits Root über einen anderen Zero-Day als die ihnen zugewiesene Schwachstelle erlangt hatten – was bedeutet, dass eine Root-Shell allein die Diskrepanz verborgen hätte. Das Unternehmen verschärfte die Aufgabenbeschränkungen und fügte als Reaktion eine unabhängige Überprüfung des Pfads jedes Exploits hinzu. Es ist ein Detail, das zählt: In diesem Maßstab kann ein automatisiertes System aus den falschen Gründen technisch korrekte Ergebnisse liefern, und nur eine explizite Pfadverifizierung erkennt dies.

Kosten pro Exploit sinken deutlich

OpenAIs eigener Vergleich der Läufe zeigt, wie schnell sich die Wirtschaft entwickelt. Der Lauf Mitte Oktober kostete 1,213 Millionen US-Dollar an API-Credits – 1.279 US-Dollar pro einzelnem Privilege-Escalation-Bug. Ein Lauf Ende Juli 2026 mit dem GPT-5.6-Sol-Modell hatte 513.690 US-Dollar gekostet und 166 einzigartige Fehler hervorgebracht, was etwa 3.100 US-Dollar pro Exploit entspricht. Das ist eine mehr als fünffache Steigerung der neuartigen Erkenntnisse innerhalb von drei Monaten – ein Zeitraum, in dem der Kernel laut OpenAI weiter gehärtet wurde – und das bei weniger als der Hälfte der Stückkosten. Das Unternehmen stellt seine Kostenzahlen als Obergrenzen dar, da die Läufe zur Messung der Leistungsfähigkeit und nicht zur Optimierung der Ausgaben konzipiert wurden.

Ein separat angepasster Kernel-CTF-Lauf führte innerhalb von 112 Stunden zu 25 Informationsleck-Proofs of Concept und 21 Exploits mit einem API-Guthaben von etwa 32.936 US-Dollar. OpenAI wies darauf hin, dass die mit diesem Lauf verbundene Prämie in Höhe von rund 1,5 Millionen US-Dollar davon abhängt, dass alle 21 Schwachstellen akzeptiert werden, und nicht von einer angekündigten Auszeichnung – die Kernel-CTF-Regeln von Google zahlen 71.337 US-Dollar pro berechtigtem Exploit, erfordern eine Stabilität von mindestens 70 Prozent über 20 Läufe hinweg und beschränken die Belohnungen auf qualifizierte Zero-Day-Einreichungen.

Zehn Techniken, die Experten noch nicht gesehen hatten

Unter einer Stichprobe von 166 Exploits, die vom OpenAI-Team und externen Kernel-Exploit-Experten überprüft wurden, wurden zehn Techniken als wirklich neu beurteilt. Das Unternehmen nannte einige davon: persistente elastische Objekte, Seitenpflege, Eskalation von Nur-Daten-Berechtigungen und Verwirrung bei willkürlichen Typen. Vollständige technische Details werden aus Sicherheitsgründen zurückgehalten – eine Anerkennung dafür, dass dasselbe Playbook, wenn es veröffentlicht wird, für Angreifer sofort nützlich wäre.

Von Daybreak bis Patch the Planet

Der Lauf ist eine Eskalation der Arbeit, die OpenAI Anfang 2026 begonnen hat. Die Daybreak-Initiative, die am 22. Juni 2026 mit der Sicherheitsfirma Trail of Bits gestartet wurde, kombiniert KI-gestützte Schwachstellenforschung mit Expertenprüfung und überlässt den Betreuern gleichzeitig die Kontrolle über die Patch-Bereitstellung und -Offenlegung. Dieser frühere Versuch meldete 24 Exploits zur Rechteausweitung und acht Kernel-Pointer-Informationsleck-Proofs of Concept aus seiner GPT-5.5-Cyber-Linux-Arbeit – ein Bruchteil der Ausbeute dieses Monats.

OpenAI gibt an, bereits Hunderte von Berichten und Patches für kritische Schwachstellen an Betreuer gesendet zu haben, der Rest soll nach und nach über Patch the Planet-Partner verteilt werden. Es fordert die Betreuer außerdem dazu auf, die Ergebnisse noch einmal anhand des aktuellen Codes zu überprüfen, da beim Scan im Oktober 61 Fehler gefunden wurden, die bereits im Upstream gepatcht wurden, 43 mit ausstehenden Staging-Patches und 299, die öffentlich gemeldet oder diskutiert wurden – ein Beweis dafür, dass Kernel-Entwickler einige der gleichen Fehler von Hand gefunden hatten, selbst als das Modell an ihnen vorbeizog.

Was es für die Kernel-Sicherheit bedeutet

Der Engpass, so wie OpenAI ihn beschreibt, verschiebt sich. Die Generierung von Schwachstellen-Leads wird immer kostengünstiger und nahezu unbegrenzt; Die knappen Ressourcen erweisen sich nun als Exploit-Pfade, halten die Erkenntnisse in Bezug auf eine sich bewegende Codebasis auf dem neuesten Stand und produzieren Fixes, die Betreuer bereit sind, zusammenzuführen. Unabhängige Verifizierung und menschliche Überprüfung – die sowohl den falschen Zero-Day-Ausfall als auch Qualitätsprobleme in frühen automatisch generierten Patches erkannte – entscheiden darüber, ob automatisierte Forschung in diesem Umfang zu brauchbarer Verteidigungsarbeit oder nur zu einer neuen Art von Berichtslast für überlastete Betreuer wird.

Für Verteidiger ist die Botschaft unangenehm, aber klar: Dieselbe Pipeline, die mögliche Patches entwirft, kann einem fähigen Gegner Tausende von Ausgangspunkten liefern. Der Wettlauf findet nun statt zwischen den Leuten, die die Korrekturen zusammenführen, und denen, die es schaffen, die Exploits selbst zu reproduzieren.

---

Bleib vorne bei KI

Die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Mehr KI-Nachrichten lesen →