Il 4 novembre OpenAI ha pubblicato i risultati di un esperimento che fa impressione anche a chi lavora nella sicurezza da anni. Un sistema di agenti AI, basato su un modello dedicato alla cybersecurity non ancora rilasciato, ha analizzato il kernel Linux e in un’unica sessione ha prodotto 948 exploit funzionanti, ciascuno in grado di trasformare un normale utente in amministratore (root) del sistema.
L’articolo di ricerca si intitola “A thousand fewer paths to root”, cioè “mille strade in meno per diventare root”. Il titolo dice già molto: lo scopo dichiarato non era attaccare, ma trovare e chiudere queste strade.
Come ha funzionato
Il processo, avvenuto a metà ottobre, è stato organizzato come una vera catena di montaggio, con agenti specializzati per ogni fase:
- Selezione. Un primo gruppo di agenti ha individuato le parti del kernel raggiungibili da utenti con pochi privilegi e rilevanti per la sicurezza: circa il 7% del codice totale.
- Analisi. Altri agenti hanno letto quel codice alla ricerca di difetti, segnalando 2.308 possibili vulnerabilità.
- Verifica. Ogni segnalazione è stata riprodotta in una macchina virtuale isolata: in 30 ore ne sono state confermate 1.724.
- Sfruttamento. Gli agenti hanno provato a trasformare i difetti confermati in attacchi reali, su sistemi con le normali protezioni di una distribuzione Linux standard attive. Risultato: 291 dimostrazioni di fuga di informazioni e 1.169 exploit funzionanti, riconducibili a 948 vulnerabilità distinte.
- Correzione. Per ogni vulnerabilità il sistema ha scritto anche una proposta di patch.
Analizzando un campione di 166 exploit, i ricercatori hanno scoperto che gli agenti avevano usato almeno 10 tecniche di attacco mai documentate prima.
Quanto è costato
Qui c’è forse il dato più importante. L’intera sessione è costata 1.213.430 dollari in crediti API, cioè circa 1.279 dollari per ogni exploit.
Per confronto, un exploit di questo tipo richiedeva tradizionalmente settimane di lavoro di uno specialista, e i programmi di bug bounty lo pagano tra i 20.000 e i 70.000 dollari. OpenAI stima che l’intero lotto, sul mercato delle ricompense, varrebbe tra 18,9 e 66,3 milioni di dollari: da 16 a 55 volte il costo dell’esperimento.
In altre parole: la ricerca di vulnerabilità sta diventando una questione di budget di calcolo, più che di competenze rare. E questo vale per chi difende quanto per chi attacca.
Cosa significa (e cosa no)
Prima di trarre conclusioni allarmistiche, alcune precisazioni importanti.
Sono attacchi locali. Si tratta di “escalation di privilegi locale”: per sfruttarli serve già un accesso al sistema come utente normale. È diverso, per esempio, dalla falla CVE-2026-98432 di cui abbiamo parlato nei giorni scorsi, che poteva essere sfruttata da remoto senza credenziali. Questo non le rende innocue: un attaccante che entra da una porta secondaria, come un’applicazione web vulnerabile o una password rubata, le può usare per prendere il controllo completo del server.
Non tutto ciò che gli agenti dichiarano è vero. Secondo Help Net Security, i ricercatori hanno notato che i risultati riportati dagli agenti non sempre reggevano alla verifica. Per questo tutti i risultati sono stati controllati da ricercatori umani prima di essere segnalati.
Le correzioni sono in arrivo, ma non sono tutte pronte. OpenAI ha inviato centinaia di segnalazioni e patch ai manutentori del kernel e lavora con i partner dell’iniziativa Patch the Planet per le altre. Alla fine della sessione, però, solo 61 falle risultavano corrette nel kernel ufficiale e altre 43 avevano patch in preparazione. Le patch proposte dall’AI vanno comunque revisionate dagli sviluppatori del kernel prima di essere integrate.
Non è un caso isolato: pochi giorni fa Anthropic aveva comunicato che un suo modello di ricerca aveva scritto un exploit da remoto per una falla critica del kernel. I grandi laboratori di AI stanno dimostrando, uno dopo l’altro, cosa sono capaci di fare i loro modelli in questo campo.
Cosa fare, in pratica
Per chi gestisce server Linux, l’esperimento non cambia le regole, ma le rende molto più urgenti:
- Aggiornate il kernel con regolarità, e soprattutto riavviate: nei prossimi mesi arriveranno molte correzioni, e una patch installata ma non attiva non protegge.
- Riducete gli accessi locali. Meno utenti hanno una shell sul server, meno porte ci sono per sfruttare queste falle.
- Attenzione agli ambienti condivisi. I container condividono il kernel della macchina che li ospita: una falla nel kernel può permettere di uscire da un container e raggiungere gli altri. Vale per hosting condivisi, ambienti di sviluppo e sistemi di integrazione continua.
- Proteggete le porte d’ingresso. Un attacco locale ha bisogno di un primo accesso. Applicazioni aggiornate, password robuste e autenticazione a più fattori restano la prima difesa.
L’esperimento di OpenAI dimostra che la sicurezza informatica è entrata in una fase nuova: trovare vulnerabilità costa sempre meno, e chiunque abbia accesso a questi modelli può farlo su larga scala. La buona notizia è che gli stessi strumenti possono scrivere anche le correzioni.
La partita, d’ora in poi, si gioca sulla velocità: quanto rapidamente le correzioni arrivano dai manutentori ai server di ciascuno di noi. E quell’ultimo passo, l’aggiornamento, resta nelle mani di chi gestisce i sistemi.
