Le pipeline d'OpenAI a produit 948 exploits root pour le noyau Linux, pour 1,2 million de dollars

La première évaluation a eu lieu à la mi-octobre 2026 sur la branche master du noyau Linux, rapporte CryptoBriefing. Le système a signalé 2 308 vulnérabilités candidates en une seule passe et en a reproduit 1 724 dans des environnements de test isolés. Il a généré des preuves de concept pour 291 fuites d'informations. Le résultat principal : 948 exploits fonctionnels d'élévation de privilèges locaux, ou LPE, visant des vulnérabilités distinctes. La facture totale d'API s'est élevée à 1 213 430 dollars, soit 1 279 dollars par exploit.

La passe

Blockchain.news rapporte qu'OpenAI décrit le système comme capable d'identifier, de valider et de générer des correctifs pour les vulnérabilités d'élévation de privilèges locaux. CryptoBriefing indique que la passe a examiné environ 2 800 000 lignes de code liées à la sécurité, soit près de 7 % du noyau. Les exploits fonctionnaient sur des installations Linux de bureau standard avec les protections habituelles, selon des résultats de recherche cités par le média.

Un LPE permet à une personne disposant déjà d'un accès ordinaire à une machine de passer root, le compte qui contrôle tout. CryptoBriefing note que les failles d'élévation de privilèges locaux exigent de l'attaquant qu'il ait déjà un pied dans le système. Celui-ci combine souvent un LPE avec un autre point d'entrée pour prendre le contrôle total. Les exploits root au niveau du noyau demandaient historiquement des spécialistes confirmés et beaucoup de temps. Pour les défenseurs, le chiffre le plus parlant est peut-être le coût moyen de 1 279 dollars par exploit.

Le retard des correctifs

Le rapport indique que 61 vulnérabilités avaient été corrigées en amont et que 43 suivaient un processus de correctif par étapes au moment de l'annonce. Cela fait 104 corrigées ou en cours pour 948 exploits fonctionnels, ce qui laisse un important arriéré à examiner par des humains.

De 24 à 948

En juin 2026, OpenAI a publié les divulgations Patch the Planet portant sur 24 exploits LPE trouvés par un modèle antérieur, GPT-5.5 Cyber. Le nouveau décompte est près de 40 fois supérieur. CryptoBriefing prévient toutefois que la comparaison n'est pas directe : le nouveau chiffre vient d'un pipeline autonome dédié, l'ancien d'un modèle, et la portée de chaque travail peut différer.

La suite

OpenAI n'a pas précisé sur quelles versions du noyau le pipeline a été testé, ni les méthodes de calcul employées, ni la part de ses correctifs acceptée par les mainteneurs de Linux, rapporte Blockchain.news. Le rapport précise que l'impact réel dépend de la reproductibilité des résultats, de l'exploitabilité des vulnérabilités identifiées et de l'intégration des correctifs générés dans les distributions Linux largement déployées.

CryptoBriefing note que la passe n'a couvert qu'une partie du noyau, si bien que de futures passes pourraient élargir le filet. L'étape suivante est l'examen humain des rapports restants avant que les correctifs n'atteignent les distributions Linux.