सार:
ओपनएआई ने हाल ही में एक सुरक्षा अनुसंधान परिणाम की घोषणा की है जिसने उद्योग में व्यापक ध्यान आकर्षित किया है। कंपनी ने कहा कि उसके आगामी साइबर सुरक्षा-विशिष्ट कृत्रिम बुद्धिमत्ता मॉडल में से एक ने लिनक्स कर्नेल में 948 स्थानीय विशेषाधिकार वृद्धि कमजोरियों की सफलतापूर्वक खोज की। एक बार शोषण होने के बाद, ये कमजोरियाँ सामान्य स्थानीय उपयोगकर्ताओं को सिस्टम पर उच्चतम स्तर के रूट विशेषाधिकार प्राप्त करने की अनुमति दे सकती हैं।
लिनक्स कर्नेल दुनिया में सबसे महत्वपूर्ण सॉफ्टवेयर इन्फ्रास्ट्रक्चर में से एक है और इसका व्यापक रूप से एंड्रॉइड स्मार्टफोन, क्लाउड कंप्यूटिंग प्लेटफॉर्म, डेटा सेंटर सर्वर और सुपर कंप्यूटर जैसे उपकरणों और प्रणालियों में उपयोग किया जाता है। कोड के बेहद बड़े आकार के कारण, संभावित सुरक्षा कमजोरियों का पता लगाना हमेशा एक समय लेने वाला और जटिल कार्य रहा है।
ओपनएआई ने कहा कि इस शोध में कमजोरियों को खोजने के लिए केवल एआई मॉडल की आवश्यकता नहीं है, बल्कि लिनक्स कर्नेल पर औद्योगिक पैमाने पर ऑडिट कार्य करने के लिए एक पूर्ण मल्टी-स्टेज स्वचालित सुरक्षा अनुसंधान प्रक्रिया का निर्माण किया गया है। पूरी प्रणाली कई समर्पित एआई एजेंटों द्वारा सहयोगात्मक रूप से पूरी की जाती है, और लक्ष्य स्क्रीनिंग, भेद्यता विश्लेषण, भेद्यता सत्यापन से लेकर शोषण परीक्षण और पैच पीढ़ी तक सब कुछ स्वचालित है।
पहले चरण में, "स्काउट" नामक एआई एजेंट पहले कर्नेल कोड बेस का विश्लेषण करता है और कार्यात्मक मॉड्यूल और फ़ाइलों को फ़िल्टर करता है जो सामान्य उपयोगकर्ताओं के लिए पहुंच योग्य होते हैं। अंत में, सिस्टम ने ऑडिट लक्ष्यों के रूप में कोड की 40 मिलियन से अधिक लाइनों में से कुंजी कोड की लगभग 2.8 मिलियन लाइनों की पहचान की, जो पूरे लिनक्स कर्नेल कोड आकार का लगभग 7% है। गहन निरीक्षण के लिए कुल 5,034 संभावित लक्ष्यों का चयन किया गया।
इसके बाद, "विश्लेषक" एजेंट ने इन कोडों पर सुरक्षा विश्लेषण किया और 12 घंटों के भीतर 2,308 संभावित भेद्यता वाले उम्मीदवारों को पाया। तब से, "ट्राएज" एजेंट ने एक पृथक वर्चुअल मशीन वातावरण में इन निष्कर्षों को पुन: प्रस्तुत और सत्यापित किया है, लगभग 30 घंटों में 1,724 वास्तविक कमजोरियों की सफलतापूर्वक पुष्टि की है।
सत्यापन पूरा करने के बाद, एआई सिस्टम इन कमजोरियों की शोषण क्षमता का और मूल्यांकन करता है। अंत में, सूचना रिसाव कमजोरियों के लिए 291 प्रूफ-ऑफ-कॉन्सेप्ट प्रोग्राम तैयार किए गए, साथ ही 1169 प्रभावी हमले के नमूने भी तैयार किए गए जो स्थानीय विशेषाधिकार वृद्धि प्राप्त करने में सक्षम थे। डुप्लिकेट का विश्लेषण और वर्गीकरण करने के बाद, अनुसंधान टीम ने पुष्टि की कि 948 स्वतंत्र कमजोरियाँ थीं।
ओपनएआई ने कहा कि इन हमले के नमूनों का परीक्षण एक मानक डेस्कटॉप सिस्टम वातावरण में किया गया था जिसमें आधुनिक लिनक्स सुरक्षा सुरक्षा तंत्र सक्षम थे, जिसमें केएएसएलआर, एसएमईपी और एसएमएपी जैसी मुख्यधारा सुरक्षा प्रौद्योगिकियां शामिल थीं। इसका मतलब यह है कि सामान्य सुरक्षा संरक्षण उपायों वाले वातावरण में भी प्रासंगिक कमजोरियों का फायदा उठाया जा सकता है।
इससे भी अधिक चिंताजनक बात यह है कि शोधकर्ताओं ने दावा किया कि एआई सिस्टम ने विश्लेषण प्रक्रिया के दौरान कम से कम 10 पहले से रिकॉर्ड न की गई लिनक्स भेद्यता शोषण तकनीकों की खोज की और उनका उपयोग किया। इनमें नई कर्नेल ऑब्जेक्ट स्प्रेइंग विधियां, मेमोरी पेजिंग तकनीक और कई डेटा हमले शामिल हैं जो पारंपरिक कोड निष्पादन के बिना विशेषाधिकार वृद्धि को सक्षम करते हैं। सुरक्षा कारणों से, OpenAI इन तकनीकों के विशिष्ट विवरण का खुलासा नहीं करता है।
डेटा से पता चलता है कि पूरे प्रोजेक्ट में एपीआई कंप्यूटिंग संसाधनों में लगभग US$1.21 मिलियन की खपत हुई, और उपलब्ध विशेषाधिकार वृद्धि भेद्यता की प्रत्येक खोज की औसत लागत लगभग US$1,279 थी। ओपनएआई ने बताया कि सुरक्षा उद्योग में पिछले भेद्यता पुरस्कार कार्यक्रम मानकों के आधार पर, इन 948 कमजोरियों के अनुरूप कुल संभावित इनाम मूल्य 18.9 मिलियन अमेरिकी डॉलर और 66.3 मिलियन अमेरिकी डॉलर के बीच पहुंच सकता है।
अनुसंधान अवधि के दौरान, OpenAI ने Linux रखरखाव समुदाय को भेद्यता रिपोर्ट और मरम्मत योजनाएँ प्रस्तुत करना शुरू कर दिया है। कंपनी ने कहा कि 10-दिवसीय समन्वित प्रकटीकरण प्रक्रिया के दौरान, 61 विशेषाधिकार वृद्धि कमजोरियों को औपचारिक रूप से पैच किया गया है, 43 कमजोरियां पैच परीक्षण चरण में प्रवेश कर चुकी हैं, और अन्य 299 कमजोरियां सार्वजनिक चर्चा और समीक्षा प्रक्रिया में हैं।
यह उपलब्धि नेटवर्क सुरक्षा के क्षेत्र में कृत्रिम बुद्धिमत्ता की बढ़ती क्षमताओं को भी दर्शाती है। इस साल जून में, OpenAI ने घोषणा की कि उसके GPT-5.5 साइबर मॉडल ने 24 लिनक्स विशेषाधिकार वृद्धि कमजोरियों की खोज की और सत्यापित किया; जुलाई में आयोजित एक अन्य परीक्षण में, कंपनी के मॉडल ने 166 स्वतंत्र कमजोरियों की खोज की। इसकी तुलना में, इस नवीनतम प्रयोग में खोजी गई 948 कमजोरियों की संख्या पांच गुना से अधिक बढ़ गई है, भले ही पिछले कुछ महीनों में लिनक्स कर्नेल में व्यापक सुरक्षा सख्त हो गई है।
OpenAI का मानना है कि भविष्य में भेद्यता खोज कार्य तेजी से बड़े पैमाने पर और स्वचालित हो जाएगा। भेद्यता खनन कार्य जिन्हें पूरा करने में सुरक्षा शोधकर्ताओं को कई सप्ताह या महीने भी लग जाते थे, अब धीरे-धीरे कृत्रिम बुद्धिमत्ता प्रणालियों द्वारा लगातार चलने वाली मानकीकृत प्रक्रियाओं में विकसित हो रहे हैं। हालाँकि, कंपनी इस बात पर भी जोर देती है कि मानव शोधकर्ता अभी भी आवश्यक हैं क्योंकि भेद्यता पहचान, प्रभाव मूल्यांकन और दायित्व प्रकटीकरण जैसे प्रमुख लिंक को अभी भी समीक्षा में पेशेवर भागीदारी की आवश्यकता होती है।
जैसे-जैसे AI मॉडल की क्षमताओं में सुधार जारी है, नेटवर्क सुरक्षा उद्योग एक नए चरण में प्रवेश कर रहा है। एक ओर, रक्षक अभूतपूर्व गति से कमजोरियों को खोजने और ठीक करने के लिए कृत्रिम बुद्धिमत्ता का उपयोग कर सकते हैं; दूसरी ओर, इस तकनीक का यह भी अर्थ है कि भविष्य में हमलावरों के पास अधिक शक्तिशाली स्वचालित आक्रमण उपकरणों तक पहुंच हो सकती है। रक्षा दक्षता में सुधार और दुरुपयोग के जोखिमों को रोकने के बीच संतुलन कैसे बनाया जाए यह पूरे नेटवर्क सुरक्षा क्षेत्र में एक महत्वपूर्ण मुद्दा बनता जा रहा है।
टिप्पणियाँ