11月5日、Help Net Securityが「OpenAI's upcoming AI model built 948 working Linux root exploits in a single run」と題した記事を公開した。OpenAIの未公開AIモデルが1回の実行で948件のLinuxカーネル権限昇格エクスプロイトを自動生成し、そのうち10種類の攻撃技術は人間のカーネルセキュリティ専門家にとっても未知のものだったという研究成果だ。「近い将来、未パッチ環境への低権限アクセスはリソースのある脅威アクターにとってroot相当と考えるべきだ」という警告は、セキュリティ業界に重い示唆を投げかけている。
1回の実行で948件のrootエクスプロイト
OpenAIのCyberチームは2026年10月中旬、開発中のAIモデルを用いたパイプラインを最新のLinuxカーネルに対して実行した。ターゲット環境は一般的なLinuxディストリビューションの標準デスクトップ構成で、特別な設定はない。
結果は948件のローカル権限昇格（LPE: Local Privilege Escalation）エクスプロイト。コストはAPIクレジットで121万3,430ドル、エクスプロイト1件あたり約1,279ドルという計算だ。LPEとは、一般ユーザー権限しか持たないプロセスがroot（管理者）権限を不正に取得する攻撃手法を指す。
このコスト水準について元記事は特に他モデルとの比較を行っていないが、後述するkernelCTFでの検証（32,936ドル・21件）と対比すると、スケールアウト時のコスト構造が見えてくる。
「これまで個別に時間をかけて調査する必要があったセキュリティリサーチが、体系的なプロセスとして実行できるようになりつつある」と研究チームは述べている。
2,308件の候補から948件の確定脆弱性へ
パイプラインの流れは段階的だ。
まず第1グループのAIエージェントがカーネル全体（4,000万行超）からセキュリティ上重要な低権限ユーザーアクセス可能なコードに絞り込み、対象を全体の**約7%**に圧縮した。
次に第2グループがそのコードを精査し、12時間以内に2,308件の潜在的バグを検出。続くトリアージ（優先度付け）エージェントが隔離された仮想マシン上でそれぞれの再現を試み、30時間で1,724件（74.7%）の再現に成功した。
さらにエクスプロイト開発エージェントが標準的な保護機能が有効な環境で検証を行い、最終的に291件の情報リーク実証コードと1,169件のrootエクスプロイトを生成した。この1,169件から同一の根本的脆弱性に起因するもの（複数のエクスプロイトコードが同じカーネルバグを異なる手法で突いているケース）をグルーピングして重複を除外した結果、948件の独立した脆弱性が確認された。1,169件と948件の差分にあたる221件は、同一バグに対する実装バリアントとして整理されている。
人間の専門家も知らなかった10の新技術
特筆すべき点として、サンプリングした166件のエクスプロイトを分析したところ、研究者が把握していなかった10種類の新しいエクスプロイト技術がAIエージェントによって独自に発見・使用されていた。
「第三者のカーネルエクスプロイト専門家と共有したところ、彼らにとっても未知の技術だった」と研究チームは記している。安全上の理由から、具体的な技術的詳細は公開されていない。
エージェントの「誤った成功」という落とし穴
ただし、AIエージェントの自己報告が常に正確とは限らない点も明らかになった。初期の実行では、エクスプロイトステージが200件の成功を報告したが、人間によるレビューでそのうち20件は意図した脆弱性とは別のゼロデイを経由してrootを取得していたことが判明した。
「エージェントによるエクスプロイトが成功したとしても、適切な検証が必要だ」と論文は指摘する。OpenAIはその後、タスク定義を厳密化し、各エクスプロイトが意図した脆弱性を使用しているかを確認する独立チェックを追加した。現在はセキュリティ研究者が全エクスプロイト・パッチ・深刻度評価をカーネルメンテナへ報告する前に確認している。
コスト対価値：バグバウンティとの比較
Pwn2OwnおよびTyphoonPWNでは、Linuxカーネル権限昇格エクスプロイト1件に対してそれぞれ2万ドル・7万ドルの報奨金が設定されている。これを基準にすると、今回のパイプラインが生成したエクスプロイト群の仮想的な価値は1,890万〜6,630万ドルと試算される。
Google kernelCTF（攻撃面を絞ったハード化Linuxカーネルを対象とするCTF形式の報奨プログラム）での検証では、112時間・32,936ドルのAPIコストで21件の権限昇格エクスプロイトを生成。kernelCTFが2026年に受理した確定ゼロデイのLPEは26件であり、OpenAIはこの21件が採用されれば約150万ドルの収益になると見積もり、「研究時点でパイプラインは純収益ベースで採算が取れていた」と結論づけている。
未パッチ環境への警告
スキャンと手動分析が完了した10日後の時点で、61件がアップストリームにパッチ適用済み、43件がステージングパッチあり、299件が公開報告・議論中となっていた。
研究チームは以下のように警告している。
「近い将来および中期的には、最新パッチが当たっていないOSへの低権限アカウントアクセスは、リソースのある脅威アクターにとってroot相当と考えるべきだ」
推奨する対策として、FirecrackerやgVisorといったサンドボックス・隔離ツールによる多層防御を挙げている。
さらに将来展望として、「数年以内に、あるソフトウェアプロジェクトに脆弱性が存在するなら、フロンティアモデルがそれを発見できる可能性が高く、開示後であればより非力なモデルでもエクスプロイト開発が可能になるかもしれない」と結論づけている。
詳細はOpenAI's upcoming AI model built 948 working Linux root exploits in a single runを参照していただきたい。
