未公開のサイバーモデルを使い、候補の探索、動的再現、影響確認、修正をつなげました。API費用は約121万ドルで、報告前に人の研究者が確認しています。 発見数と修正済み件数を区別します。防御側では再現の証拠、現行コードでの再確認、保守担当者が審査できる報告の整備が焦点です。 探索より検証と優先順位が課題に OpenAIは11月4日、Linuxカーネルを対象とした自律的な脆弱性研究の手順を公開しました。10月中旬の実験では、今後提供するサイバーモデルを使い、候補の探索から修正案の生成までを接続しました。重複を除いた候補は2,308件で、1,724件を動的に再現したとしています。その後、権限の低いローカル利用者が管理者権限を得られる問題を優先して調べました。単に疑わしいコードを列挙するのではなく、再現可能性と影響を示して報告する研究です。原文は、大量の候補を扱う際の障害が、発見から検証と優先順位付けへ移る状況を説明しています。 Linuxを使う幅広い基盤に関わる研究 実験では、標準的な保護を有効にした仮想環境で影響を確認し、948件の異なる修正候補を基に権限昇格の件数を数えています。これは、すべての問題が既に製品へ修正済みという意味ではありません。Linuxの保守担当者の方針に沿い、重大な問題から報告と修正を進めるとしています。対象にはクラウドや端末など、多くのシステムの土台となるコードが含まれます。ただし、実験環境と各組織の稼働環境が同じとは限りません。運用担当者には、自社で使用する版と設定に対応する更新情報を確認する作業が関わると見られます。原文は、研究の終了までの間にも他の貢献者が多くの問題を修正したと説明しています。公開時点の未修正数として948件を扱うことはできません。 約121万ドルのAPI費用と人の審査を分ける 実験のAPI費用は1,213,430ドルで、権限昇格1件当たりは1,279ドルとしています。これは使ったモデル、対象設定、処理手順に依存する値です。人の調査や保守作業を含む組織全体の費用とは区別する必要があります。出力は人のセキュリティ研究者が確認し、修正候補とともに保守担当者へ報告しています。導入を検討する側では、隔離した実験環境と、結果を独立して点検する担当者が論点になると見られます。件数を増やすだけでは、審査を受ける側の負担が増える可能性があります。最新のコードで再現するか、同じ原因の別の問題をまとめられるかも重要です。修正案についても、機能、性能、既存の書き方との整合性を確かめる工程が必要と考えられます。 成功した結果にも経路の確認が必要 初期実験では、指定した問題とは別の未知の問題を使って権限を得た例がありました。OpenAIは独立した検査を加え、結果だけでなく原因との対応も確認するようにしています。これは自動評価の達成表示だけでは証拠が足りない例です。今後の判断点は、修正の受け入れと継続的な再検査の進み方になります。研究での成功率をそのまま本番の保証へ読み替えず、報告から修正、適用までの状態を追う運用が論点になると見られます。再現の版も記録の対象です。