今日技术观察 IT之家 11 月 5 日消息，OpenAI 于当地时间 11 月 4 日发布安全研究报告。OpenAI 称其利用新一代网络安全模型，搭建了一套自动化漏洞发现、验证、漏洞利用和补丁生成系统。在一次针对 Linux 内核的测试中，该系统共识别出 2308 个潜在安全问题，动态复现其中 1724 个漏洞，并生成了 948 个可实现本地权限提升的有效漏洞利用程序（Exploit），能够帮助低权限本地用户获取系统 root 权限。OpenAI 01 背景速览 据公开材料，OpenAI 发布安全研究报告，称其利用新一代网络安全模型搭建自动化漏洞发现、验证、漏洞利用和补丁生成流程，并针对 Linux 内核开展测试。材料显示，系统先筛选具有安全审计价值的代码，再在隔离环境中复现候选问题，并评估本地权限提升利用，最终统计出 948 个不同的本地权限提升漏洞利用程序。报告还披露了测试成本、阶段划分和后续提交修复情况。 02 趋势影响 从趋势看，AI 正在从代码辅助审查扩展到复杂基础软件安全研究链路。自动化流程可以扩大候选漏洞发现范围，但材料同时强调动态验证、可利用性评估和人工审核仍然关键。相比此前测试，更新模型在内核经历一段时间加固后仍发现更多新型本地提权漏洞，说明模型能力与工程化流程结合，可能改变安全审计的节奏和覆盖方式。 03 企业应用启发 对企业而言，可借鉴的不是简单把模型当成漏洞扫描器，而是将其纳入软件供应链和内部代码库的风险排查流程。AI 可用于筛选高风险模块、生成测试用例、辅助复现问题、形成补丁草案，但业务影响、代码规范、性能变化和兼容性仍需工程师判断。对于 Linux 内核、容器、虚拟化、云平台和开源组件，企业应建立漏洞跟踪、补丁验证、灰度发布、回滚和资产清单机制。 04 合规观察 合规方面，材料提到部分漏洞利用技术细节未公开，严重漏洞优先提交社区。企业使用类似自动化能力时，应在授权范围内开展测试，避免生成、传播未公开漏洞利用细节，并遵守漏洞披露、网络安全、数据保护和开源社区规则。自动化扫描、PoC 生成和补丁提交可能触及安全边界，需要保留审计记录、责任评估和人工复核，防止误报、越权测试或不当披露。 05 开放讨论 可以进一步讨论：当 AI 能产生大量候选漏洞和修复草案时，企业如何平衡发现数量与修复优先级？自动化补丁生成能否真正减轻维护者负担，还是可能带来代码冗余、性能影响和变体覆盖不足？在基础软件安全中，模型能力提升后，安全团队、开源社区和企业用户需要怎样调整披露、验证、更新和责任划分机制？ 公开来源参考 OpenAI 扫描 Linux 内核发现 948 个可提权漏洞，2308 个候选问题中有 1724 个成功复现