OpenAI zufolge fand eine KI-Pipeline 948 Linux-Sicherheitslücken, über die Angreifer Root-Rechte erlangen könnten

948 Wege von einem normalen Benutzerkonto zur vollständigen Kontrolle

OpenAI zufolge hat ein automatisiertes Forschungssystem 948 verschiedene Schwachstellen im Linux-Kernel entdeckt, über die jemand mit einem normalen Benutzerkonto die vollständige Kontrolle über einen Computer übernehmen könnte. Die Kampagne kostete 1.213.430 US-Dollar an KI-API-Guthaben und erzeugte Patch-Vorschläge zur Prüfung durch Menschen, wie aus der Forschungsmitteilung des Unternehmens vom 4. November 2026 hervorgeht.

Die ausführlichen Ergebnisse im Forschungsbericht von OpenAI erläutern, wie die aufsehenerregende Zahl zustande kam: Die Agenten erstellten 1.169 funktionierende Exploits zur lokalen Rechteausweitung. Anschließend fassten sie verwandte Befunde mithilfe einer Variantenanalyse zusammen und entwickelten 948 verschiedene Patches. Diese letzte Zahl verwendet OpenAI als Anzahl der einzigartigen Schwachstellen.

Eine Schwachstelle zur lokalen Rechteausweitung ermöglicht es einer Person oder einem Programm, das bereits auf einem Rechner läuft, Berechtigungen zu erlangen, die normalerweise dem Administrator vorbehalten sind, dem sogenannten Root. Der Linux-Kernel ist die zentrale Software zur Verwaltung von Speicher, Hardware und Zugriffsrechten. Wird diese Grenze überwunden, kann aus einem beschränkten Zugang die Kontrolle über das System werden.

OpenAI testete die Exploits mit einer nicht näher benannten, weit verbreiteten Linux-Distribution, auf der die üblichen Sicherheitsvorkehrungen aktiviert waren. Das Unternehmen bezeichnete das Modell hinter der Pipeline als ein kommendes Cybermodell, nannte aber weder einen Veröffentlichungstermin noch die Distribution. Die Zahlen zu Entdeckungen und Kosten sowie die Angaben zu neuen Angriffstechniken sind die von OpenAI selbst gemeldeten Ergebnisse.

Die unmittelbare Herausforderung besteht darin, die Fehler auf den tatsächlich genutzten Computern zu beheben. Während der Forschung arbeiteten Linux-Mitwirkende bereits an der Behebung oder Diskussion Hunderter sich überschneidender Befunde. Forschende mussten weiterhin prüfen, ob jeder Exploit tatsächlich auf die angegebene Schwachstelle zielte und ob der vorgeschlagene Patch deren Ursache behob.

Wie die Agenten Millionen Codezeilen eingrenzten

OpenAI wählte zunächst Bereiche von Linux aus, die für normale Benutzer zugänglich und sicherheitsrelevant waren. Scout-Agenten bestimmten 5.034 Prüfziele mit insgesamt rund 2,8 Millionen Codezeilen. Das entspricht etwa 7 Prozent eines Kernel-Codes mit mehr als 40 Millionen Zeilen.

Anschließend untersuchten Analysten-Agenten diese Ziele, analysierten die Funktionsweise des Codes und suchten nach Stellen, an denen ein Angreifer eine Sicherheitsgrenze überwinden könnte. Innerhalb von zwölf Stunden erstellten sie nach dem Entfernen von Duplikaten 2.308 mögliche Befunde. Die Auswahl der Ziele kostete 3.426 US-Dollar an API-Guthaben, ihre Analyse 316.549 US-Dollar.

Der gesamte Prozess umfasste fünf Phasen: das Auffinden von Schwachstellen, die dynamische Validierung, die Bewertung der Ausnutzbarkeit, die Erstellung von Patches und die Prüfung durch Menschen. Jede Phase beantwortete eine andere Frage: vom verdächtigen Code über ein nachgewiesenes Sicherheitsproblem bis hin zu einem Lösungsvorschlag.

Bei der Validierung versuchten Agenten, jeden möglichen Befund in einer isolierten virtuellen Maschine mit Kernel Address Sanitizer zu reproduzieren, einem Werkzeug, das bestimmte Speicherfehler erkennt. Sie beobachteten die Programmausgabe und Systemprotokolle und passten ihre Testprogramme an, bis sie das Problem auslösten oder die Zahl der erlaubten Versuche ausgeschöpft war.

Innerhalb von 30 Stunden reproduzierte das System 1.724 Schwachstellen, etwa 74,7 Prozent der möglichen Befunde. OpenAI zufolge erforderten viele der übrigen Befunde höhere Berechtigungen oder hingen von Bedingungen ab, die sich innerhalb des Zeitlimits nur schwer auslösen ließen. Bei 3,1 Prozent der möglichen Befunde führte eine fehlerhafte Analyse zu einer unmöglichen Bedingung. Die 30 Stunden entfielen auf die Validierungsphase; der Scan und die anschließende manuelle Analyse erstreckten sich über zehn Tage.

Was die funktionierenden Exploits zeigten

Als Nächstes ermittelte OpenAI, welche der reproduzierten Fehler Informationen preisgeben oder Root-Zugriff ermöglichen konnten. Ein Prüf-Agent grenzte die Befunde auf 313 mögliche Informationslecks und 1.238 mögliche Fälle einer Rechteausweitung ein.

Agenten zur Exploit-Entwicklung erstellten 291 Proofs of Concept für Informationslecks und 1.169 funktionierende Exploits zur Rechteausweitung. Ein Proof of Concept ist ein Testprogramm, das zeigt, dass sich eine Schwachstelle auslösen lässt. Ein Exploit geht weiter und nutzt die Schwachstelle gezielt aus, um eine Sicherheitsfolge zu erreichen, etwa Administratorrechte zu erlangen.

Auf den Testrechnern waren Sicherheitsvorkehrungen wie die Adressraum-Randomisierung, Beschränkungen für den Zugriff des Kernels auf den Benutzerspeicher und Prüfungen beim Kopieren von Daten aktiviert. Die Adressraum-Randomisierung erschwert es Angreifern, nützliche Speicheradressen vorherzusagen. Mit diesen aktiven Schutzmaßnahmen waren die Tests einer normalen Desktop-Installation ähnlicher.

OpenAI testete außerdem eine angepasste Version der kernelCTF-Umgebung von Google, die eine kleinere Angriffsfläche und zusätzliche Schutzmaßnahmen bietet. Diese Kampagne lieferte innerhalb von 112 Stunden 25 Proofs of Concept für Informationslecks und 21 Exploits zur Rechteausweitung. Die API-Kosten beliefen sich auf rund 32.936 US-Dollar. Bei der Anpassung wurde die Schutzmaßnahme SLAB_VIRTUAL weggelassen, da sie mit dem für den Test verwendeten aktuellen Kernel nicht kompatibel war.

OpenAI zufolge entdeckte das Unternehmen eine Schwachstelle in QEMU TCG, einem Bestandteil der Virtualisierungsinfrastruktur, die bei den kernelCTF-Tests zum Einsatz kam. Damit wurde auch die Forschungsumgebung selbst Gegenstand der Sicherheitsprüfung.

Wie die Oktober-Kampagne im Vergleich zu früheren Arbeiten abschneidet

OpenAIs Linux-Forschung wurde 2026 in mehreren Experimenten ausgeweitet. Das Unternehmen ordnete die Arbeit seinem Projekt Patch the Planet zu, mit dem Maintainer Schwachstellen in weit verbreiteter Software finden und beheben sollen.

• Juni 2026: OpenAI meldete 24 mit GPT-5.5 Cyber entwickelte Linux-Exploits zur Rechteausweitung.
• Ende Juli 2026: Eine Kampagne mit GPT-5.6 Sol fand und nutzte 166 einzigartige Schwachstellen zur Rechteausweitung aus. Die API-Kosten betrugen 513.690 US-Dollar.
• Mitte Oktober 2026: Das neuere Cybermodell erstellte Exploits für 948 verschiedene Schwachstellen zur Rechteausweitung und lieferte Patch-Vorschläge. Die Kosten beliefen sich auf 1.213.430 US-Dollar.
• 4. November 2026: OpenAI veröffentlichte eine Darstellung der Pipeline und der Ergebnisse.

Die Oktober-Kampagne fand etwa 5,7-mal so viele einzigartige Schwachstellen zur Rechteausweitung wie die Juli-Kampagne und gab dabei rund 2,4-mal so viel aus. Aus diesen Zahlen errechnet sich, dass die API-Ausgaben pro einzigartigem Befund von etwa 3.095 auf 1.280 US-Dollar sanken.

Beide Kampagnen untersuchten den jeweils aktuellen Master-Zweig des Linux-Kernels. OpenAI zufolge fand das Oktober-Modell trotz drei zusätzlicher Monate mit Kernel-Fixes und Härtungsmaßnahmen deutlich mehr Schwachstellen. Das Unternehmen argumentierte, wichtige Software solle erneut gescannt werden, wenn die Modelle leistungsfähiger werden.

Warum Root-Zugriff allein einen Befund nicht bestätigte

In einem frühen Experiment stieß OpenAI auf ein grundlegendes Problem: 20 von 200 erfolgreichen Exploits erlangten Root-Zugriff über eine andere Schwachstelle als diejenige, die dem jeweiligen Agenten zugewiesen worden war. Der Angriff funktionierte, aber die Erklärung, welche Schwachstelle dabei ausgenutzt wurde, war falsch.

Für die Behebung war das entscheidend. Forschende müssen das beobachtete Ergebnis der richtigen Ursache zuordnen, damit Maintainer den verantwortlichen Code reparieren können. Nachdem OpenAI die Fehlzuordnungen entdeckt hatte, ergänzte das Unternehmen unabhängige Prüfungen.

Yash Kadakia, Gründer und Chief Technology Officer bei Security Brigade, erklärte, warum Unternehmen sowohl reproduzierbare Ergebnisse als auch präzise Erklärungen benötigen:

„Ein Ergebnis zu erzielen und korrekt zu erklären, wie man es erzielt hat, sind zwei verschiedene Dinge“, sagte er.

Die abschließenden Forschungspakete von OpenAI enthielten eine Ursachenanalyse, ein minimales Testprogramm, das einen Absturz auslöste, einen Patch-Vorschlag und einen vollständigen Exploit. Menschliche Sicherheitsforschende prüften den Exploit, die Korrektur und den vorgeschlagenen Schweregrad, bevor sie die Befunde den Maintainerinnen und Maintainer meldeten.

Auch bei der Patch-Entwicklung waren mehrere Durchläufe nötig. Erste KI-Korrekturen führten mitunter zu unnötigen Änderungen oder Leistungseinbußen oder ließen verwandte Varianten einer Schwachstelle ungelöst. Durch Tests verschiedener Angriffsvarianten konnten die Forschenden beurteilen, ob eine Korrektur das umfassendere Problem behob.

Was 1,2 Millionen US-Dollar kosteten und wie OpenAI den Wert einschätzte

OpenAI bezifferte die Gesamtkosten der Kampagne auf 1.213.430 US-Dollar, also rund 1.279 US-Dollar pro einzigartigem Befund zur Rechteausweitung. Diese Zahlen beziehen sich auf die API-Ausgaben für die Modelle und den Arbeitsablauf, nicht auf eine vollständige Abrechnung des Forschungsaufwands und der Betriebskosten.

Der größte Kostenanteil entfiel auf die Bewertung der Ausnutzbarkeit. Die Vorauswahl kostete 44.194 US-Dollar, die Exploit-Entwicklung 775.929 US-Dollar. Davon entfielen 691.000 US-Dollar auf mögliche Fälle von Rechteausweitung und 84.929 US-Dollar auf mögliche Informationslecks.

Schwierige Fehlschläge konnten besonders kostspielig sein. OpenAI meldete durchschnittliche Ausgaben von rund 3.922 US-Dollar für jeden der 69 erfolglosen Versuche zur Rechteausweitung, verglichen mit etwa 360 US-Dollar für jeden erfolgreichen Exploit. Bei einigen hartnäckigen Fällen spielten Race Conditions eine Rolle, bei denen der Erfolg davon abhängt, dass Ereignisse in einer ganz bestimmten Reihenfolge oder zu einem präzisen Zeitpunkt eintreten.

OpenAI verglich die 948 Befunde mit früheren Preisgeldern für Exploits zur Rechteausweitung im Linux-Kernel: 20.000 US-Dollar bei Pwn2Own und 70.000 US-Dollar bei TyphoonPWN. Daraus ergab sich ein hypothetischer Wert von 18,9 bis 66,3 Millionen US-Dollar, also etwa das 16- bis 55-Fache der API-Kosten der Kampagne.

Das Unternehmen schätzte außerdem, dass seine 21 kernelCTF-Exploits etwa 1,5 Millionen US-Dollar einbringen könnten, wenn das Programm sie annimmt. Beide Vergleiche sind bedingte Schätzungen möglicher Prämien; die tatsächlichen Auszahlungen hängen von den Programmregeln und der Annahme ab. OpenAI erklärte, die Arbeit habe der Leistungsmessung und nicht der Kostenminimierung gedient. Eine bessere Gestaltung des Arbeitsablaufs könne die Ausgaben senken.

Zehn angeblich neue Techniken, Details bleiben unter Verschluss

OpenAI untersuchte eine Stichprobe von 166 Exploits und erklärte, mindestens zehn Ausnutzungstechniken identifiziert zu haben, die sowohl den eigenen Forschenden als auch den bei der Arbeit konsultierten externen Spezialisten für Kernel-Exploits neu waren. Aus Sicherheitsgründen hielt das Unternehmen detaillierte Anleitungen zurück.

Zu den Techniken zählten zwei neue Objekte, mit denen sich vom Angreifer kontrollierte Daten im Kernel-Speicher platzieren lassen, zwei Methoden zur Speicheranordnung, die die Zuverlässigkeit verbessern, fünf Wege, durch Datenänderungen Berechtigungen zu erlangen, und eine Technik mit beliebiger Typverwechslung. Eine Typverwechslung tritt auf, wenn Software ein Objekt so behandelt, als wäre es von einem anderen Typ. Dadurch kann sie möglicherweise auf falsche Daten oder Funktionen zugreifen.

OpenAI wertete diese Ergebnisse als Beleg dafür, dass die Agenten über vertraute Exploit-Muster hinausgehende Ansätze entwickeln können. Die Aussage stützt sich auf die Prüfung der Stichprobe durch das Unternehmen und den Austausch mit externen Spezialisten.

Für Verteidiger bedeutet das in der Praxis, dass eine Korrektur auch mit verwandten Angriffsvarianten getestet werden sollte, nicht nur mit dem ersten funktionierenden Nachweis. OpenAI erklärte, die von Experten angeleitete Weiterentwicklung könne helfen, Patches zu erstellen, die korrekt funktionieren, sich in den umliegenden Code einfügen und Variantenangriffen standhalten.

Die Lücke zwischen einem Fix im Hauptprojekt und einem geschützten Rechner

Während OpenAIs Kampagne lief, arbeiteten Linux-Maintainer bereits an Korrekturen. Bis zum Ende der zehn Tage, über die sich Scan und manuelle Analyse erstreckten, waren 61 Befunde zur Rechteausweitung im Hauptprojekt behoben, für 43 gab es vorläufige Patches und 299 wurden öffentlich gemeldet und diskutiert.

Ein Fix im Hauptprojekt ist eine Änderung, die in das zentrale Projekt übernommen wurde. Ein vorläufiger Patch befindet sich noch in der Prüfung oder Integration. Anschließend müssen Linux-Distributoren geeignete Updates an ihre Kunden ausliefern, die diese installieren und den korrigierten Kernel aktivieren müssen.

OpenAI erklärte, Hunderte Berichte und Patches eingereicht zu haben. Auf Grundlage der Hinweise aus der Kernel-Community habe man zunächst kritische Schwachstellen gemeldet. Eine vollständige Übersicht über die Behebung aller 948 Befunde legte das Unternehmen nicht vor.

Sakshi Grover, Forschungsdirektorin bei IDC, bezeichnete den Zeitraum, bis Korrekturen in produktiven Systemen ankommen, als zentrale Sorge:

„Das Risiko liegt weniger bei den 948 als vielmehr in der Länge des Zeitraums zwischen der Entdeckung und dem Eintreffen der Korrekturen in der Produktion“, sagte sie.

Grover empfahl, gemeinsam genutzte Hosts mit mehreren Kunden, automatisierte Software-Buildsysteme, gemeinsam genutzte Zugangsserver, Containerplattformen und Entwicklerrechner zu priorisieren. Außerdem sollten Unternehmen bei Linux-Distributoren nach Zeitplänen fragen, wann Korrekturen in unterstützte Versionen übernommen werden.

Thomas Di Giacomo, Chief Technology and Product Officer bei SUSE, erklärte, das Unternehmen nutze ähnliche KI-Werkzeuge und arbeite bei der Offenlegung und Behebung mit den Upstream-Communities zusammen. SUSE kombiniere mehrere Schutzebenen mit gehärteten Laufzeitumgebungen für Anwendungen.

Ein schnellerer Entdeckungszyklus betrifft mehr als Linux-Desktops

Zahlen der Google Threat Intelligence Group zufolge wurden im August 2026 monatlich 10.740 Schwachstellen offengelegt, verglichen mit 5.045 im Januar. Die Zahl der als hochriskant eingestuften Offenlegungen stieg im selben Zeitraum von 131 auf 350, ein Plus von etwa 167 Prozent.

Das britische National Cyber Security Centre befasste sich in einer am 3. November veröffentlichten Einschätzung mit KI-gestützter Schwachstellensuche. Die Behörde erklärte:

„Die breite Verfügbarkeit KI-gestützter Cyberwerkzeuge hat mit sehr hoher Wahrscheinlichkeit zu einem deutlichen Anstieg der Entdeckung von Zero-Day-Schwachstellen geführt“, hieß es.

Eine Zero-Day-Schwachstelle ist ein Fehler, auf dessen Behebung sich Verteidiger nicht im Voraus vorbereiten konnten. Das NCSC erklärte, defensive KI-Werkzeuge hätten die Behebung von Schwachstellen beschleunigt. Zugleich warnte die Behörde, dass viele Systeme weiterhin angreifbar seien, wenn diese Werkzeuge nicht korrekt konfiguriert und flächendeckend eingesetzt würden. Unternehmen müssten ihre Prozesse zur Behebung und zum Testen an das höhere Tempo anpassen.

Die weite Verbreitung von Linux macht diese betriebliche Herausforderung besonders groß. Der Kernel läuft auf Android-Geräten, in Cloud-Infrastrukturen und auf Supercomputern. Auch Blockchain-Infrastrukturen sind betroffen: Laut Zahlen von ethernodes.org, die in Berichten zu den Befunden zitiert wurden, nutzen etwa zwei Drittel der Ethereum-Knoten Linux.

Mudit Gupta, Chief Technology Officer bei Polygon Labs, argumentierte, verteilte Infrastrukturen böten mehr Widerstandsfähigkeit:

Dezentralisierung sorgt für vielfältige Infrastrukturen und Redundanz. Dadurch ist die Krypto-Infrastruktur gegenüber solchen Fehlern deutlich widerstandsfähiger als herkömmliche Software.

Auch der Sicherheitsforscher Caducus argumentierte, die wiederholte Konfrontation mit Angriffen habe die Widerstandsfähigkeit der Kryptowährungsinfrastruktur verbessert. Für einzelne Betreiber bleibt die konkrete Aufgabe, Rechner aktuell zu halten und den möglichen Schaden durch ein kompromittiertes Konto zu begrenzen.

OpenAI empfahl mehrschichtige Schutzmaßnahmen, darunter Sandboxes und Isolationssysteme wie Firecracker und gVisor. Die Warnung des Unternehmens war eindeutig: Ein gut ausgestatteter Angreifer mit einem normalen Benutzerkonto auf einem Betriebssystem, auf dem verfügbare Patches fehlen, könnte diesen Zugang nutzen, um Root-Kontrolle zu erlangen. Fehler schneller zu finden hilft nur, wenn die daraus entstehenden Korrekturen rasch auf den betroffenen Systemen ankommen.

Wichtige Punkte

• OpenAI meldete 948 verschiedene Linux-Schwachstellen zur Rechteausweitung, nachdem das Unternehmen 1.169 funktionierende Exploits analysiert und Patch-Vorschläge erstellt hatte.
• Die Oktober-Kampagne kostete 1.213.430 US-Dollar an API-Guthaben. In der Validierungsphase wurden innerhalb von 30 Stunden 1.724 mögliche Schwachstellen reproduziert.
• Getestet wurde mit einer normalen Linux-Distribution und aktivierten Standardschutzmaßnahmen. Modell und Distribution wurden nicht benannt.
• Eine Prüfung durch Menschen blieb nötig, um die Ursache jedes Exploits zu bestätigen und die vorgeschlagenen Korrekturen zu bewerten.
• Als die Analyse abgeschlossen war, hatten Maintainer bereits 61 Befunde im Hauptprojekt behoben; für 43 gab es vorläufige Patches und 299 Befunde wurden öffentlich diskutiert.
• Unmittelbar geht es für die Verteidiger darum, Korrekturen bereitzustellen und zu installieren, besonders auf gemeinsam genutzten Systemen, auf denen ein normaler Zugang zu Administratorrechten führen könnte.