Trouver des failles Linux devient bon marché, les corriger reste le vrai coût à payer

OpenAI a annoncé le 4 novembre 2026 qu'un prototype de pipeline autonome, reposant sur un modèle cyber à venir, avait trouvé et exploité 948 vulnérabilités distinctes d'élévation de privilèges locale (LPE) dans le noyau Linux. Ces failles permettent à un utilisateur sans droits de devenir administrateur (root). La campagne, menée à la mi-octobre, a coûté 1 213 430 dollars de crédits d'API, soit environ 1 279 dollars par faille exploitable, d'après RuntimeWire et Unite.AI.

Un pipeline de la détection au correctif

Unite.AI détaille la chaîne : des agents « Scout » choisissent le code à auditer selon son accessibilité depuis un compte peu privilégié, des agents « Analyst » le scannent, puis des agents de triage produisent des preuves de concept dans des machines virtuelles dotées de l'outil Kernel Address Sanitizer. Chaque dossier contient une analyse de cause racine, une preuve de concept minimale, un correctif candidat et un exploit complet.

Les chiffres : 5 034 cibles d'audit (environ 2,8 millions de lignes, soit 7 % du noyau), 2 308 constats dédupliqués en 12 heures, 1 724 vulnérabilités reproduites en 30 heures. L'étape d'exploitation a donné 1 169 exploits LPE fonctionnels. L'analyse de variantes a ensuite abouti à 948 correctifs distincts, chiffre qu'OpenAI retient comme nombre de failles uniques ; cela explique l'écart avec le total brut d'exploits.

Les tests ont eu lieu sur un système de bureau standard, avec les protections SMEP, SMAP, KASLR et HARDENED_USERCOPY activées, et non sur une cible volontairement affaiblie. Autre point : selon The Neuron, les attaques ont été développées en environnement contrôlé et supposent un accès préalable à la machine.

Cinq fois plus qu'en juillet

En comparaison, un système fondé sur GPT-5.6 Sol avait trouvé 166 failles LPE à la fin de juillet, pour 513 690 dollars. Le gain de plus de cinq fois est intervenu malgré trois mois de durcissement du noyau entre les deux analyses, précise Unite.AI. Les coûts sont présentés comme des plafonds, la recherche visant la méthode plutôt que l'optimisation.

RuntimeWire met ce prix en perspective : OpenAI valorise les primes historiques pour un ensemble équivalent entre 18,9 et 66,3 millions de dollars. Le site y voit un arbitrage de coût plutôt que de personnel pour les défenseurs, tout en notant que la même capacité aux mains d'un attaquant raccourcirait le délai entre un commit et un exploit root.

Le goulet d'étranglement se déplace

Le bilan de correction reste partiel. À la fin des dix jours de scan et d'analyse manuelle, 61 failles étaient déjà corrigées en amont, 43 avaient un correctif en préparation et 299 faisaient l'objet d'un signalement ou d'une discussion publique, selon The Neuron. Unite.AI rappelle que les 948 correctifs ne sont pas des correctifs fusionnés. OpenAI a transmis des centaines de rapports pour les failles critiques et distribuera le reste progressivement avec ses partenaires Patch the Planet. Elle recommande de revalider chaque constat sur le code actuel pour éviter les doublons.

La revue humaine a aussi révélé des défauts. Lors d'une exécution préliminaire, 20 des 200 exploits jugés réussis avaient obtenu le root via une autre faille inconnue (0-day) que celle visée. OpenAI a alors resserré les consignes et ajouté un contrôle indépendant du chemin d'exploitation. Les premiers correctifs pouvaient fonctionner tout en contenant du code superflu, des compromis de performance ou une couverture incomplète des variantes. Des chercheurs humains relisent exploit, correctif et gravité avant tout signalement.

Unite.AI conclut que le goulet d'étranglement passe de la génération de pistes à la preuve des chemins d'exploitation et à la production de correctifs acceptables. The Neuron formule la même idée : trouver des failles devient moins cher, traiter des centaines de rapports crédibles pourrait devenir le coût dominant. Selon The Neuron, les mainteneurs doivent désormais évaluer ces résultats assez vite pour livrer des correctifs vérifiés.

Des résultats à prendre avec prudence

Toutes les données viennent d'OpenAI. Blockchain.News souligne qu'elle n'a pas précisé les versions de noyau testées ni le taux d'acceptation des correctifs par les mainteneurs. Pour ce média, l'impact réel dépend de la reproductibilité, de l'exploitabilité et de l'intégration dans les distributions. Les sources ne contiennent pas de vérification indépendante.

OpenAI a aussi mené un test adapté de kernelCTF, le programme de Google : 21 exploits LPE et 25 fuites d'information en 112 heures, pour environ 32 936 dollars. Le noyau testé étant incompatible avec la protection SLAB_VIRTUAL, OpenAI l'a retirée de la configuration. Le chiffre d'environ 1,5 million de dollars de primes suppose l'acceptation des 21 failles : ce n'est pas une récompense annoncée. Les règles de Google prévoient 71 337 dollars par exploit éligible, avec au moins 70 % de stabilité sur 20 essais.

Enfin, sur un échantillon de 166 exploits, dix techniques ont été jugées nouvelles par OpenAI et des experts tiers. Leurs détails techniques sont gardés secrets pour des raisons de sécurité.