OpenAI、サイバー向けパイプラインでLinuxのローカル権限昇格948件を検証しパッチを生成、API費用は120万ドルと発表：報奨金の倍率は仮定の試算で数字はすべて自社報告

2026年11月4日、OpenAIは研究記事「A thousand fewer paths to root」を公開しました。Linuxカーネルを対象に、脆弱性の発見、検証、悪用、パッチ生成までを自律的に行うパイプラインを説明するもので、中核には記事が「近日公開」と呼ぶサイバー向けモデルが使われています。見出しにあたる主張は、1回の実行でLinuxのローカル権限昇格（LPE）の脆弱性948件を検証してパッチを生成し、APIコストは120万ドルだったというものです。これらはすべてOpenAI自身が報告した数字です。個別の脆弱性は名指しされておらず、新しい悪用手法の詳細も安全上の理由で伏せられています。

数字は漏斗状の工程から出ており、段階ごとに数えているものが違います。偵察エージェントが選んだ監査対象は5,034件で、約280万行、4,000万行超のカーネルの約7%にあたり、費用は3,426ドルでした。分析エージェントは12時間で重複除去後2,308件の候補を出し、費用は316,549ドルでした。KASAN付きの仮想マシンで、トリアージエージェントは30時間以内にそのうち1,724件、約74.7%を再現し、記事は不可能な条件を前提にした誤りは3.1%だけだと述べています。スクリーニングで、検証済みの結果は情報漏えい候補313件とLPE候補1,238件に絞られました。続く悪用エージェントは、情報漏えいの概念実証291件と動作するLPE悪用1,169件を作りました。変種分析の後、チームは異なるパッチ948件を書き、この数を固有のLPE数としています。つまり1,169は悪用コードの数で、948は異なる根本原因の数です。

費用も同じ段階で示されています。悪用段階は合計775,929ドルで、LPE候補が691,000ドル、情報漏えい候補が84,929ドルです。成功した悪用は平均約359ドルでしたが、失敗した69件は1件あたり平均3,922ドルで、競合状態のような難しい例が予算を使いました。記事は、1時間進展がなければ打ち切るといった基準を勧めています。10月の実行の端から端までの費用は1,213,430ドルで、著者は能力の測定が目的でコスト最適化ではないとして、これを上限と見ています。パイプライン開発中の7月下旬には、当時の最新カーネルでGPT-5.6 Solが固有のLPE166件を見つけて悪用し、費用は513,690ドルでした。2回の実行はモデルもカーネルのスナップショットも違うため、統制された比較ではありません。

記事は報奨金との比較も載せています。過去のPwn2Own（20,000ドル）とTyphoonPWN（70,000ドル）のLinux LPE報奨額を948件に当てはめると、仮定の評価額は1,890万〜6,630万ドルで、パイプライン費用の16〜55倍です。GoogleのkernelCTF環境では、チームは最新のLinuxカーネルを使い、それと互換性のないSLAB_VIRTUAL緩和策を設定から外しました。この変更後の構成で、112時間、約32,936ドルの実行で情報漏えいの概念実証25件とLPE悪用21件が得られました。記事は、採択されれば約150万ドル、費用の約45倍だと述べ、執筆時点で同プログラムが2026年に認めた確認済みゼロデイLPEは26件だと付け加えています。これは公開された支払額からの仮定の評価で、実際の収入ではなく、全件が採択されることを前提にしています。数えているのもAPI費用だけです。

パッチの速さについては、スキャンは10月中旬の最新カーネルに対して行われました。10日後に自律スキャンと手作業の分析が終わった時点で、61件のLPEは上流で修正済み、43件はステージング用のパッチがあり、299件は報告され公開で議論されていました。OpenAIは、カーネルコミュニティの提案に従って重大な脆弱性の報告とパッチを数百件送り、残りはPatch the Planetのパートナーと順次送ると述べています。6月22日にTrail of Bitsと発表したDaybreakの取り組みPatch the Planetのページには、セキュリティエンジニアが発見をメンテナーに渡す前に確認するとあります。カーネルのパイプラインも、報告前に人間の研究者が悪用コード、パッチ、深刻度を確認する構成です。

エージェントの検証に関する教訓もあります。初期の実行で悪用段階は成功したLPEを200件と報告しましたが、人間の確認で20件は割り当てられたものとは別のゼロデイでrootを取っていたと分かり、OpenAIは各悪用が割り当てられた脆弱性を使ったか独立に確認する仕組みを加えました。オーケストレーションでは、GPT-5.5 Cyberに103の悪用手法を与えると、63件の候補で成功率が76.2%から88.9%に上がりました。GPT-5.6 Cyberではその層を外した軽い構成でも、重いGPT-5.5の構成を上回り、層を戻しても1.5ポイントしか改善しませんでした。抽出した166件の悪用では、著者と外部のカーネル専門家が新しいと判断した手法が10種使われていました。パッチ生成は反復が必要で、最初のパッチは概念実証を止めても、余分なコードや規約からの逸脱、変種の見落としがありました。kernelCTFの実行では、上流で修正済みなのに使用ビルドに含まれていなかったQEMU TCGの脆弱性も見つかっています。

この記事は限界を踏まえて読む必要があります。ベンダー報告であり、独立した再現も、脆弱性の公開一覧も、見逃しの推定もありません。費用はAPI費用で、レビューした人の時間は含まれていません。120万ドルは1つの構成の1回のAPI請求で、どのカーネルでも監査できる価格ではなく、報奨金の倍率も利益ではありません。著者自身の助言は、モデルが向上したら監査済みのコードを再スキャンし、重いオーケストレーションを保つ価値があるか見直し、結果だけでなくそこに至る経路も検証することです。