OpenAI के अप्रकाशित एआई ने Linux में रूट एक्सेस देने वाली 948 खामियां खोजीं

OpenAI ने ऐसा सिस्टम बनाया है जो Linux की सबसे अहम किस्म की खामी खोजता है—वह खामी जो किसी सामान्य यूज़र खाते को पूरी मशीन का नियंत्रण दे सकती है। यह सिस्टम ऐसी खामियां सैकड़ों की तादाद में ढूंढ निकालता है। एक बार चलाने पर इसकी प्रक्रिया ने Linux कर्नेल में इस तरह की करीब एक हजार अलग-अलग खामियां खोजीं, हर एक के लिए काम करने वाला हमला तैयार किया और रखरखाव करने वालों की समीक्षा के लिए संभावित पैच का मसौदा बनाया। यह काम करने वाला AI मॉडल सार्वजनिक रूप से उपलब्ध नहीं है।

कर्नेल Android फोन, दुनिया के अधिकांश सर्वर, क्लाउड प्लेटफॉर्म, Chromebook और सुपरकंप्यूटर के भीतर काम करता है। विशेषाधिकार बढ़ाने वाली खामी अपने आप किसी अनजान व्यक्ति को सिस्टम में दाखिल नहीं होने देती। लेकिन अगर किसी के पास पहले से पहुंच हो—जैसे किसी दुर्भावनापूर्ण ऐप, चोरी हुए सीमित-अधिकार वाले लॉगिन या हैक किए गए कंटेनर के जरिए—तो वह रूट अधिकार हासिल कर सकता है। OpenAI की सलाह साफ है: जिन सिस्टमों पर सुरक्षा पैच नहीं लगा है, वहां अच्छी संसाधन-क्षमता वाले हमलावर के सामने किसी भी कम-अधिकार वाले खाते को रूट खाते के बराबर मानें।

यह प्रक्रिया ऐसी है जैसे सुरक्षा टीम के अलग-अलग सदस्यों को अलग भूमिकाएं दी गई हों। स्काउट एजेंटों ने कर्नेल के 5,034 ऐसे हिस्से चुने, जिन तक बिना विशेषाधिकार वाला उपयोगकर्ता पहुंच सकता है। ये हिस्से करीब 2.8 करोड़ पंक्तियों के बराबर थे, यानी कुल कोड का लगभग 7%। विश्लेषक एजेंटों ने 12 घंटे में इनसे 2,308 संभावित खामियां निकालीं। इसके बाद छंटाई के चरण में 30 घंटे के भीतर वर्चुअल मशीनों के अंदर उनमें से 1,724 खामियों को दोबारा काम करके दिखाया गया। OpenAI का कहना है कि बाकी संभावित खामियों में से केवल 3.1% इसलिए नाकाम रहीं क्योंकि मॉडल का विश्लेषण गलत था। एक्सप्लॉइट एजेंटों ने सामान्य डेस्कटॉप सेटअप पर—जहां कर्नेल की मानक सुरक्षा व्यवस्थाएं चालू थीं—विशेषाधिकार बढ़ाने वाले 1,169 कारगर एक्सप्लॉइट और जानकारी लीक करने वाले 291 तरीके तैयार किए। वैरिएंट विश्लेषण में इन एक्सप्लॉइट को मिलाकर 948 अलग-अलग खामियां बनाई गईं और हर एक के साथ संभावित पैच भी था।

OpenAI की रिपोर्ट के मुताबिक, API क्रेडिट पर कुल 1,213,430 डॉलर खर्च हुए—यानी हर अलग खामी पर करीब 1,279 डॉलर। Pwn2Own और TyphoonPWN जैसी हैकिंग प्रतियोगिताओं में Linux रूट एक्सप्लॉइट के लिए एक बार में 20,000 और 70,000 डॉलर तक दिए गए हैं। उन दरों से देखें तो इस खोज की कीमत 18.9 करोड़ से 66.3 करोड़ डॉलर के बीच बैठती। जिस काम के लिए पहले किसी दुर्लभ विशेषज्ञ की जरूरत पड़ती थी, अब हर खामी पर उसका खर्च लगभग एक मिड-रेंज लैपटॉप जितना है।

कुल संख्या से ज्यादा अहम है इसमें बदलाव की रफ्तार। OpenAI के मौजूदा मॉडलों में से एक GPT-5.6 Sol के साथ पहले किए गए परीक्षण में उस समय के कर्नेल को स्कैन कर 513,690 डॉलर में 166 अलग-अलग खामियां मिली थीं। नए साइबर मॉडल ने पांच गुने से भी ज्यादा नई खामियां ढूंढीं, जबकि दोनों स्कैन के बीच कर्नेल को तीन महीने तक सुरक्षा के लिहाज से मजबूत किया गया था। 166 एक्सप्लॉइट के एक नमूने में ऐसी दस तकनीकें थीं जिन्हें OpenAI की टीम और बाहरी कर्नेल विशेषज्ञों ने नया माना। कंपनी ने इनके ब्योरे जारी नहीं किए हैं। Google के जानबूझकर मजबूत किए गए kernelCTF लक्ष्य पर अलग से 112 घंटे का परीक्षण किया गया, जिसमें करीब 32,936 डॉलर के खर्च पर 21 कारगर एक्सप्लॉइट बने।

इन आंकड़ों से कई बातें जाहिर नहीं होतीं। सभी आंकड़े OpenAI ने दिए हैं और किसी बाहरी समूह ने इस परीक्षण का ऑडिट नहीं किया। 948 का आंकड़ा संभावित पैचों की गिनती है, उन पैचों की नहीं जिन्हें कर्नेल में शामिल कर लिया गया हो। दस दिन का स्कैन खत्म होने तक 61 खामियां अपस्ट्रीम में ठीक की जा चुकी थीं, 43 के पैच पर काम चल रहा था और 299 खामियां पहले से सार्वजनिक थीं या उन पर चर्चा हो रही थी। यानी काफी खामियां कर्नेल समुदाय के लिए नई नहीं थीं। OpenAI ने यह भी पाया कि उसका अपना सिस्टम शॉर्टकट अपना रहा था: शुरुआती परीक्षण में बताई गई 200 सफलताओं में से 20 में रूट तक पहुंचने का रास्ता उस अज्ञात खामी से होकर गया था जो उन्हें सौंपी गई खामी से अलग थी। AI से लिखे शुरुआती पैच कभी-कभी सही होते थे, लेकिन उनमें गैर-जरूरी कोड भरा होता था या वे कर्नेल की शैली के अनुरूप नहीं होते थे। रखरखाव करने वालों को कुछ भी भेजने से पहले मानव शोधकर्ता अब भी हर एक्सप्लॉइट और पैच की समीक्षा करते हैं।

यही समीक्षा का चरण सबसे ज्यादा दबाव पैदा करता है। कर्नेल का रखरखाव करने वाले लोग—जिनमें से कई स्वयंसेवक हैं या कंपनियों में दूसरी जिम्मेदारियों के साथ यह काम करते हैं—अब ऐसी कतार का सामना कर रहे हैं जिसे मशीन लोगों की उसे निपटाने की रफ्तार से कहीं तेजी से फिर भर सकती है। OpenAI की सिफारिश है कि रिपोर्ट भेजने से पहले मौजूदा कोड के आधार पर उनकी दोबारा पुष्टि की जाए, ताकि रखरखाव करने वालों का समय पहले से ठीक की जा चुकी खामियों पर बर्बाद न हो। कंपनी ने यह नहीं बताया कि 948 में से कितनी खामियां फोन निर्माता अपने फोन में भेजे जाने वाले कर्नेल तक पहुंचेंगी। Android पर कर्नेल का सुधार उपयोगकर्ताओं तक तभी पहुंचता है जब हर निर्माता उसे जारी करे, और जिन फोन को अब सुरक्षा अपडेट नहीं मिलते, वे जोखिम में बने रहते हैं।

Linux इस्तेमाल करने वालों के लिए व्यावहारिक उपाय वही पुराना है, बस अब दांव ऊंचे हैं: कर्नेल अपडेट आते ही इंस्टॉल करें और ऐसे कोड को अलग-थलग रखकर चलाएं जिस पर भरोसा न हो। OpenAI प्रशासकों को Firecracker और gVisor जैसे सैंडबॉक्सिंग टूल इस्तेमाल करने और मॉडल बेहतर होने के साथ अपने कोड को फिर से स्कैन करने की सलाह देता है। साइबर मॉडल किसी भी देश में आम लोगों के लिए उपलब्ध नहीं है। OpenAI इसे आगामी मॉडल कहता है, लेकिन इसकी कीमत या जारी होने की तारीख नहीं बताई है। सुरक्षा साझेदारों के साथ उसके Patch the Planet कार्यक्रम के जरिए खामियों की रिपोर्ट रखरखाव करने वालों तक पहुंचती है।

OpenAI ने 4 नवंबर को यह रिपोर्ट प्रकाशित की, जिसका शीर्षक A thousand fewer paths to root है। यह परीक्षण अक्टूबर के मध्य में दस दिनों तक कर्नेल की नवीनतम मास्टर शाखा पर चला था, जबकि GPT-5.6 Sol वाला पिछला स्कैन जुलाई के आखिर का है। OpenAI का कहना है कि वह गंभीर खामियों की सैकड़ों रिपोर्ट और पैच पहले ही भेज चुका है और बाकी अपने साझेदारों के जरिए धीरे-धीरे सौंपेगा। स्कैन खत्म होने तक 948 में से करीब हर नौवीं खामी का पैच अपस्ट्रीम में शामिल हो चुका था या स्टेजिंग में था।

टैग: OpenAI, साइबर सुरक्षा, आर्टिफिशियल इंटेलिजेंस, Linux, GPT-5.6 Sol, सुरक्षा खामियां